基于时间的访问列表

前提条件——访问控制列表（ACL） 访问控制列表主要用于数据包过滤。它是一系列依次排列的允许或拒绝条件。如果某个条件得到满足，那么该条件就会被执行，而不会继续检查其他条件。此外，访问控制列表中最后会有一个隐含的拒绝条件，因此，该规则至少包含一个允许条件。 访问控制列表有多种类型。

• 标准访问控制列表
• 扩展的访问列表，
• 自反访问列表
• 名为“Access-list”。
• 基于时间的访问控制列表等
不过在这里，我们将讨论基于时间的访问列表。基于时间的访问列表 –基于时间的访问列表是一种允许根据特定时间段来限制网络访问的访问列表。当您希望根据一天中的特定时间或一周中的特定日期来限制出站或入站流量时，这种访问列表非常有用。例如，如果我们希望禁止员工在工作时间访问互联网，而在午餐时间则允许他们访问互联网的话，那么就可以使用基于时间的访问列表来实现这一功能。 在这种情况下，我们可以实施基于时间的访问控制列表，从而拒绝来自互联网的访问。 基于时间的ACL功能是在Cisco IOS软件版本12.0.1.T中引入的。 允许基于时间来进行访问控制。 它最适合与NTP（网络时间协议）进行同步，但也可以与路由器上的时钟进行同步。程序/流程 –要应用基于时间的访问列表，只需遵循以下步骤即可：
1. 请定义时间范围。首先，我们必须使用一个关键词来定义时间范围，比如“absolute”或“periodic”。绝对的/无条件的它定义了一个绝对的时间点。例如，如果我们希望从周二到周五期间阻止某个子网络上的ICMP流量，那么我们就需要使用“absolute”这个关键词。周期性的：以一定的时间间隔重复出现的。它定义了一个周期性时间。例如，如果我们希望在每个工作日（从周一到周五）阻止特定子网络上的ICMP通信，那么就可以使用“periodic”这个关键词。
2. 定义一个访问列表。在下一步中，我们将定义一个访问列表，并在该列表中指定我们的时间范围。
3. 将访问列表应用于某个接口。现在，我们可以根据需求将访问控制列表应用到某个接口或线路上。
配置 –有一种简单的网络拓扑结构，其中：PC1的IP地址为10.1.1.2/24；路由器在fa0/0接口上的IP地址为10.1.1.1/24，在fa0/1接口上的IP地址为10.1.2.1/24；PC2的IP地址为10.1.2.2/24。此外，还有两个交换机，分别是Sw1和Sw2，它们所有的端口都处于VLAN 1中。经过配置后，我们发现PC1能够成功与PC2进行ping通信。在这种情况下，我们将禁止PC1在指定的时间范围内与PC2进行通信。之后，我们会将这个时间范围应用到访问控制列表中。最后，我们还会将这个设置应用到路由器的某个接口上。另外，我们知道使用NTP时钟最为合适，但在这里，我们将使用路由器自身的本地时钟。我们可以通过命令来查看路由器的时钟情况：

router#show clock

此外，我们还可以通过命令来更改时钟的时间：

router#clock set 0:10:0 1 July 2018 

现在，我们首先来定义时间范围。具体来说，就是确定我们希望阻止PC1向PC2发送请求的时间点。

router(config)#time-range time_flow
router(config)#absolute start 00:15 1 July 2018 
                end 00:20 1 July 2018

“time-flow”是表示时间范围的名称（可以赋予任何合适的名称）。我们提供了7月1日00:15到00:20这段时间范围。在这里，已经使用了“absolute”这个关键词来表示时间范围。 如果某个场景需要周期性地描述时间范围的话，那么就可以这样表示：

router(config)#time-range Periodic
router(config)#periodic weekdays 0:15 to 0:20

在这里，“Periodic”指的是时间范围。第二个命令表示，在每周的周一至周五之间，从0:15到0:20这段时间，10.1.1.2与10.1.2.2之间的通信是不被允许的。这一限制是通过将时间范围应用到访问列表中来实现的，然后再将该访问列表应用到相应的接口上。我们还可以定义一个名为TimeACL的扩展访问列表，该列表允许ICMP流量在我们定义的时间范围内通过路由器传输。

router(config)#ip access-list extended Time_acl
router(config-ext-nacl)#deny icmp host 10.1.1.1 host 
                      10.1.2.2 time-range time_flow

现在，我们将这个访问列表应用到路由器的fa0/1接口上，使其在出方向中拒绝那些符合我们定义的时域范围的流量。

router(config)#int fa0/1
router(config-if)#ip access-group Time_acl out

通过这种处理方式，我们无法在我们所定义的时域内成功连接10.1.2.2这个地址。优点——

• 易于实施
• 它让管理员能够更精确地控制流量。因为可以根据时间来决定是否允许某些流量的通过。