實驗 - 設定並檢驗標準 ACL 拓樸 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 1 頁, 共 9 頁

Size: px

Start display at page:

歙却
4 years ago
Views:

2 位址分配表裝置介面 IP 位址子網路遮罩預設閘道 R1 G0/ N/A Lo N/A S0/0/0 (DCE) N/A ISP S0/0/ N/A S0/0/1 (DCE) N/A Lo N/A R3 G0/ N/A Lo N/A S0/0/ N/A S1 VLAN S3 VLAN PC-A NIC PC-C NIC 目標第 1 部分 : 設定拓樸並初始化裝置設定裝置以匹配網路拓樸初始化並重新載入路由器和交換器第 2 部分 : 設定裝置並檢驗連接為 PC 分配靜態 IP 位址在路由器上設定基本設定在交換器上設定基本設定在 R1 ISP R3 上設定 OSPF 路由檢驗裝置之間的連接第 3 部分 : 設定並檢驗標準編號 ACL 和命名 ACL 設定套用並檢驗編號標準 ACL 設定套用並檢驗命名 ACL 第 4 部分 : 修改標準 ACL 修改並檢驗命名標準 ACL 測試 ACL 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 2 頁, 共 9 頁

3 背景 / 場景在設計和管理 IP 網路時, 網路安全是一個非常重要的問題根據安全政策設定適當的規則來過濾封包是一項重要技能在本實驗中, 你需要在 R1 和 R3 代表的兩間辦公室之間設定過濾規則管理層已經制定了 R1 和 R3 之間的 LAN 的一些存取政策, 你必須按照規定執行 R1 和 R3 之間的 ISP 路由器上將沒有任何 ACL 因為你只能控制和管理自己的裝置, 所以你不能對 ISP 路由器進行管理存取注意 :CCNA 動手實驗所用的路由器是採用 Cisco IOS Release 15.2(4)M3(universalk9 映像檔 ) 的 Cisco 1941 整合服務路由器 (ISR) 所用的交換器是採用 Cisco IOS Release 15.0(2)(lanbasek9 映像檔 ) 的 Cisco Catalyst 2960 系列也可使用其他路由器交換器以及 Cisco IOS 版本根據型號以及 Cisco IOS 版本不同, 可用命令和產生的輸出可能與實驗顯示的不一樣請參考本實驗末尾的路由器介面摘要表以瞭解正確的介面識別字注意 : 確保所使用的路由器和交換器的啟動設定都已刪除如果不確定, 請聯繫教師所需資源 3 台路由器 ( 支援 Cisco IOS 15.2(4)M3 版通用映像檔的 Cisco 1941 或同類路由器 ) 2 台交換器 ( 支援 Cisco IOS 版本 15.0(2) lanbasek9 映像檔的 Cisco 2960 或同類交換器 ) 2 台 PC( 採用 Windows 7 Vista 或 XP 且支援終端模擬程序, 比如 Tera Term) 用於透過主控台纜線設定 Cisco IOS 裝置的主控台連接埠如拓樸所示的乙太網路纜線和序列纜線第 1 部分 : 設定拓樸並初始化裝置在第 1 部分, 你需要建立網路拓樸, 並在必要時清除所有設定第 1 步 : 建立如拓樸圖所示的網路第 2 步 : 初始化並重新載入路由器和交換器第 2 部分 : 設定裝置並檢驗連通性在第 2 部分, 你需要在路由器交換器和 PC 上設定基本設定請參考拓樸圖和位址分配表獲取裝置名稱和位址資訊第 1 步 : 在 PC-A 和 PC-C 上設定 IP 位址第 2 步 : 設定路由器的基本設定 a. 停用 DNS 查詢 b. 如拓樸所示設定裝置名稱 c. 按照位址分配表所示, 在每台路由器上新增迴路介面 d. 按照拓樸圖和位址分配表所示, 設定介面 IP 位址 e. 將特權 EXEC 模式密碼設定為 class 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 3 頁, 共 9 頁

