基于ACL的访问控制及安全策略的设计实验报告21770.docx

《基于ACL的访问控制及安全策略的设计实验报告21770.docx》由会员分享，可在线阅读，更多相关《基于ACL的访问控制及安全策略的设计实验报告21770.docx（54页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、实 验 报报 告课程名称思科路由器器开放实实验实验名称基于ACLL的访问问控制及及安全策策略的设设计实验验实验时间2012年6月2-3日实 验 报报 告实验名称基于ACLL的访问问控制及及安全策策略的设设计实验验实验类型开放实验实验学时16实验时间2012.6.11-20012.6.22一、 实验目的和和要求访问控制列列表（AAcceess Conntrool LListt，ACCL） 是路由由器和交换机机接口的的指令列列表，用用来控制制端口进进出的数数据包。验要求学生掌握访问控制列表的配置，理解ACL的执行过程；能够根据ACL设计安全的网络。实验要求完完成以下下工作：1. 标准ACLL。实验

2、验目标：本实验验拒绝sstuddentt所在网网段访问问路由器器R2，同同时只允允许主机机teaacheer访问问路由器器R2的的tellnett服务。2. 扩展ACLL实验：实验目目标：学学生不能能访问fftp,但能访访问wwww，教教师不受受限制。3. 防止地址欺欺骗。外外部网络络的用户户可能会会伪装自自己的iip地址址，比如如使用内内部网的的合法IIP地址址或者回回环地址址作为源源地址，从从而实现现非法访访问。解解决办法法：将可可能伪装装到的iip地址址拒绝掉掉。二、实验环环境(实实验设备备)PC机，并并安装CCiscco PPackket Traacerr软件或或者是真真实的思思科网络

3、络设备（路路由器交交换机）。三、实验原原理及内内容一 基本AACL实实验：1.标准AACL。实实验目标标：本实实验拒绝绝stuudennt所在在网段访访问路由由器R22，同时时只允许许主机tteaccherr访问路路由器RR2的ttelnnet服服务。实验拓补图图如下：实验配置如如下：RouteereenRouteer#cconff tEnterr coonfiigurratiion commmannds, onne pper linne. Ennd wwithh CNNTL/Z.Routeer(cconffig)#hoost RR1R1(coonfiig)#intt ff0/00R1(coo

4、nfiig-iif)#ip addd 110.220.1170.1 2555.2555.2255.0R1(coonfiig-iif)#no shuut%LINKK-5-CHAANGEED: Intterffacee FaastEEtheerneet0/0, chaangeed sstatte tto uup%LINEEPROOTO-5-UUPDOOWN: Liine prootoccol on Intterffacee FaastEEtheerneet0/0, chaangeed sstatte tto uupR1(coonfiig-iif)#exiitR1(coonfiig)#intt s0

5、0/0/0R1(coonfiig-iif)#ip addd 1192.1688.122.1 2555.2255.2555.0R1(coonfiig-iif)#cloock ratte 6640000R1(coonfiig-iif)#no shuut%LINKK-5-CHAANGEED: Intterffacee Seeriaal0/0/00, cchanngedd sttatee too doownR1(coonfiig-iif)#exiitR1(coonfiig)#rouuterr eiigrpp 1000R1(coonfiig-rroutter)#neetwoork 10.20.1700.

6、0 0.00.0.2555R1(coonfiig-rroutter)#neetwoork 1922.1668.112.00 R1(coonfiig-rroutter)#noo auutoR1(coonfiig-rroutter)#enndR1#%SYS-5-CCONFFIG_I: Connfiggureed ffromm coonsoole by connsolleR1#coopy runn sttarttDestiinattionn fiilennamee sstarrtupp-coonfiig? Builddingg coonfiigurratiion.OKRouteereenRoutee

7、r#cconff tEnterr coonfiigurratiion commmannds, onne pper linne. Ennd wwithh CNNTL/Z.Routeer(cconffig)#hoost R2R2(coonfiig)#intt ss0/00/1R2(coonfiig-iif)#ip addd 1992.1168.12.2 2255.2555.2555.00 R2(coonfiig-iif)#no shuut%LINKK-5-CHAANGEED: Intterffacee Seeriaal0/0/11, cchanngedd sttatee too uppR2(coo

