Меню

ИТ База знаний

Услуги

Магазин

Merion Metrics

Внедрение IP телефонии

Стать автором

Онлайн курсы

Поиск

Популярное и похожее

Курс по сетям

Подробнее

Новинка!

Настройка Site-To-Site IPSec VPN на Cisco

35000100037М

Cisco ASA 5506-X: интерфейс BVI

25000003М

Настройка GRE туннеля на Cisco

24000300078М

Траблшутинг OSPF

20002000010М

Настройка DHCP на оборудовании Cisco

0003М

Пример настройки DHCPv6

0002М

Поиск и устранение проблем в OSPF

20000012М

📌
Еженедельный дайджест

Корпоративные сети
→Cisco

Расширенные листы контроля доступа (Extended ACL)

На устройствах Cisco

Май 16, 2018
Мерион Нетворкс
3 минуты чтения

В наших материалах по Cisco, посвященных конфигурации сетевых устройств мы часто встречаемся со стандартными листами (списками) контроля доступа. А теперь поговорим о расширенных. Расширенные листы могут также фильтровать трафик по следующим параметрам:

Обучайся в Merion Academy

Пройди курс по
сетевым технологиям

Начать

IP-адреса - фильтрация на основе IP-адреса источника и адреса назначения;

Порты - фильтрация на основе порта источника / порта назначения;

Тип протокола TCP/IP - протоколы TCP, UDP, IP и так далее;

Что делать?

Для начала необходимо создать лист. Сделаем это с помощью команды:

access list NUMBER permit|deny IP_PROTOCOL SOURCE_ADDRESS WILDCARD_MASK [PROTOCOL_INFORMATION] DESTINATION_ADDRESS WILDCARD_MASK PROTOCOL_INFORMATION

Синтаксис команды следующий:

NUMBER - номер листа;

PERMIT/DENY - разрешение или запрет трафика;

SOURCE/DESTINATION ADDRESS - адреса источника и назначения;

WILDCARD_MASK - обратная маска;

PROTOCOL_INFORMATION - название или номер протокола TCP, UDP, IP и так далее;

Кстати, для расчета wildcard (обратной) маски, вы можете воспользоваться нашим калькулятором подсетей:

Калькулятор подсетей

Следующим шагом необходимо применить наш свежесозданный лист на интерфейс и его направление (на вход или выход):

ip access-group NUMBER out

Параметры in и out определяют направление, на котором будет применен лист контроля доступа

Для нумерации расширенных листов контроля доступа необходимо использовать следующую нумерацию: со 100 до 199 и с 2000 до 2699

Пример настройки (сценарий №1)

В топологии указанной ниже, нам нужно разрешить пользователям из подсети 10.0.0.0/24 доступ к серверу S2 (адрес 192.168.0.1), но не к серверу S1 (адрес 172.16.0.1/24).

Для начала, напишем ACL и разрешим доступ к серверу S2. Сделаем это мы следующей командой:

access-list 100 permit ip 10.0.0.0 0.0.0.255 192.168.0.1 0.0.0.0

Данная команда разрешает весь трафик из подсети 10.0.0.0 на хост 192.168.1.0. Затем, запретим доступ к серверу S1:

access-list 100 deny ip 10.0.0.0 0.0.0.255 172.16.0.1 0.0.0.0

Наконец, применим данные листы контроля доступа на интерфейсе R1:

int fa0/0
ip access-group 100 in

Пример настройки (сценарий №2)

Приведем иной пример использования расширенных листов контроля доступа: У нас снова есть сеть 10.0.0.0/24 и сервер S1, который слушает порт 80. Нам нужно разрешить пользователям доступ к веб-ресурсам на данном сервере, но также необходимо запретить какой-либо другой доступ, к примеру Telnet.

Для начала, нам нужно разрешить трафик из пользовательской подсети к веб-серверу на порту 80, что выполняется командой

access-list 100 permit tcp 10.0.0.0 0.0.0.255 172.16.0.1 0.0.0.0 eq 80

Используя ключевое слово TCP, мы можем фильтровать пакеты по портам источника и назначения. В примере выше, мы разрешили путь трафику из подсети 10.0.0.0 на хост 172.16.0.1 на порт 80 (веб-порт).

