基于上下文的访问控制
拓扑图
地址表
|
Device |
Interface |
IP address |
|
R1 |
F 0/0 |
192.168.12.1 |
|
S 0/0/0 |
10.1.12.1 |
|
|
R2 |
S 0/0/0 |
10.1.12.2 |
|
S 0/0/1 |
10.2.12.2 |
|
|
R3 |
F 0/0 |
172.16.12.3 |
|
S 0/0/0 |
10.2.112.3 |
|
|
PC-A |
NIC |
192.168.12.4 |
|
Default Gateway |
192.168.12.1 |
|
|
PC-C |
NIC |
172.16.12.4 |
|
Default Gateway |
172.16.12.3 |
预配置：
在配置防火墙之前验证设备间连通性，即先配置静态路由
R1(config)#ip route 10.2.12.0 255.255.255.0 10.1.12.2
R1(config)#ip route 172.16.12.0 255.255.255.0 10.1.12.2
R2(config)#ip route 192.168.12.0 255.255.255.0 10.1.12.1
R2(config)#ip route 172.16.12.0 255.255.255.0 10.2.12.3
R3(config)#ip route 10.1.12.0 255.255.255.0 10.2.12.2
R3(config)#ip route 192.168.12.0 255.255.255.0 10.2.12.2
在R3启用密码
R3(config)#enable password abc123
启用console口密码
R3(config)#line console 0
R3(config-line)#password abd123
启用vty行接入密码
R3(config)#line vty 0 4
R3(config-line)#password abe123
把S1、S2所有交换机接口都在Vlan1(S2同理)
S1(config)#int f 0/1
S1(config-if)# switchport access vlan 1
S1(config-if)# switchport trunk allowed vlan 1
S1(config)#int f 0/2
S1(config-if)# switchport access vlan 1
S1(config-if)# switchport trunk allowed vlan 1
预配置完成
验证
在PC-C的命令提示符中ping PC-A服务器
在PC-C命令提示符中telnet路由R2的s0/0/1接口：地址时10.2.12.2.退出telnet阶段
在PC-C开一个网页浏览器登入PC-A来展示网页。关掉PC-C的浏览器。
在PC-A的命令提示符ping PC-C
在R3配置一个命名IP ACl阻隔所有外网产生的流量
用ip access-list extended指令创造一个已命名的IP ACL
R3(config)#ip access-list extended out-in
R3(config-ext-nacl)# deny ip any any
R3(config-ext-nacl)# exit
在s0/0/0应用ACl
R3(config)#int s 0/0/0
R3(config-if)# ip access-group out-in in
确保进入s0/0/1接口的流量被阻隔
在PC-C命令提示符ping PC-A服务器。ICMP回送响应会被ACL阻隔
创建一个CBAC检测规则
第一步 创建一个检测规则来检测ICMP，Telnet，和HTTP流量。
R3(config)# ip inspect name IN-OUT-IN icmp
R3(config)# ip inspect name IN-OUT-IN telnet
R3(config)# ip inspect name IN-OUT-IN http
第二步 开启时间戳记记录和CBAC审计跟踪信息。
R3(config)# ip inspect audit-trail
R3(config)# service timestamps debug datetime msec
R3(config)# logging host 192.168.12.3
第三步 对在s0/0/0的出口流量用检测规则。
R3(config-if)# ip inspect IN-OUT-IN out
第四步 验证审计跟踪信息正被syslog服务器记录
在PC-C 成功ping、telnet访问PC-A来检测连通性。需要注意Telnet不了。
在PC-A,ping,Telnet PC-C来检测连通性，这两步都被阻隔掉
