怎样禁止访问非法网站

在IE浏览器中的Internet 选项中安全选项卡,设置受限制站点.或其他一些像Maxthon,Theworld等这样基于IE的第三方软件中设置黑名单/屏蔽名单(一般设置Internet选项后这些基于IE核心的软件自然也会遵守IE中的设置.).或者装个3721插件这样的第三方浏览辅助插件设置黑名单.这些都是基于浏览器里的一些设置. 其他也可装一些控制绿色上网的辅助软件或申请电信的绿色上网服务.你用的是IE浏览器的话,在 工具 菜单有个 internet选项 有个 安全 项 你点 受限的站点 添加你要限制的网站 Internet选项－安全－受限站点设置

百度上搜索“串口调试助手”或者“串口调试精灵”，进行简单的安装。点击运行串口调试助手，进入相应的界面。设置串口通讯的接口，波特率校验位等相关信息。在发送栏输入要发送的信息，选择手动发送或者自动发送，这时如果没有什么错误，对方的串口通信工具就会收到发送的内容。设置接收区域的相关信息，这时对方如果发送信息，接收区就会收到相应的内容。另外也可以进行文件的发送，但是串口通信的速率过慢，传输文件的话会很耗时，不过可以用来检测通信的正确性。

ACL，它的作用是对网络流量的访问行为进行控制，限制网络流量、提高网络性能，提供基本的网络访问安全性，决定在路由器接口上转发或阻止哪些类型的流量，是管理员管理、监控网络流量的得力工具。

通常ACL可分为基础acl和高级acl。

基础acl只能基于源IP地址进行匹配，高级acl则能基于多种参数进行匹配，包括三层信息，源和目的IP地址以及四层信息，比如TCP/UDP的源和目的的端口号。

当数据包到达过滤数据包的路由器时，分析IP数据包第三层及第四层的包头信息，进行判断，根据预先定义好的规则对包进行过滤，决定该数据包是应该通过还是应该丢弃。如果全部满足规则，则会deny或者permit。

本次实验通过一台PC和一个Client和server通过AR1连接，与AR2中的子网模拟实现了对ACL的应用，可以阻止通信和只允许部分通信，以及单项联通。

一.建立如下拓扑图并初始化设备

因为AR1自带的串口只能配置3个接口，所以需要在设置里为AR1配置一个接口，只要不是二层板，随便一个都可以。

二.设置访问控制要求

1.基本要求：

（1）源IP地址为172.16.1.1的流量不能从Internet进入企业网络；

（2）财务部门服务器（10.10.10.0/24）只能由财务部VLAN（10.10.30.0/24）中的主机进行访问。

2.高级ACL实验需求：

（1）通过高级ACL阻止工程部主机访问服务器。

（2）不允许财务部主机访问服务器的WEB服务，其它服务可以访问，如FTP。

三.设备的配置

1.IP配置

[AR1]

[AR1]int g0/0/0

[AR1-GigabitEthernet0/0/0]ip add 10.10.20.1 24

[AR1]int g0/0/1

[AR1-GigabitEthernet0/0/1]ip add 10.10.30.1 24

[AR1-GigabitEthernet2/0/0]ip add

[AR1-GigabitEthernet2/0/0]ip address 10.10.10.1 24

[AR1-GigabitEthernet0/02]ip add

[AR1-GigabitEthernet0/0/2]ip address 100.64.8.10 30

[AR2]

[AR2]int g0/0/0

[AR2-GigabitEthernet0/0/0]ip add 100.64.8.9 30

[AR2]int loopb0

[AR2-LoopBack0]ip add 172.16.1.1 32

[PC1]

[Client1]

[Server1]

