is路由器中基于时间的访问控制列表案例介绍.docVIP

CISCO基于时间的访问控制列表 Cisco路由器屮有两种常用访问控制列表（Access-List），一种是标准访问列表， 另一种是扩展访问列表。前者主要用于基于源和冃标地址的数据包过滤，而后者用 于基于口标地址、源地址和网络协议及其端口号等的数据包过滤。随着网络技术的 发展和用户要求的变化，从IOS12.0开始，Cisco路由器新增加了一种基于时间的 访问控制。通过它，可以根据一天中不同时间或者根据一周中的不同口期（当然也 可以二者结合起来）控制网络数裾包的转发，给网管人员的日常维护带来很大便利。 这种基于吋叫的访问列表足在原来标准访问列表和扩展访问列表中加入有效的 时间范围来更合理有效地控制网络的。它先定义一个时间范围，然后在原来的各种 访问列表的基础上应用它，对于编号访问表和名称访问表均适用。 命令及参数 可以用“time-range”命令来指定时间范围的名称，然后用“absolute”命令或者一个 或多个“periodic”命令来具体定义时间范围，IOS命令格式为： time-range time-range-name absolute [start time date] [end time date] periodic days-of-the week hh:mm to [days-of-the week] hh:mm 202. III. no. 0 ；202.22：, 100.0 202, ni,no.so为瓤务?) —* noi.222. too. ioo 々脈务 time-range：用来定义时间范围； time-range-name:时间范围名利;，用来标识时间范围，以便在后向的访问列表中引 用； absolute：该命令用来指定绝对时间范围。它后面紧跟start和end两个关键字。在 两个关键字后面的时间要以24小时制和“hh: mm （小时：分钟）’’表示，口期要按照 “円/月/年”形式表示。这两个关键字也可以都省略。如果省略start及其后面的时间， 表示与之相联系的permit或deny语句立即生效，并一直作用到end处的时间为止; 若竹略end及其后面的时间，表示与之相联系的permit或deny语句在start处表示 的时间开始生效，并.R.永远发生作用（当然如把访问列表删除了的话就不会起作用 了）。 为了便于理解，下面看两个例子。如果要表示每天早8点到晚6点幵始起作用, 可以用这样的语句： absolute start 8 : 00 end 18 : 00 再如，我们要使一个访问列表从2003年1月1 口早8点开始起作用，直到2003年 1月10日晚23点停止作用，命令如下： absolute start 8 : 00 丨 January 2003 end 23 : 00 10 January 2003 这样我们就可以用这种基于时间的访问列表来实现，而不用半夜跑到办公室去删除 那个访问列表了。接下来，介绍一下periodic命令及其参数。 一个时间范围只能有一个absolute语句，但是可以有几个periodic语句。 periodic：主要以星期为参数来定义吋间范围。它的参数主要有Monday、Tuesday、 Wednesday、Thursday、Friday、Saturday、Sunday 中的一个或者几个的组合，也可 以是daily （每天）、weekday （周一到周五）或者weekend （周末）。 我们还是来看儿个具体的例子。比如表示每周一到周五的早9点到晚10点半, 命令如下： periodic weekday 9 : 00 to 22 ?? 30 每周一早7点到周二的晚8点可以这样表示： periodic Monday to Tuesday 20 : 00 在把时间范围定义淸楚后，我们来看看如何在实际情况下应用这种基于时间的访问 列表。 实例分析 在上图所示的网络中，路由器有两个以太网接口 E0和E1,分别连接着 和 两个子网络，其中 0 和 00 分别是Web服务器1和Web服务器2。还有一个串口 S1,连入Internet。为了让 子网的公司员工在工作时间不能进行Web浏览，从2000年12月1日 1点到2000年12月31日晚24点这一个月中，只有在周六早7点到周日晚10点方 可以通过公司的网络访问Interneto我们做如下的基于吋间的访问控制列表来实现这 样的功能： Router# config t Router (config)# interface ethernet 0 Router (conf ig-if)#ip access-group 101 in Router (config-if)#time-range http Router (conf ig-if