8、nfiig-iif)#%LINEEPROOTO-5-UUPDOOWN: Liine prootoccol on Intterffacee Seeriaal0/0/11, cchanngedd sttatee too uppR2(coonfiig-iif)#exiitR2(coonfiig)#intt ss0/00/0R2(coonfiig-iif)#ip addd 1992.1168.23.1 2255.2555.2555.00R2(coonfiig-iif)#cloock ratte 6640000R2(coonfiig-iif)#no shuut%LINKK-5-CHAANGEED: In

9、tterffacee Seeriaal0/0/00, cchanngedd sttatee too doownR2(coonfiig-iif)#exiitR2(coonfiig)#intt ff0/00R2(coonfiig-iif)#ip addd 100.200.1668.11 2555.2255.2555.0R2(coonfiig-iif)#no shuutR2(coonfiig-iif)#%LINKK-5-CHAANGEED: Intterffacee FaastEEtheerneet0/0, chaangeed sstatte tto uupR2(coonfiig-iif)#exii

10、t%LINEEPROOTO-5-UUPDOOWN: Liine prootoccol on Intterffacee FaastEEtheerneet0/0, chaangeed sstatte tto uupR2(coonfiig)#rouuterr eiigrpp 1000R2(coonfiig-rroutter)#neet 1192.1688.122.0 R2(coonfiig-rroutter)#%DUALL-5-NBRRCHAANGEE: IIP-EEIGRRP 1100: Neeighhborr 1992.1168.12.1 (Serriall0/00/1) iss upp: nn

11、ew adjjaceencyyR2(coonfiig-rroutter)#neet 1192.1688.233.0 R2(coonfiig-rroutter)#neet 110.220.1168.0 00.0.0.2255R2(coonfiig-rroutter)#noo auutoR2(coonfiig-rroutter)#%DUALL-5-NBRRCHAANGEE: IIP-EEIGRRP 1100: Neeighhborr 1992.1168.12.1 (Serriall0/00/1) iss upp: nnew adjjaceencyyR2(coonfiig-rroutter)#exx

12、itR2(coonfiig)#exiitR2#%SYS-5-CCONFFIG_I: Connfiggureed ffromm coonsoole by connsolleR2#coopy runn sttarttDestiinattionn fiilennamee sstarrtupp-coonfiig? Builddingg coonfiigurratiion.OKRouteereenRouteer#cconff tEnterr coonfiigurratiion commmannds, onne pper linne. Ennd wwithh CNNTL/Z.Routeer(cconffi

13、g)#hoost R3R3(coonfiig)#intt s00/0/1R3(coonfiig-iif)#ip addd 1992.1168.23.2 2555.2555.2255.0R3(coonfiig-iif)#no shuutR3(coonfiig-iif)#%LINKK-5-CHAANGEED: Intterffacee Seeriaal0/0/11, cchanngedd sttatee too uppR3(coonfiig-iif)#exiitR3(coonfiig)#intt f00/0R3(coonfiig-iif)#ip addd 100.200.666.1 2555.25

14、55.2255.0R3(coonfiig-iif)#no shuutR3(coonfiig-iif)#%LINKK-5-CHAANGEED: Intterffacee FaastEEtheerneet0/0, chaangeed sstatte tto uup%LINEEPROOTO-5-UUPDOOWN: Liine prootoccol on Intterffacee FaastEEtheerneet0/0, chaangeed sstatte tto uupR3(coonfiig-iif)#exiitR3(coonfiig)#rouuterr eiigrpp 1000R3(coonfii

15、g-rroutter)#neet 110.220.666.00 0.0.00.2555R3(coonfiig-rroutter)#neet 1192.1688.233.0R3(coonfiig-rroutter)#noo auutoR3(coonfiig-rroutter)#%DUALL-5-NBRRCHAANGEE: IIP-EEIGRRP 1100: Neeighhborr 1992.1168.23.1 (Serriall0/00/1) iss upp: nnew adjjaceencyyR3(coonfiig-rroutter)#enndR3#%SYS-5-CCONFFIG_I: Con

16、nfiggureed ffromm coonsoole by connsolleR3#coopy runn sttarttDestiinattionn fiilennamee sstarrtupp-coonfiig? Builddingg coonfiigurratiion.OK配ACL之之前，sstuddentt去piing R22的三个个接口的的ip地地址，也也可以ppingg 服服务器 10.20.1688.7，应应该piing得得通。R2#coonf tEnterr coonfiigurratiion commmannds, onne pper linne. Ennd wwithh C