2.配置服务器

（1） 先建立一个文件夹，里面随便随便保存一些东西。

（2）点击 “ Server1” 进行Http配置，选择刚刚建立好的文件夹，然后点击启动 。

（3）再建立一个文件夹

（4）点击Ftp进行配置。

（5） 此时可以通过client1点击【获取】或【登录】访问到此前建立的文件夹。

在没有做ACL之前，因为直连路由，所以都是通的。

3.配置OSPF，实现网络连通

[AR1]ospf 1 router-id 1.1.1.1

[AR1-ospf-1]area 0

[AR1-ospf-1-area-0.0.0.0]network 10.10.10.1 0.0.0.0

[AR1-ospf-1-area-0.0.0.0]network 10.10.20.1 0.0.0.0

[AR1-ospf-1-area-0.0.0.0]network 10.10.30.1 0.0.0.0

[AR1-ospf-1-area-0.0.0.0]network 100.64.8.10 0.0.0.3

[AR2]ospf 1 router-id 2.2.2.2

[AR2-ospf-1]area 0

[AR2-ospf-1-area-0.0.0.0]network 100.64.8.9 0.0.0.0

[AR2-ospf-1-area-0.0.0.0]network 172.16.1.1 0.0.0.0

此时，AR2已经学到了AR1的IP配置。

AR1同样学到了loopback。

从PC1 ping AR2是可以ping通的。

AR2的loopback也能ping通。

四.ACL基础配置

1.配置基本ACL，实现本实验需求

[AR1]acl 2000//基本acl

[AR1-acl-basic-2000]rule deny source 172.16.1.1 0.0.0.0

//省略rule编号，默认值则为5，拒绝访问匹配172.16.1.1

[AR1-acl-basic-2000]quit

[AR1]acl 2001

[AR1-acl-basic-2001]rule permit source 10.10.30.0 0.0.0.255

//只允许10.10.30.0进行访问

[AR1-acl-basic-2001]rule deny source any

//如果与上面允许的源不匹配，就拒绝所有源

注：基本ACL的位置应该尽可能靠近目的地，高级ACL尽可能靠近要拒绝的流量源

[AR1]interface g0/0/2

[AR1-GigabitEthernet0/0/2]traffic-filter inbound acl 2000

//traffic-filter inbound：表示对进的方向，流量过滤。

[AR1-GigabitEthernet0/0/2]quit

[AR1]interface g2/0/0

[AR1-GigabitEthernet2/0/0]traffic-filter outbound acl 2001

//表示此接口才用acl 2001配置

此时已经PC1和AR2的loopback0已经不能ping通了。

此时在AR1查看可知，之前在AR2上对PC1的访问被拒绝了5次，和前面刚好吻合。

此时server1只能由client1通信。

注：AR1上所有的配置汇总：

五.ACL高级配置

1.删除之前的acl基础配置。

[AR1-GigabitEthernet2/0/0]undo traffic-filter outbound

[AR1-GigabitEthernet0/0/2]undo traffic-filter inbound

[AR1]undo acl 2000

[AR1]undo acl 2001

删除以后，PC1又可以ping通server1了

2.高级ACL的配置如下：

[AR1]acl 3000

[AR1-acl-adv-3000]rule deny ip source 10.10.20.0 0.0.0.255 destination 10.10.10.2 0

//拒绝ip协议，10.10.20.0访问10.10.10.2

[AR1]interface g0/0/0

[AR1-GigabitEthernet0/0/0]traffic-filter inbound acl 3000

//在g0/0/0调用acl 3000

此时PC1不能再访问server1。

[AR1]acl 3001

[AR1-acl-adv-3001]rule deny tcp source 10.10.30.0 0.0.0.255 destination 10.10.10.2 0 destination-port eq 80

//拒绝tcp协议，从源10.10.30.0到10.10.10.2，eq表示等于，等于80端口（www，HTTP,80）。

[AR1]interface g0/0/1

[AR1-GigabitEthernet0/0/1]traffic-filter inbound acl 3001

六.单项ping通

示例：在AR1上进行高级ACL的配置，要求PC1可以ping通AR2的172.16.1.1地址，AR2不能ping通PC1的10.10.20.2地址。

1.初始状态：

2. AR1对ACL的配置

通过抓包可知，PC在ping AR2时，使用的是ICMP协议。request是8，reply是0。

请求报文：

应答报文：

此时，如果想要实现单项联通，只需要在request的时候，做一个deny；或者在reply的时候，做一个deny，即可实现单项联通。

基于此，只需在AR1上，将AR2去ping PC1的请求报文给deny，此时即可完成要求。

[AR1]acl 3002

[AR1-acl-adv-3002]rule 5 deny icmp source 172.16.1.1 0 destination 10.10.20.2 0 icmp-type echo

[AR1]interface GigabitEthernet2/0/0

[AR1-GigabitEthernet0/0/2]traffic-filter inbound acl 3002

3.结果

---