基于时间的访问控制列表
基于时间的访问控制列表 This model paper was revised by the Standardization Office on December 10, 2020
基于时间的访问控制列表
【实验名称】
基于时间的访问控制列表。
【实验目的】
掌握基于时间段进行控制的IP访问列表配置。
【背景描述】
你是某公司网管，为了保证公司上班时间的工作效率，公司要求上班时间只可以访问公司的内部网站。下班以后员工可以随意放松，访问网络不受限制。
本实验以1台1762路由器为例。PC机的IP地址和缺省网关分别为/24和/24，服务器（Server）的IP地址和缺省网关分别为/24和/24，路由器的接口F1/0和F1/1的IP地址分别为/24和/24。
【技术原理】
基于时间的访问列表是指在标准或扩展的访问列表的基础上增加时间段的应用规则。
Time-range时间段分为两种：绝对性时间段和周期性时间段。
在周期时间段里有一些常见参数：weekdays表示每周的工作日（周一至周五）、weekend表示周末（周六和周日）、daily表示每天。
【实现功能】
基于时间对网络访问进行控制，提高网络的使用效率和安全性。
【实验设备】
R1762路由器（1台）、直连线或交叉线（2条）【实验拓扑】
图 1
【实验步骤】
步骤1. 基本配置。
Router#configure terminal
Router(config)#interface fastethernet 1/0
Router(config-if)#ip address
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#interface fastethernet 1/1
Router(config-if)#ip address
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#
验证配置：查看路由器接口的状态。
Router#show ip interface brief
Interface IP-Address(Pri) OK Status
serial 1/2 no address YES DOWN
serial 1/3 no address YES DOWN
FastEthernet 1/0 /24 YES UP
FastEthernet 1/1 /24 YES UP
Null 0 no address YES UP
步骤2. 配置路由器的时钟。
Router#show clock !查看路由器当前时钟
clock: 1987-1-16 5:19:9
Router#clock set 16:03:40 27 april 2006-4-27 !重设路由器当前时钟和实际时钟同步
Router#show clock
clock: 2006-4-27 16:04:9
步骤3. 定义时间段。
Router(config)#time-range freetime
Router(config-time-range)#absolute start 8:00 1 jan 2006 end 18:00 30
dec 2010 !定义绝对时间段
Router(config-time-range)#periodic daily 0:00 to 9:00 !定义周期性时间段Router(config-time-range)#periodic daily 17:00 to 23:59
!定义周期性时间段
验证配置：查看时间段配置。
Router#show time-range
time-range entry: freetime (inactive)
absolute start 08:00 01 January 2006 end 18:00 30 December 2010
periodic Daily 0:00 to 9:00
periodic Daily 17:00 to 23:59
步骤4. 定义访问控制列表规则。
Router(config)#access-list 100 permit ip any host
!定义扩展访问控制列表，允许访问主机
Router(config)#access-list 100 permit ip any any time-range freetime ! 关联time-range接口t1，允许在规定时间段访问任何网络
注：访问控制列表的隐含规则是拒绝所有数据包。
验证配置：查看访问控制列表配置。
Router#show access-lists
Extended IP access list 100 includes 2 items:
permit ip any host
permit ip any any time-range freetime (active)
步骤5. 将访问列表规则应用在接口上。
Router(config)#interface fastethernet 1/0
Router(config-if)#ip access-group 100 in !在F1/0接口上进行入栈应用验证配置：查看F1/0接口上应用的规则。
Router#show ip interface fastethernet 1/0
FastEthernet 1/0
IP interface state is: UP
IP interface type is: BROADCAST
IP interface MTU is: 1500
IP address is:
/24 (primary)
IP address negotiate is: OFF
Forward direct-boardcast is: ON
ICMP mask reply is: ON
Send ICMP redirect is: ON
Send ICMP unreachabled is: ON
DHCP relay is: OFF
Fast switch is: ON
Route horizontal-split is: ON
Help address is: 0.0.0.0
Proxy ARP is: ON
Outgoing access list is not set.
Inbound access list is 100.
步骤6. 验证测试。
在服务器主机上配置Web服务器，服务器IP地址为（详见选修实验内容）。
1、验证在工作时间的服务器的访问。
更改路由器的当前时间为上班时间，PC机可以访问的Web服务。更改
服务器的IP地址为，PC机无法访问Web服务。
2、验证在非工作时间的服务器的访问。
更改路由器的当前时间为下班时间，PC机可以访问的Web服务。更改
服务器的IP地址为，PC机同样可以访问Web服务。
【注意事项】
1、在定义时间接口前须先校正路由器系统时钟；
2、Time-range接口上允许配置多条periodic规则（周期时间段），在ACL进行匹配
时，只要能匹配任一条periodic规则即认为匹配成功，而不是要求必须同时匹配多条periodic规则；
3、设置periodic规则时可以按以下日期段进行设置：day-of-the-week（星期几）、
Weekdays（工作日）、Weekdays（周末，即周六和周日）、Daily（每天）；
4、Time-range接口上只允许配置一条absolute规则（绝对时间段）；
5、Time-range允许absolute规则与periodic规则共存，此时，ACL必须首先匹配
absolute规则，然后再匹配periodic规则。
【参考配置】
Router#show running-config
Building configuration...
Current configuration : 925 bytes
!
version (building 53)
!
time-range freetime
absolute start 8:00 1 January 2006 end 18:00 30 December 2010 periodic Daily 0:00 to 9:00
periodic Daily 17:00 to 23:59
!
access-list 100 permit ip any host
access-list 100 permit ip any any time-range freetime
!
interface serial 1/2
clock rate 64000
!
interface serial 1/3
clock rate 64000
!
interface FastEthernet 1/0 ip access-group 100 in
ip address
duplex auto
speed auto
!
interface FastEthernet 1/1 duplex auto
speed auto
!
interface Null 0
!
line con 0
line aux 0
line vty 0
login
password 7 08103b1400 line vty 1
login
password 7 04240c072c line vty 2
login
password 7 1559192000 line vty 3
login
password 7 0133574225 line vty 4
login
password 7 1316064b1f !
end