17、NNTL/Z.R2(coonfiig)#acccesss-liist 1 denny 10.20.1700.0 0.00.0.2555R2(coonfiig)#acccesss-liist 1 perrmitt aanyR2(coonfiig)#intt ss0/00/1R2(coonfiig-iif)#ip acccesss-grroupp 1 inR2(coonfiig-iif)#exiitR2(coonfiig)#acccesss-liist 2 ppermmit hosst 110.220.666.110R2(coonfiig)#linne vvty 0 44R2(coonfiig-l

18、linee)#ppasssworrd 5501R2(coonfiig-llinee)#llogiinR2(coonfiig-llinee)#aacceess-claass 2 inR2(coonfiig-llinee)#eendR2#%SYS-5-CCONFFIG_I: Connfiggureed ffromm coonsoole by connsolleR2#coopy runn sttarttDestiinattionn fiilennamee sstarrtupp-coonfiig? Builddingg coonfiigurratiion.配ACL之之后，sstuddentt去piin

19、g R22的三个个接口的的ip地地址，也也可以ppingg 服服务器 10.20.1688.7，应应该piing不不通。PCpiing 10.20.1688.7Pingiing 10.20.1688.7 witth 332 bbytees oof ddataa:Requeest timmed outt.Requeest timmed outt.Requeest timmed outt.Requeest timmed outt.Ping staatissticcs ffor 10.20.1688.7: PPackketss: SSentt = 4, Recceivved = 00, LLostt

20、 = 4 (1000% llosss),OKPCpiing 1992.1168.12.2Pingiing 1922.1668.112.22 wiith 32 byttes of datta:Requeest timmed outt.Requeest timmed outt.Requeest timmed outt.Requeest timmed outt.Ping staatissticcs ffor 1922.1668.112.22: PPackketss: SSentt = 4, Recceivved = 00, LLostt = 4 (1000% llosss),配ACL之之后，ttea

21、ccherr机可以以tellnett R22 ，效效果如下下。PCteelneet 1192.1688.233.1Tryinng 1192.1688.233.1 .OpeenUser Acccesss VeerifficaatioonPasswwordd: 5501R2enn% No passswoord sett.R2但只允许tteaccherr 机ttelnnet R2，在在R3上上tellnett RR2 不不成功。R3#teelneet 1192.1688.233.1Tryinng 1192.1688.233.1 .% Connnecctioon rrefuusedd byy reem

22、otte hhosttR3#teelneet 1192.1688.122.2Tryinng 1192.1688.122.2 .% Connnecctioon rrefuusedd byy reemotte hhosttR3#teelneet 110.220.1168.1Tryinng 110.220.1168.1 .% Connnecctioon rrefuusedd byy reemotte hhostt在studdentt机上ttelnnet R22 不成成功。PCteelneet 1922.1668.112.22Tryinng 1192.1688.122.2 .% Connnecctio

23、on ttimeed oout; reemotte hhostt noot rrespponddinggPCteelneet 1922.1668.223.11Tryinng 1192.1688.233.1 .% Connnecctioon ttimeed oout; reemotte hhostt noot rrespponddinggPCteelneet 10.20.1688.1Tryinng 110.220.1168.1 .% Connnecctioon ttimeed oout; reemotte hhostt noot rrespponddingg在R1上ttelnnet R22 不成

24、成功。R1#teelneet 1922.1668.112.22Tryinng 1192.1688.122.2 .% Connnecctioon rrefuusedd byy reemotte hhosttR1#teelneet 1922.1668.223.11Tryinng 1192.1688.233.1 .% Connnecctioon rrefuusedd byy reemotte hhosttR1#teelneet 10.20.1688.1Tryinng 110.220.1168.1 .% Connnecctioon rrefuusedd byy reemotte hhosttTeach

25、her机机：PCteelneet 1192.1688.122.1Tryinng 1192.1688.122.1 .OpeenConnnecttionn too 1992.1168.12.1 cclossed by forreiggn hhosttPCteelneet 110.220.1170.1Tryinng 110.220.1170.1 .% Connnecctioon ttimeed oout; reemotte hhostt noot rrespponddinggPCteelneet 110.220.1170.10Tryinng 110.220.1170.10 .% Connneccti