4 f. 為 DCE 序列介面指定時脈頻率 g. 指定 cisco 作為主控台密碼 h. 指定 cisco 作為 vty 密碼並啟用 Telnet 存取第 3 步 : ( 選擇性 ) 在交換器上設定基本設定 a. 停用 DNS 查詢 b. 如拓樸所示設定裝置名稱 c. 按照拓樸圖和位址分配表所示, 設定管理介面的 IP 位址 d. 將特權 EXEC 模式密碼設定為 class e. 設定預設閘道 f. 指定 cisco 作為主控台密碼 g. 指定 cisco 作為 vty 密碼並啟用 Telnet 存取第 4 步 : 在 R1 ISP R3 上設定 OSPF 路由 a. 設定程序識別碼 1 並通告給 R1 ISP 和 R3 上的所有網路提供 R1 和 ISP 的 OSPF 設定供參考 : R1(config)# router ospf 1 R1(config-router)# network area 0 R1(config-router)# network area 0 R1(config-router)# network area 0 ISP(config)# router ospf 1 ISP(config-router)# network area 0 ISP(config-router)# network area 0 ISP(config-router)# network area 0 b. 在設定 R1 ISP 和 R3 上的 OSPF 後, 確認所有路由器都有列出所有網路的完整路由表如果不是這種情況, 請排除故障第 5 步 : 檢驗裝置之間的連接注意 : 在設定和套用存取清單之前, 必須測試連接是否正常在開始過濾流量之前, 你希望確保網路正常執行 a. 在 PC-A 上對 PC-C 和 R3 的迴路介面執行 ping 操作你的 ping 是否成功? b. 在 R1 上對 PC-C 和 R3 的迴路介面執行 ping 操作你的 ping 是否成功? c. 在 PC-C 上對 PC-A 和 R1 的迴路介面執行 ping 操作你的 ping 是否成功? d. 在 R3 上對 PC-A 和 R1 的迴路介面執行 ping 操作你的 ping 是否成功? 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 4 頁, 共 9 頁

5 第 3 部分 : 設定並檢驗標準編號 ACL 和命名 ACL 第 1 步 : 設定編號標準 ACL 標準 ACL 只能根據來源 IP 位址過濾流量標準 ACL 的典型最佳實作是設定並將其套用於儘量靠近目的地址的位置對於第一個存取清單, 新增一個標準編號 ACL, 以便允許來自 /24 網路中所有主機和來自 /24 網路中所有主機的流量存取 /24 網路中的所有主機安全政策還規定, 所有 ACL 的末尾應顯示一個 deny any 存取控制項目 (ACE), 也稱為 ACL 敘述為了允許 /24 網路中的所有主機存取 /24 網路, 你可以使用什麼萬用字元遮罩? 根據思科推薦的最佳實作, 你會將此 ACL 套用到那個路由器? 你會將此 ACL 套用到那個介面? 你會套用到那個方向? a. 在 R3 上設定 ACL 將 1 當作存取清單編號 R3(config)# access-list 1 remark Allow R1 LANs Access R3(config)# access-list 1 permit R3(config)# access-list 1 permit R3(config)# access-list 1 deny any b. 將 ACL 套用到正確方向上的正確介面 R3(config)# interface g0/1 R3(config-if)# ip access-group 1 out c. 檢驗編號 ACL 使用各種 show 命令可以幫助你檢驗路由器上的 ACL 的語法和位置要查看包含所有 ACE 的完整存取清單 1, 你會使用那個命令? 要查看存取清單的套用位置和套用方向, 你會使用那個命令? 1) 在 R3 上, 發出 show access-lists 1 命令 R3# show access-list 1 Standard IP access list 1 10 permit , wildcard bits permit , wildcard bits deny any 2) 在 R3 上, 發出 show ip interface g0/1 命令 R3# show ip interface g0/1 GigabitEthernet0/1 is up, line protocol is up Internet address is /24 Broadcast address is Address determined by non-volatile memory MTU is 1500 bytes Helper address is not set 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 5 頁, 共 9 頁

