35. Фильтрация трафика: назначение, устройства фильтрации. Конфигурация расширенных списков доступа.

Фильтрация сетевого трафика происходит с помощью создания и настройки списков доступа (Access List, ACL)

Для фильтрации сетевого трафика маршрутизатор анализирует каждый пакет и либо пересылает его, либо отклоняет, исходя из условий, указанных в ACL-списке. Операторы списка доступа применяются к каждому пакету последовательно, начиная с первого, до тех пор, пока не будет найдено соответствие или достигнут конец списка. При первом же совпадении маршрутизатор определяет, сбросить пакет или принять его. Поскольку после первого же совпадения прекращается проверка условий, то их порядок следования имеет важное значение. Поместив в начало списка наиболее часто встречающиеся условия, можно существенно снизить нагрузку на маршрутизатор. Кроме фильтрации пакетов при их прохождении через интерфейсы списки доступа применяются для выделения трафика определенных хостов при его передаче по защищенному туннелю через Интернет, для перенаправления трафика по другому маршруту, для фильтрации изменений в таблицах маршрутизации, для управления доступом к виртуальным терминалам. Списки доступа могут применяться на входе в маршрутизатор и на его выходе. В первом случае сначала выполняется проверка пакета, а затем, если он пропускается, - его маршрутизация. При сбросе пакета по адресу его отправителя посылается ICMP-сообщение "хост недоступен" (host unreachable). Во втором случае пакет сначала маршрутизируется и только потом его параметры сравниваются с условиями списка.

Существуют разные типы ACL-списков для разных назначений. Стандартные ACL-списки фильтруют трафик, исходя из адреса источника. Расширенные ACL-списки позволяют фильтровать на основе нескольких критериев, в том числе: адрес источника; адрес назначения; протоколы; номера портов и приложения; входит ли пакет в установленный поток TCP.

Расширенные списки доступа

Расширенные списки позволяют фильтровать пакеты по адресам отправителя и получателя ,по типу протокола 4го уровня, по номеру порта протоколов 5го уровня.

Формат настройки

access-list access-list-number {deny | permit} {protocol | protocol-keyword} {source-address source-wildcard | any} [source-port]{destination-address destination-wildcard \ any} [ctesr/nat/on-porr] [log]

Access-list-number (номер списка) - это число в диапазоне от 100 до 199, идентифицирующее операторы из стандартного списка доступа IP. Начиная с версии IOS 12.0 для номера списка доступен интервал 2000-2699.

Protocol-keyword задает протокол, подлежащий фильтрации, например, IP, TCP, UDP, ICMP и т.д. Protocol – числовой код протокола

Source|destination address source|destination wildcard – IP адрес источника/получателя и обратная маска. Если один адрес, можно вместо этого писать Host адрес хоста (например Host 10.0.0.2 или 10.0.0.2 0.0.0.0). Wildcard- обратная маска, вычисляется как 255.255.255.255 – обычная маска (побайтно)

Пример: Блокировать доступ по протоколу TCP к серверу с IР-адресом 140.12.11.10

access-list 101 deny TCP аny host 140.12.11.10