26、oon ttimeed oout; reemotte hhostt noot rrespponddinggR1#teelneet 10.20.66.1Tryinng 110.220.666.11 .OppenConnnecttionn too 100.200.666.1 cloosedd byy fooreiign hosstR1#teelneet 1922.1668.223.22Tryinng 1192.1688.233.2 .OpeenConnnecttionn too 1992.1168.23.2 cclossed by forreiggn hhosttR3ennR3#teelneet

27、1192.1688.122.1Tryinng 1192.1688.122.1 .OpeenConnnecttionn too 1992.1168.12.1 cclossed by forreiggn hhosttR3#teelneet 110.220.1170.1Tryinng 110.220.1170.1 .% Connnecctioon ttimeed oout; reemotte hhostt noot rrespponddinggSERVEERttelnnet 1922.1668.112.22Tryinng 1192.1688.122.2 .% Connnecctioon rrefuu

28、sedd byy reemotte hhosttSERVEERttelnnet 1922.1668.223.11Tryinng 1192.1688.233.1 .% Connnecctioon rrefuusedd byy reemotte hhosttSERVEERttelnnet 10.20.1688.1Tryinng 110.220.1168.1 .% Connnecctioon rrefuusedd byy reemotte hhosttSERVEERttelnnet 1922.1668.112.11Tryinng 1192.1688.122.1 .OpeenConnnecttionn

29、 too 1992.1168.12.1 cclossed by forreiggn hhosttSERVEERttelnnet 10.20.1700.1Tryinng 110.220.1170.1 .% Connnecctioon ttimeed oout; reemotte hhostt noot rrespponddinggSERVEERttelnnet 1922.1668.223.22Tryinng 1192.1688.233.2 .OpeenConnnecttionn too 1992.1168.23.2 cclossed by forreiggn hhosttSERVEERtteln

30、net 10.20.66.1Tryinng 110.220.666.11 .OppenConnnecttionn too 100.200.666.1 cloosedd byy fooreiign hosstSERVEERttelnnet 10.20.66.10Tryinng 110.220.666.110 .% Connnecctioon rrefuusedd byy reemotte hhosttSERVEER2扩展ACCL实验验：实验验目标：学生不不能访问问ftpp,但能能访问wwww，教教师不受受限制。实验拓补图图如下：实验配置如如下：R2#shh acccesss-llisttsSta

31、nddardd IPP acccesss llistt 1 ddenyy 100.200.1770.00 0.0.00.2555 ppermmit anyy (111 mmatcch(ees)Standdardd IPP acccesss llistt 2 ppermmit hosst 110.220.666.110R2#shh ruuninterrfacce SSeriial00/0/1 ip aaddrresss 1992.1168.12.2 2255.2555.2555.00 ip aacceess-grooup 1 iin!line vtyy 0 4 acceess-claass 2

32、iin passsworrd 5501 logiin!删除ACLL：R2#coonf tEnterr coonfiigurratiion commmannds, onne pper linne. Ennd wwithh CNNTL/Z.R2(coonfiig)#intt s00/0/1R2(coonfiig-iif)#no ip acccesss-grroupp 1 innR2(coonfiig-iif)#exiitR2(coonfiig)#no acccesss-liist 1R2(coonfiig)#linne vvty 0 44R2(coonfiig-llinee)#nno aaccee

33、ss-claass 2 iinR2(coonfiig-llinee)#nno ppasssworrd R2(cconffig-if)#exxitR2(coonfiig)#no acccesss-liist 2可以用shh acccesss-llistts 和和sh runn查看。R2#shh acccesss-llisttsR2#shh ruunR2#coopy runn sttarttDestiinattionn fiilennamee sstarrtupp-coonfiig? Builddingg coonfiigurratiion.OK配ACL之之前测试试：studeent的的pc机机测

34、试结结果如下下：PCpiing 10.20.1688.7Pingiing 10.20.1688.7 witth 332 bbytees oof ddataa:Replyy frrom 10.20.1688.7: byytess=322 tiime=2033ms TTLL=1226Replyy frrom 10.20.1688.7: byytess=322 tiime=1411ms TTLL=1226Replyy frrom 10.20.1688.7: byytess=322 tiime=1577ms TTLL=1226Replyy frrom 10.20.1688.7: byytess=322

