34. Фильтрация трафика: назначение, устройства фильтрации. Формирование стандартного списка доступа.

Список доступа - это упорядоченный набор операторов, каждый из которых разрешает или запрещает прохождение пакета через интерфейс. Маршрутизатор сравнивает параметры пакета в зависимости от информации, содержащейся в нем (адреса источника и получателя, протокольные порты и т.д.), и от параметров списка, применяемых к его содержимому. Операторы списка доступа применяются к каждому пакету последовательно, начиная с первого, до тех пор, пока не будет найдено соответствие или достигнут конец списка. При первом же совпадении маршрутизатор определяет, сбросить пакет или принять его. Поскольку после первого же совпадения прекращается проверка условий, то их порядок следования имеет важное значение. Поместив в начало списка наиболее часто встречающиеся условия, можно существенно снизить нагрузку на маршрутизатор. Кроме фильтрации пакетов при их прохождении через интерфейсы списки доступа применяются для выделения трафика определенных хостов при его передаче по защищенному туннелю через Интернет, для перенаправления трафика по другому маршруту, для фильтрации изменений в таблицах маршрутизации, для управления доступом к виртуальным терминалам. Списки доступа могут применяться на входе в маршрутизатор и на его выходе. В первом случае сначала выполняется проверка пакета, а затем, если он пропускается, - его маршрутизация. При сбросе пакета по адресу его отправителя посылается ICMP-сообщение "хост недоступен" (host unreachable). Во втором случае пакет сначала маршрутизируется и только потом его параметры сравниваются с условиями списка.

Списки доступа бывают:-стандартный и -расширенный.

Стандартный: имеет ограниченные функциональные возможности: позволяет фильтровать пакеты только на основании значений содержащихся в них адресов источников данных, поэтому, стандартный список используется, если нужно фильтровать только по адресу источника.

Недостатки стандартного списка доступа:

нет фильтрации пакетов по адресу назначения (для ограничения доступа к одному или нескольким узлам сети);

не различаются протоколы (нет возможности отбирать пакеты по протоколам для разрешения/запрещения обмена определенным трафиком между отдельными устройствами).

Расширенные списки позволяют фильтровать пакеты по адресам отправителя и получателя ,по типу протокола 4го уровня, по номеру порта протоколов 5го уровня.

Синтаксис

Два способа создания ACL:

«Старый» синтаксис. Для идентификации ACL используются номера. За стандартными ACL закреплены номера 1-99 и 1300-1999, за расширенными – 100-199 и 2000-2699.

Синтаксис именованных ACL. Для идентификации используется имя, выбранное администратором.

Второй способ более удобен. Во-первых, для идентификации ACL вы используете имя, а не номер, т.е. по имени можно будет понять, для чего вы используете ACL. Во-вторых, в поименованных листах используется собственный конфигурационный режим, позволяющий вам более удобно редактировать ACL.

Приведу несколько примеров стандартных ACL:

access-list 1 permit 192.168.1.0 0.0.0.255

access-list 2 permit any

access-list 3 permit host 10.1.1.1

access-list 4 permit 10.1.1.0 0.0.0.15

access-list 4 permit 192.168.0.0 0.0.31.255

Первый ACL (1) разрешает трафик из сети 192.168.1.0/24. Второй (2) ACL разрешает весь трафик. Третий (3) разрешает трафик от хоста 10.1.1.1. И последний четвертый, в первой строке разрешает трафик от хостов 10.1.1.0 – 10.1.1.15, во второй строке разрешает трафик из сетей 192.168.0.0 – 192.168.31.0. Обращаю внимание, что здесь приведены примеры четырех разных ACL’а, а не 5 правил одного ACL.

И несколько расширенных ACL:

access-list 100 permit tcp 10.1.1.0 0.0.0.255 any eq 80

access-list 101 permit udp host 1.1.1.1 eq 500 host 2.2.2.2 eq 555

access-list 102 permit icmp any any echo

access-list 103 permit ip any any