6 Directed broadcast forwarding is disabled Multicast reserved groups joined: Outgoing access list is 1 Inbound access list is not set Output omitted 3) 測試 ACL, 以查看它是否允許 /24 網路的流量存取 /24 網路在 PC-A 的命令提示字元下, 對 PC-C 的 IP 位址執行 ping 操作 ping 是否成功? 4) 測試 ACL, 以查看它是否允許 /24 網路的流量存取 /24 網路你必須執行延伸 ping 操作並使用 R1 的 loopback 0 位址作為來源位址對 PC-C 的 IP 位址執行 ping 操作 ping 是否成功? R1# ping Protocol [ip]: Target IP address: Repeat count [5]: Datagram size [100]: Timeout in seconds [2]: Extended commands [n]: y Source address or interface: Type of service [0]: Set DF bit in IP header? [no]: Validate reply data? [no]: Data pattern [0xABCD]: Loose, Strict, Record, Timestamp, Verbose[none]: Sweep range of sizes [n]: Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to , timeout is 2 seconds: Packet sent with a source address of !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 28/29/32 ms d. 在 R1 提示字元下, 再次對 PC-C 的 IP 位址執行 ping 操作 R1# ping ping 是否成功? 原因是什麼? 第 2 步 : 設定命名標準 ACL 新增符合以下政策的標準命名 ACL: 允許來自 /24 網路的所有主機流量存取 /24 網路此外, 僅允許主機 PC-C 存取 /24 網路該存取清單的名稱應為 BRANCH-OFFICE-POLICY 根據思科推薦的最佳實作, 你會將此 ACL 套用到那個路由器? 你會將此 ACL 套用到那個介面? 你會套用到那個方向? 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 6 頁, 共 9 頁

7 a. 在 R1 上新增標準命名 ACL BRANCH-OFFICE-POLICY R1(config)# ip access-list standard BRANCH-OFFICE-POLICY R1(config-std-nacl)# permit host R1(config-std-nacl)# permit R1(config-std-nacl)# end R1# *Feb 15 15:56:55.707: %SYS-5-CONFIG_I: Configured from console by console 查看存取清單中的第一個 permit ACE, 另一種編寫方法是什麼? b. 將 ACL 套用到正確方向上的正確介面 R1# config t R1(config)# interface g0/1 R1(config-if)# ip access-group BRANCH-OFFICE-POLICY out c. 檢驗命名 ACL 1) 在 R1 上, 發出 show access-lists 命令 R1# show access-lists Standard IP access list BRANCH-OFFICE-POLICY 10 permit permit , wildcard bits R1 上的 ACL 與 R3 上的 ACL 是否有區別? 如果是, 它是什麼? 2) 在 R1 上, 發出 show ip interface g0/1 命令 R1# show ip interface g0/1 GigabitEthernet0/1 is up, line protocol is up Internet address is /24 Broadcast address is Address determined by non-volatile memory MTU is 1500 bytes Helper address is not set Directed broadcast forwarding is disabled Multicast reserved groups joined: Outgoing access list is BRANCH-OFFICE-POLICY Inbound access list is not set < 省略部分輸出 > 3) 測試 ACL 在 PC-C 的命令提示字元下, 對 PC-A 的 IP 位址執行 ping 操作 ping 是否成功? 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 7 頁, 共 9 頁

8 4) 測試 ACL, 以確保只允許 PC-C 主機存取 /24 網路你必須執行延伸 ping 操作並使用 R3 的 G0/1 位址作為來源位址對 PC-A 的 IP 位址執行 ping 操作 ping 是否成功? 5) 測試 ACL, 以查看它是否允許 /24 網路的流量存取 /24 網路你必須執行延伸 ping 操作並使用 R3 的 loopback 0 位址作為來源位址對 PC-A 的 IP 位址執行 ping 操作 ping 是否成功? 第 4 部分 : 修改標準 ACL 企業中的安全政策經常發生變化因此, 有時可能需要修改 ACL 在第 4 部分, 你需要更改你以前設定的一個 ACL, 以便滿足新的管理政策要求管理層決定允許來自 /27 網路的用戶具有 /24 網路的完全存取權限管理層還希望所有路由器上的 ACL 遵循一致的規則所有 ACL 的末尾都應設定一個 deny any ACE 你必須修改 BRANCH-OFFICE-POLICY ACL 你需要在該 ACL 中增加另外兩行可以採用以下兩種方法 : 選項 1: 在全域設定模式發出 no ip access-list standard BRANCH-OFFICE-POLICY 命令這將有效刪除路由器的整個 ACL 根據路由器的 IOS, 將會發生以下情況之一 : 所有封包過濾操作將被取消, 路由器將允許所有封包透過 ; 或者, 由於你未刪除 G0/1 介面的 ip access-group 命令, 仍會執行過濾操作不管怎樣,ACL 消失之後, 你可以重新輸入完整的 ACL, 或者從文字編輯器中剪切並粘貼一個 ACL 選項 2: 你可以在 ACL 自身中增加或刪除特定的行來修改 ACL 這種方法非常方便, 尤其是有許多程式碼行的 ACL 重新輸入完整的 ACL 或者執行剪切並粘貼操作很容易造成錯誤在 ACL 中修改特定的行比較輕鬆注意 : 在本實驗中, 請使用選項 2 第 1 步 : 修改命名標準 ACL a. 在 R1 的特權 EXEC 模式下, 發出 show access-lists 命令 R1# show access-lists Standard IP access list BRANCH-OFFICE-POLICY 10 permit (8 matches) 20 permit , wildcard bits (5 matches) b. 在 ACL 的末尾增加兩行在全域設定模式下, 修改 ACL BRANCH-OFFICE-POLICY R1#(config)# ip access-list standard BRANCH-OFFICE-POLICY R1(config-std-nacl)# 30 permit R1(config-std-nacl)# 40 deny any R1(config-std-nacl)# end c. 檢驗該 ACL 1) 在 R1 上, 發出 show access-lists 命令 R1# show access-lists Standard IP access list BRANCH-OFFICE-POLICY 10 permit (8 matches) 20 permit , wildcard bits (5 matches) 30 permit , wildcard bits deny any 是否必須對 R1 的 G0/1 介面套用 BRANCH-OFFICE-POLICY? 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 8 頁, 共 9 頁

