思科模拟器:网络安全实验

时间:2022-07-22
本文章向大家介绍思科模拟器:网络安全实验,主要内容包括其使用实例、应用技巧、基本知识点总结和需要注意事项,具有一定的参考价值,需要的朋友可以参考一下。

一、实验目的

• 掌握访问列表顺序配置的重要性 • 理解标准访问控制列表的作用 • 掌握扩展访问列表的配置 • 理解扩展访问列表丰富的过滤条件

二、应用环境

• 某些安全性要求比较高的主机或网络需要进行访问控制 • 其它的很多应用都可以使用访问控制列表提供操作条件 • 可以针对目标IP地址进行控制 • 针对某些服务进行控制 • 可以针对某些协议进行控制

三、实验设备

• Cisco 路由器 2 台 • PC 机 2 台 • 交叉线 3 条

四、实验拓扑

五、实验要求

六、实验步骤

配置访问控制器列表

第一步:设置各个设备的名称及 IP 地址并测试连接情况

首先设置 PCA 的 IP 地址并检查:

然后设置路由器 A 的 IP 地址并检查:

设置完接口的 IP 地址不要忘记执行 no shutdown 命令。

在我们还没有执行该命令的时候,此时线路的连接状态是这样的:

当我们执行了该命令之后就可以发现变绿了。

接下来设置路由器 B 的 IP 地址:

最后设置 PCB 的 IP 地址:

然后分别用 PCA ping 其它各个设备并记录结果。

首先是 ping 路由器 A 的两个接口:

结果是都可以 ping 通。

然后 ping 路由器 B :

结果是都 ping 不通,ping PCB 也是 ping 不通。

原因是什么?

因为路由器只能连接相邻的两个网络,它的路由表中只有和它相邻的两个网络的路由信息,所以一旦跨越两个网络以上就不可达了,可以先看一下现在的路由表:

发现只有两个直连路由信息,接下来看看路由器 B 的路由表:

我们可以通过设置静态路由或者动态路由(RIP,OSPF)的方式使他们失效,这里配置一下静态路由信息。

第二步:配置静态路由

首先设置路由器 A 的路由信息:

检查一下:

然后配置路由器 B 的路由信息:

检查一下:

发现路由器 A 和 B 都多了一条静态路由记录信息。

第三步:PC-A能与PC-B通讯

这个时候再用 PCA 去 ping PCB,发现是可以 ping 通的:

第四步:配置访问控制器列表禁止PC-A所在的网段对PC-B的访问

然后我们来验证一下配置,可以使用两种分发:

show run
或者
show ip access-list 1

然后这个时候再去 ping 还是可以 ping 通的,为什么?

因为我们仅仅是配置了访问控制列表,但是并没有指定给哪一个端口,接下来指定一下:

这个时候再去 ping 就可以发现已经不行了。

配置扩展访问列表

配置该列表可以控制仅仅允许某些特殊的流量通过。

首先在路由器 B 上执行:

no ip access-group 1 out

代表取消掉之前的访问权限控制的配置。

这个时候再用 PCA 去 ping 一下 PC2 :

发现又可以 ping 通了,因为我们取消掉了访问权限控制。

切换到 RouterA,执行一下命令设置扩展访问权限列表:

ip access-list extended 192
deny tcp 192.168.0.0 0.0.0.255 host 192.168.2.2 eq 23
permit icmp any any
int f0/0
ip access-group 192 in
end
extended 后面数字的标识可以是 100-199 之间的数字;
192.168.0.0 是源 IP 地址;
192.168.2.2 是目的地址;
23 是端口号;
permit icmp any any 表示任何使用 ICMP 协议的分组都允许

他的原则是离源最近的原则,所以应该设置为 in

然后再去检查一下配置,在 PCA 去 ping PCB:

发现是可以的,因为我们设置了可以访问,下面使用 telnet 访问一下:

结果是就是访问不了,因为根本就没有流量可以进来。