Теперь нужно запретить Telnet трафик из подсети 10.0.0.0 в подсеть 172.16.0.1. Для этого нужен еще один аксес-лист, на этот раз с запрещающим выражением:

access-list 100 deny tcp 10.0.0.0 0.0.0.255 172.16.0.1 0.0.0.0 eq 23

Далее, применим его на интерфейс с помощью следующих команд:

int fa0/0
ip access-group 100 in

Как мы уже описывали в предыдущей статье, в конце каждого листа всегда есть всезапрещающее правило. После применения первого правила, весь остальной трафик ходить не будет.

Обучайся в Merion Academy

Пройди курс по
сетевым технологиям

Начать

Extended ACL

Cisco листы контроля доступы

0

0

4

Поделиться
Скопировать ссылку Отправить на почту Facebook ВКонтакте Telegram Pocket

Кажется, Марион запутался в сетях, пока пытался в них разобраться!

Ему нужна твоя помощь! Помоги решить задачу, чтобы спасти принцессу

Решить задачу

Маршрутизатор состоит из многих внутренних компонентов. Какой компонент хранит копию файла конфигурации?

NWRAM
Flash

Какая особенность поддерживает высокую пропускную способность в коммутируемых сетях, объединяя несколько каналов в один?

Избыточные каналы
Агрегация каналов

Какой уровень модели OSI требуется для конфигурирования соединения между устройствами в различных виртуальных локальных сетях?

Уровень 3
Уровень 2

Ты помог Мариону спасти принцессу!

За это он дарит тебе дополнительные 15% скидки на курс по сетям!

Получить

Упс, кажется промах. Попробуй в следующий раз!

Закрыть

x

Полезно?

Да

Нет

Telegram чатYoutubeНавык Алисы

Почему?

😪Мы тщательно прорабатываем каждый фидбек и отвечаем по итогам анализа. Напишите, пожалуйста, как мы сможем улучшить эту статью.

Нажимая на кнопку "Отправить", вы даете согласие на обработку своих персональных данных

😍Полезные IT – статьи от экспертов раз в неделю у вас в почте. Укажите свою дату рождения и мы не забудем поздравить вас.

Нажимая на кнопку "Подписаться", вы даете согласие на обработку своих персональных данных

Рекомендуем

Расширенные возможности OSPF: Области

0005М

Про Cisco NX-OS и IOS-XR

3000009М

Устранение неисправностей в BGP – часть 2

00010М

Настройка EtherChannel на Cisco с минимальным даунтаймом

0002М

Получение DNS IP адреса от провайдера с помощью PPP

0003М

Комментарии (4)

Список

Youtube

Telegram

Мерион Нетворкс © 2021
Контакты
Политика конфиденциальности

бесплатные книги по BGP и EIGRP

с советами от инженеров

129 страниц на русском языке

Email*

Нажимая на кнопку "Скачать", вы даете согласие на обработку своих персональных данных

Скачать книгу

Войти в IT

NEW!

Стать автором

Курс по Asterisk

Полезно

— Узнать IP - адрес компьютера в интернете

— Онлайн генератор устойчивых паролей

— Онлайн калькулятор подсетей

— Калькулятор инсталляции IP - АТС Asterisk

— Руководство администратора FreePBX на русском языке

— Руководство администратора Cisco UCM/CME на русском языке

— Руководство администратора по Linux/Unix

Навигация

Серверные решения

Теория

Виртуализация

CRM

— AmoCRM

— Битрикс24

Linux/Unix

DevOPS

Windows

Телефония

FreePBX и Asterisk

— Настройка модулей

— Полезные советы

— Инструкции

— Настройка провайдеров

— CLI конфигурация

Оборудование

Cisco

— CUCM

— CME

Теория

Elastix

— Конфигурация АТС

— Инструкции

Настройка программных телефонов

3CX

— Инструкции

OpenScape

— Конфигурация АТС

Avaya

Huawei

Корпоративные сети

Теория

— Основы сетей

— Информационная безопасность

Протоколы и стандарты

Mikrotik

Cisco

Huawei