配置基於上下文的訪問控制

Addressing Table

地址表

 

Device	Interface	IP Address	Subnet Mask	Default Gateway
R1	Fa0/1	192.134.1.1	255.255.255.0	N/A
	S0/0/0	10.1.1.1	255.255.255.252	N/A
R2	S0/0/0	10.1.1.2	255.255.255.252	N/A
	S0/0/1	10.2.2.2	255.255.255.252	N/A
R3	Fa0/1	192.134.3.1	255.255.255.0	N/A
	S0/0/1	10.2.2.1	255.255.255.252	N/A
PC-A	NIC	192.134.1.3	255.255.255.0	192.134.1.1
PC-C	NIC	192.134.3.3	255.255.255.0	192.134.3.1

 

驗證網絡的聯通性

PC-CpingPC-A

 

 

·在PC-C開一個網頁瀏覽器登入PC-A來展現網頁。關掉PC-C的瀏覽器。

 

 

1.在R3配置一個命名IP ACl阻隔全部外網產生的流量

R3(config)# ip access-list extended OUT-IN

R3(config-ext-nacl)# deny ip any any

R3(config-ext-nacl)# exit

R3(config)# interface s0/0/1

 

R3(config-if)# ip access-group OUT-IN in

在PC-C命令提示符ping PC-A服務器。ICMP回送響應會被ACL阻隔。

 

 

2.建立一個CBAC檢測規則

R3(config)# ip inspect name IN-OUT-IN icmp

R3(config)# ip inspect name IN-OUT-INtelnet

 R3(config)# ip inspect name IN-OUT-INhttp

R3(config)# ip inspect audit-trail

R3(config)# service timestamps debug datetime msec

R3(config)# logging host 192.168.1.3

R3(config)# interface s0/0/1

R3(config-if)# ip inspect IN-OUT-IN out

驗證審計跟蹤信息正被syslog服務器記錄

在PC-C 成功ping、telnet訪問PC-A來檢測連通性。

 

 

 

在PC-A,ping,Telnet PC-C來檢測連通性，這兩步都被阻隔掉

回顧在服務器PC-A的syslog信息，在配置窗口點擊syslog option。