راهکارهای شبکه و امنیت

فکر کنید شما چند تا پیمانکار تو اداره یا شرکت خود دارید که توسط PC به شبکه شرکت شما متصل شده اند و شما قصد دارید که به آنها هر روز از ساعت 17:00 تا 19:00 اجازه دسترسی به اینترنت را بدهید و مابقی روز فقط بتوانند به شبکه داخلی شما دسترسی داشته باشند.میخواهیم در یک زمان مشخص به اینترنت دسترسی داشته باشند.

در روتر ما دوتا ACL ایجاد میکنیم. اولین ACL یک ACL زمانبندی شده است که از ترافیک 192.168.1.4 و 192.168.1.5 که زمان خروج از اینترفیس Fa0/0 جلوگیری به عمل می آورد. دومین ACL فقط به ترافیکهای با آدرس مبداء 192.168.1.1-5 جهت عبور از اینترفیس Fa0/1 اجازه عبور میدهد با این کار اگر پیمانکار IP خود را به 192.168.1.10 تغییر دهد که به اینترنت دسترسی داشته باشد جلوگیری میکند. چون که ممکن است مدیر شبکه به PC های پیمتنکاران دسترسی نداشته باشند وآنها آز سیستم های شخصی استفاده کنند.

اولین کاری که میکنیم رنج زمانی که میخواهیم فعالتها را بلاک کنیم تعریف میکنیم:

securitynet#configure terminal 

.Enter configuration commands, one per line. End with CNTL/Z

securitynet(config)#time-range CONTRACTOR_NO_INTERNET

securitynet(config-time-range)#periodic daily 0:00 to 16:59

securitynet(config-time-range)#periodic daily 19:00 to 23:59

مرحله بعدی یک ACL ایجاد میکنیم و نیاز داریم که مطمئن شویم که ACL فقط در رنج زمانی ما فعال میشود

securitynet(config)#ip access-list extended CONTRACTORS

securitynet(config-ext-nacl)# deny ip host 192.168.1.4 any time-range CONTRACTOR_NO_INTERNET

securitynet(config-ext-nacl)# deny ip host 192.168.1.5 any time-range CONTRACTOR_NO_INTERNET

securitynet(config-ext-nacl)# permit ip any any

حال نیاز داریم که ACL را به اینترفیس Fa0/0 اعمال کنیم:

securitynet(config)# interface FastEthernet0/0

securitynet(config-if)# ip address 10.1.1.1 255.255.255.0

securitynet(config-if)# ip access-group CONTRACTORS out

securitynet(config-if)# duplex auto

securitynet(config-if)# speed auto

securitynet(config-if)# end

همانطوری که در مراحل قبل ذکر شد باید به ip های موجود دز شبکه 192.168.1-5 اجازه عبور بدهیم.یک acl مطابق زیر ایجاد میکنیم و آن را به اینترفیس Fa 0/1 اعمال میکنیم:

access-list 1 permit 192.168.1.1

access-list 1 permit 192.168.1.3

access-list 1 permit 192.168.1.2

access-list 1 permit 192.168.1.5

access-list 1 permit 192.168.1.4

access-list 1 deny any

روی اینترفیس Fa 0/1 به صورت زیر عمل میکنیم:

interface FastEthernet0/1

ip address 192.168.1.254 255.255.255.0

ip access-group 1 in

duplex auto

speed auto

end