基于时间的访问控制列表（锐捷）

【实验名称】
基于时间的访问控制列表。
【实验目的】
掌握基于时间段进行控制的IP访问列表配置。
【背景描述】
你是某公司网管，为了保证公司上班时间的工作效率，公司要求上班时间只可以访问公司的内部网站。下班以后员工可以随意放松，访问网络不受限制。
本实验以1台1762路由器为例。PC机的IP地址和缺省网关分别为172.16.1.1/24和172.16.1.2/24，服务器（Server）的IP地址和缺省网关分别为

160.16.1.1/24和160.16.1.2/24，路由器的接口F1/0和F1/1的IP地址分别为172.16.1.2/24和160.16.1.2/24。
【技术原理】
基于时间的访问列表是指在标准或扩展的访问列表的基础上增加时间段的应用规则。
Time-range时间段分为两种：绝对性时间段和周期性时间段。
在周期时间段里有一些常见参数：weekdays表示每周的工作日（周一至周五）、weekend表示周末（周六和周日）、daily表示每天。
【实现功能】
基于时间对网络访问进行控制，提高网络的使用效率和安全性。
【实验设备】
R1762路由器（1台）、直连线或交叉线（2条）
【实验拓扑】

 

【实验步骤】

步骤1.        基本配置。

Router#configure terminal

Router(config)#interface fastethernet 1/0

Router(config-if)#ip address 172.16.1.1 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#exit

Router(config)#interface fastethernet 1/1

Router(config-if)#ip address 160.16.1.2 255.255.255.0

Router(config-if)#no shutdown

Router(config-if)#exit

Router(config)#

    验证配置： 查看路由器接口的状态。

Router#show ip interface brief

Interface                        IP-Address(Pri)      OK?       Status

serial 1/2                        no address           YES       DOWN

serial 1/3                        no address           YES       DOWN

FastEthernet 1/0                172.16.1.1/24        YES       UP

FastEthernet 1/1                160.16.1.2/24        YES       UP

Null 0                             no address           YES       UP

步骤2.        配置路由器的时钟。

Router#show clock                    ! 查看路由器当前时钟

clock: 1987-1-16 5:19:9

Router#clock set 16:03:40 27 april 2006-4-27    ! 重设路由器当前时钟和实际时钟同步

Router#show clock

clock: 2006 -4-27 16:04:9

步骤3.        定义时间段。

Router(config)#time-range freetime

Router(config-time-range)#absolute start 8:00 1 jan 2006 end 18:00 30

dec 2010                    ! 定义绝对时间段

Router(config-time-range)#periodic daily 0:00 to 9:00  ! 定义周期性时间段

Router(config-time-range)#periodic daily 17:00 to 23:59

     ! 定义周期性时间段

验证配置： 查看时间段配置。

Router#show time-range

time-range entry: freetime (inactive)

  absolute start 08:00 01 January 2006 end 18:00 30 December 2010

  periodic Daily 0:00 to 9:00

  periodic Daily 17:00 to 23:59

步骤4.        定义访问控制列表规则。

Router(config)#access-list 100 permit ip any host 160.16.1.1

   ! 定义扩展访问控制列表，允许访问主机 160.16.1.1

Router(config)#access-list 100 permit ip any any time-range freetime

   ! 关联 time-range 接口 t1 ，允许在规定时间段访问任何网络

    注：访问控制列表的隐含规则是拒绝所有数据包。

验证配置： 查看访问控制列表配置。

Router#show access-lists

Extended IP access list 100 includes 2 items:

    permit ip any host 160.16.1.1

    permit ip any any time-range freetime (active)

步骤5.        将访问列表规则应用在接口上。

Router(config)#interface fastethernet 1/0

Router(config-if)#ip access-group 100 in        ! 在 F1/0 接口上进行入栈应用

验证配置： 查看 F1/0 接口上应用的规则。

Router#show ip interface fastethernet 1/0

FastEthernet 1/0

  IP interface state is: UP

  IP interface type is: BROADCAST

  IP interface MTU is: 1500

  IP address is:

    172.16.1.1/24 (primary)

  IP address negotiate is: OFF

  Forward direct-boardcast is: ON

  ICMP mask reply is: ON

  Send ICMP redirect is: ON

  Send ICMP unreachabled is: ON

  DHCP relay is: OFF

  Fast switch is: ON

  Route horizontal-split is: ON

  Help address is: 0.0.0 .0

  Proxy ARP is: ON

  Outgoing access list is not set.

  Inbound access list is 100.

步骤6.        验证测试。

在服务器主机上配置 Web 服务器，服务器 IP 地址为 160.16.1.1 （详见选修实验内容）。

1 、验证在工作时间的服务器的访问。

   更改路由器的当前时间为上班时间， PC 机可以访问 160.16.1.1 的 Web 服务。更改
        服务器的 IP 地址为 160.16.1.5 ， PC 机无法访问 Web 服务。

2 、验证在非工作时间的服务器的访问。

   更改路由器的当前时间为下班时间， PC 机可以访问 160.16.1.1 的 Web 服务。更改
        服务器的 IP 地址为 160.16.1.5 ， PC 机同样可以访问 Web 服务。

【注意事项】

1、    在定义时间接口前须先校正路由器系统时钟；

2、    Time-range 接口上允许配置多条 periodic 规则（周期时间段 ）， 在 ACL 进行匹配时，只要能匹配任一条 periodic 规则即认为匹配成功，而不是要求必须同时匹配多条 periodic 规则；

3、    设置 periodic 规则时可以按以下日期段进行设置： day-of-the-week （星期几 ）、 Weekdays （工作日 ）、 Weekdays （周末，即周六和周日 ）、 Daily （每天 ）；

4、    Time-range 接口上只允许配置一条 absolute 规则（绝对时间段 ）；

5、    Time-range 允许 absolute 规则与 periodic 规则共存，此时， ACL 必须首先匹配 absolute 规则，然后再匹配 periodic 规则。