35、 tiime=1433ms TTLL=1226Ping staatissticcs ffor 10.20.1688.7: PPackketss: SSentt = 4, Recceivved = 44, LLostt = 0 (0% losss),Approoximmatee rooundd trrip timmes in millli-seccondds: MMiniimumm = 1411ms, Maaximmum = 2203mms, Aveeragge = 1661mssstudeent机机上测试试：PCfttp 110.220.1168.7Tryinng tto cconnnectt

36、.10.20.1688.7Conneecteed tto 110.220.1168.7220- Wellcomme tto PPT FFtp serrverrUsernnamee:ciiscoo331- Useernaame ok, neeed passswoordPasswwordd:ciiscoo230- Logggedd inn(passsivee moode On)ftpftpcctrll+cPackeet TTraccer PC Commmannd LLinee 1.0PC配dns之之后，也也就是指指定了服服务器的的ip地地址100.200.1668.77 和域域名m 的对对应关系系

37、之后，也也可以以以域名的的方式登登录到fftp服服务器。PCfttp wwww.fillm.ccomTryinng tto mConneecteed tto wwww.fillm.ccom220- Wellcomme tto PPT FFtp serrverrUsernnamee:ciiscoo331- Useernaame ok, neeed passswoordPasswwordd:ciiscoo230- Logggedd inn(passsivee moode On)ftpeexitt Invaalidd orr noon ssuppportted commmannd.ftpcctrll

38、+cPackeet TTraccer PC Commmannd LLinee 1.0PCPCpiing 10.20.66.10Pingiing 10.20.66.10 witth 332 bbytees oof ddataa:Replyy frrom 10.20.66.10: byytess=322 tiime=1888ms TTLL=1225Replyy frrom 10.20.66.10: byytess=322 tiime=1722ms TTLL=1225Replyy frrom 10.20.66.10: byytess=322 tiime=1877ms TTLL=1225Replyy

39、frrom 10.20.66.10: byytess=322 tiime=1877ms TTLL=1225Ping staatissticcs ffor 10.20.66.10: PPackketss: SSentt = 4, Recceivved = 44, LLostt = 0 (0% losss),Approoximmatee rooundd trrip timmes in millli-seccondds: MMiniimumm = 1722ms, Maaximmum = 1188mms, Aveeragge = 1883mss配dns之之前，ppingg tteaccherr 的ii

40、p地址址，但ppingg不了域域名；配配dnss之后，iip地址址和域名名都可以以pinng通。Teacher的域名，服务器的域名，student的域名。PCpiing mPingiing 10.20.66.10 witth 332 bbytees oof ddataa:Replyy frrom 10.20.66.10: byytess=322 tiime=1566ms TTLL=1225Replyy frrom 10.20.66.10: byytess=322 tiime=1599ms TTLL=1225Replyy frrom 10.20.66.10: byytess=322 tiime=

41、1722ms TTLL=1225Replyy frrom 10.20.66.10: byytess=322 tiime=1566ms TTLL=1225Ping staatissticcs ffor 10.20.66.10: PPackketss: SSentt = 4, Recceivved = 44, LLostt = 0 (0% losss),Approoximmatee rooundd trrip timmes in millli-seccondds: MMiniimumm = 1566ms, Maaximmum = 1172mms, Aveeragge = 1660mssPCpiin

42、g mPingiing 10.20.1688.7 witth 332 bbytees oof ddataa:Replyy frrom 10.20.1688.7: byytess=322 tiime=1577ms TTLL=1226Replyy frrom 10.20.1688.7: byytess=322 tiime=1566ms TTLL=1226Replyy frrom 10.20.1688.7: byytess=322 tiime=1411ms TTLL=1226Replyy frrom 10.20.1688.7: byytess=322 tiime=1255ms TTLL=1226Pi

43、ng staatissticcs ffor 10.20.1688.7: PPackketss: SSentt = 4, Recceivved = 44, LLostt = 0 (0% losss),Approoximmatee rooundd trrip timmes in millli-seccondds: MMiniimumm = 1255ms, Maaximmum = 1157mms, Aveeragge = 1444mss在studdentt上测试试wwww服务。在studdentt机的桌桌面，在在WEBB浏览器器的地址址栏里输输入htttp:/110.220.1168.7/显示网页内内容：Ciscoo Paackeet TTraccerWelcoome to njuupt fillm ssitee. yyou cann doownlloadd f