9 思考 2) 在 ISP 的命令提示字元下, 發出延伸 ping 測試 ACL, 以查看它是否允許 /27 網路的流量存取 /24 網路你必須執行延伸 ping 操作並使用 ISP 的 loopback 0 位址作為來源位址對 PC-A 的 IP 位址執行 ping 操作 ping 是否成功? 1. 你可以看到, 標準 ACL 非常強大並且執行良好為什麼還需要使用延伸 ACL? 2. 通常, 與編號 ACL 相比, 使用命名 ACL 需要輸入更多內容為什麼要選擇命名 ACL 而不選擇編號 ACL? 路由器介面摘要表路由器介面摘要路由器型號 Ethernet Interface #1 Ethernet Interface #2 Serial Interface #1 Serial Interface # Fast Ethernet 0/0 (F0/0) 1900 Gigabit Ethernet 0/0 (G0/0) 2801 Fast Ethernet 0/0 (F0/0) 2811 Fast Ethernet 0/0 (F0/0) 2900 Gigabit Ethernet 0/0 (G0/0) Fast Ethernet 0/1 (F0/1) Gigabit Ethernet 0/1 (G0/1) Fast Ethernet 0/1 (F0/1) Fast Ethernet 0/1 (F0/1) Gigabit Ethernet 0/1 (G0/1) Serial 0/0/0 (S0/0/0) Serial 0/0/0 (S0/0/0) Serial 0/1/0 (S0/1/0) Serial 0/0/0 (S0/0/0) Serial 0/0/0 (S0/0/0) Serial 0/0/1 (S0/0/1) Serial 0/0/1 (S0/0/1) Serial 0/1/1 (S0/1/1) Serial 0/0/1 (S0/0/1) Serial 0/0/1 (S0/0/1) 注意 : 若要瞭解如何設定路由器, 請查看介面來確定路由器類型以及路由器擁有的介面數量我們無法為每類路由器列出所有的設定組合下表列出了裝置中乙太網路和序列介面組合的識別字此表中未包含任何其他類型的介面, 但實際的路由器可能會含有其他介面例如 ISDN BRI 介面括弧中的字串是約定縮寫, 可在 Cisco IOS 命令中用來代表介面 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 9 頁, 共 9 頁

實驗 - 設定並檢驗 IPv6 ACL 拓樸 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 1 頁, 共 10 頁

實驗 - 設定並檢驗 IPv6 ACL 拓樸 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 1 頁, 共 10 頁拓樸 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 1 頁, 共 10 頁位址分配表目標裝置介面 IP 位址預設閘道 R1 G0/0 2001:DB8:ACAD:B::1/64 N/A G0/1 2001:DB8:ACAD:A::1/64 N/A S0/0/0 (DCE) 2001:DB8:AAAA:1::1/64 N/A R2 S0/0/0 2001:DB8:AAAA:1::2/64

實驗 - 設定並檢驗標準 ACL 拓樸 2014 思科和 / 或其附屬公司 保留所有權利 本檔案所含內容為思科公開發佈的資訊 第 1 頁, 共 9 頁

實驗 - 設定並檢驗標準 ACL 拓樸 2014 思科和 / 或其附屬公司保留所有權利本檔案所含內容為思科公開發佈的資訊第 1 頁, 共 9 頁