网络安全实验-访问控制列表

《网络安全实验-访问控制列表》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、实验一访问控制列表（路由器的防火墙功能）任务1（标准访问控制列表）网络拓扑结构见图1。请在packettracert软件中仿真实现该网络。自行设计分配IP地址，检查网络连通性。设计实现访问控制列表，不允许计算机PC0向外网发送IP数据包，不允许计算机PC2向外网发送任何IP数据包。图1ACL访问控制列表实验网络拓扑结构图报告要求：1、IP地址分配表2、路由器0的访问控制列表命令，并解释含义3、路由器1的访问控制列表命令，并解释含义4、测试及结果（加拷屏）任务2（扩展访问控制列表）网络拓扑结构见图1。要求实现只允许计算机PC0访问web服务器，只允

2、许计算机PC2访问FTP服务器。禁止其他一切网络间的数据通信。报告要求：1、IP地址分配表2、路由器0的访问控制列表命令，并解释含义3、路由器1的访问控制列表命令，并解释含义4、测试方案及结果（加拷屏）任务3基于上下文的访问控制协议CBAC）的防火墙设置基本原理CBAC(context-basedaccesscontrol)即基于上下文的访问控制。通过检查通过防火墙的流量来发现&管理TCP和UDP的会话状态信息。这些状态信息被用来在防火墙访问列表创建临时通道。通过在流量向上配置ipinspect列表，允许为受允许会话返回流量和附加数据连接，临时打

3、开返回数据通路。受允许会话是指来源于受保护的内部网络会话。另外CBAC在流量过滤、流量检查、警告和审计蛛丝马迹、入侵检测等方面都能应用。网络拓扑结构见图2。请在packettracert软件中仿真实现该网络。分配的IP地址如表１所示，请配置好地址和路由（要使用静态路由），并检查网络连通性。设计实现访问控制列表，不允许外部网络与内部网络通信，但是允许内部网络使用ＨＴＴＰ,ICMP协议访问外部网络的资源。　　　　　　　　　　　　图２　ＣＢＡＣ实验网络拓扑结构表１　ＩＰ地址分配表实验步骤：第１步：搭建好网络平台，配置地址和路由信息，（要使用静态路由）检

4、查网络的连通性。　　　　用ＰＣ-Ｃ　pingＰＣ-A用ＰＣ-A　pingＰＣ-Ｃ用ＰＣ-Ｃ访问　ＰＣ-A　ＷＷＷ服务器用ＰＣ-Ｃ访问　ＰＣ-A　FTP服务器第２步：在Ｒ３上设置限制外网访问内网任何资源。Router(config)#access101denyipanyanyRouter(config)#interfaceSerial0/0/1Router(config-if)#ipaccess-group101in第３步　检查连通性，检查外部网络是否能访问内网用ＰＣ-Ｃ　pingＰＣ-A用ＰＣ-A　pingＰＣ-Ｃ用ＰＣ-Ｃ访问　ＰＣ-A　ＷＷＷ

5、服务器第４步　产生ＣＢＡＣ检查规则,允许内网icmp，http流量访问外网。Router(config)#ipinspectnameIN-OUT-INicmpRouter(config)#ipinspectnameIN-OUT-INhttp将ＣＢＡＣ检查应用于接口Ｓ０/０/１上Router(config)#interfaceSerial0/0/1Router(config-if)#ipinspectIN-OUT-INout第５步　检查内网是否能访问外网的ＷＷＷ服务器和使用ＰＩＮＧ命令。用ＰＣ-Ｃ　pingＰＣ-A用ＰＣ-A　pingＰＣ-Ｃ用ＰＣ

6、-Ｃ访问　ＰＣ-A　ＷＷＷ服务器用ＰＣ-Ｃ访问　ＰＣ-A　FTP服务器是否验证内网可以访问外网，外网无法访问内网？检查CBAC的配置:showipinspectconfigshowipinspectinterfacesshowipinspectsessions(选做)自己考虑怎么能让内网用户可以访问外网的FTP服务器,email服务器?第6步审计使用192.168.1.3作为日志服务器，在路由器R3上，设置日志服务器的IP地址，并开启记录事件功能，例如记录每一次成功登陆和退出路由器的时间，以及CBAC事件记录。Router(config)#Rou

7、ter(config)#logginghost192.168.1.3Router(config)#logginonRouter(config)#ipinspectaudit-trail设置后用在企业内部访问外网，访问过程将会在日志服务器中记录下来。报告要求：1、任务要求2、总结路由器设置步骤，并要求拷屏。3、解释每个设置命令的含义4、测试及结果（加拷屏）任务４　ZFW基于区域策略的防火墙设置(CCNP实验ZFW)基本原理ZFW（Zone-BasedPolicyFirewall），是一种基于区域的防火墙，基于区域的防火墙配置的防火墙策略都是在数据从

8、一个区域发到另外一个区域时才生效，在同一个区域内的数据是不会应用任何策略的，所以我们就可以将需要使用不同策略的接口划入不同的区域，这样就