Основы организации сетей CISCO т.2 - Вито Амато

Примечание

Для удаления списка необходимо сначала ввести команду no ip access-group с номе- ром списка для каждого интерфейса, на котором он использовался, а затем команду no access-list(с номером списка)

Примеры стандартных конфигураций списков управления доступом, приведенные в после- дующих разделах, относятся к сети, показанной на рис. 6 11. В первом примере разрешается пе- редача от сети-источника 172.16.0.0. Во втором примере отказано в передаче хосту с сетевым адресом 172.16.4.13 и разрешена передача данных всех остальных хостов. В третьем примере отказано в передаче подсети с сетевым адресом 172.16.4.0 и разрешена передача всех остальных данных.

_________________________________________________________________________________

Пример 1 стандартного списка управления доступом: разрешение передачи данных из сети-источника

В листинге 6.1 список управления доступом разрешает передачу данных только от сети- источника с номером 172.16.0.0. Передача всех остальных данных заблокирована. На рис. 6.11 показано, как список управления доступом разрешает передачу только от сети-источника 172.16-О.Ои блокирует передачу от всех остальных источников

Листинг 6.1. Разрешение передачи от сети-источника 172.16.0.0

в тексте это не отображается)

(access-list I deny O.O.O.O 255.255.255.255) interface ethernet 0

Пример 2 стандартного списка управления доступом: отказ в доступе конкретному хосту

В листинге 6 2 показано, как создать список, блокирующий передачу с адреса 172.16.4.13, а весь остальной поток направить на интерфейс Ethernet 0. Первая команда access-list отказывает в передаче указанному хосту, используя параметр deny. Маска адреса 0.0.0.0 в этой строке указы- вает на необходимость проверки всех битов.

Листинг 6.2. Отказ в доступе конкретному хосту

(неявно отказывается в доступе всем остальным; в тексте это не отображается) (ac- cess-list I deny O.O.O.O 255.255.255.255)

interface ethernet 0 ip access-group 1

________________________________________________________________________________

Ниже описаны поля листинга 6 2

Во второй команде access-list комбинация 0.0.0.0 255.255.255.255 задает шаблон маски, кото-

рая пропускает пакеты от любого источника. Она также может быть записана с использованием ключевого слова any Все нули в адресе указывают на необходимость подстановки на это место адреса и его проверки, а все единицы в шаблоне маски указывают, что все 32 бита в адресе ис- точника не будут проверяться.

Любой пакет, не отвечающий условиям первой строки списка, будет удовлетворять условиям второй строки и направлен далее.

Пример 3 стандартного списка управления доступом: отказ в доступе конкретной подсети

В листинге 6.3 показана установка конфигурации списка управления доступом, которая бло- кирует передачу данных из подсети 172.16.4.0, а все остальные потоки данных направляет дальше. Следует обратить внимание на шаблон маски, записанный в виде: 0.0.0.255. Нули в пер- вых трех октетах указывают на то, что эти биты не принимаются во внимание. Отметим также, что для IP-адреса источника использовано ключевое слово any.

Листинг 6,3. Блокировка данных с конкретной подсети

access-list 1 deny 172.16.4.0 0.0.0.255 access-list 1 permit any

(неявный отказ в доступе всем остальным) (access-list I deny any)

interface ethernet 0 ip access-group 1

_________________________________________________________________________________

Ниже описаны поля листинга 6 3

172.16.4.0IP-адрес подсети источника

Расширенные списки управления доступом

Расширенные списки управления доступом (extended access control list, extended ACL)

используются чаще, чем стандартные, поскольку они обеспечивают большие возможности кон- троля. Рекомендуется, например, использовать их в тех случаях, когда надо разрешить передачу данных в Worldwide Web и заблокировать протоколы FTP (File Transfer Protocol) или Telnet для

Полный формат команды access-list имеет следующий вид.

Router(config)# access-list номер-списка {permit | deny}

протокол source [маска-источника destination маска-получателя] [оператор операнд] [established] [log]

Параметры команды имеют следующие значения.

Команда ip access-group связывает созданный расширенный список с выходным или входным интерфейсом. Следует обратить внимание на то, что каждому порту, протоколу и направлению может соответствовать только один список. Команда имеет следующий формат.

Router(config)# ip access-group номер-списка {in | out}

Параметры команды имеют следующие значения.

Параметр Описание

номер - списка Указывает номер списка, который будет логически связан с этим ин-

терфейсом

in I out Выбирает, к каким пакетам данного интерфейса будет применяться условие приходящим или к отправляемым. Если не указан параметр in или out, то по умолчанию принимается значение out

Адресам источника и получателя или конкретным протоколам, использующим расширенные списки, должны быть присвоены номера из диапазона от 100 до 199. Номерам портов протоко- лов верхнего уровня TCP и UDP, в дополнение к другим условиям, также должны быть при- своены номера из этого диапазона. Некоторые часто используемые зарезервированные номера портов приведены в табл. 6.3.

Таблица 6.3. Зарезервированные номера часто используемых портов

Примеры конфигурации расширенных списков управления доступом в приведенных ниже разделах относятся к сети, показанной на рис. 6.11. В первом примере блокируется протокол FTP для ЕО. Во втором примере блокируется только выход Telnet с интерфейса ЕО, а всем ос- тальным потокам данных доступ разрешен.

Пример 1 расширенного списка доступа: блокировка протокола FTP на интерфейсе ЕО

В листинге 6.4 показан расширенный список управления доступом, который блокирует поток данных протокола FTP.

Листинг 6.4. Отказ протоколу FTP в доступе к интерфейсу ео

172.16.3.00.0.0.255 eq 21

0.0.0.0255.255.255.255

0.0.0.0255.255.255.255 )

interface ethernet 0 ip access-group 101

Вот описание значений соответствующих полей листинга 6.4.

Именованные списки позволяют обращаться к стандартным и расширенным спискам управ- ления доступом с помощью символьной строки (набор символов из букв и цифр) вместо номера (от 1 до 199). Именованные списки могут быть использованы для удаления из списков отдель- ных строк. Это позволяет модифицировать списки без их предварительного удаления и повтор- ного конфигурирования. Рекомендуется использовать именованные списки в следующих случа- ях.

∙Если желательно интуитивно определить список, используя символьное имя.

∙Если уже имеется более 99 стандартных и более 100 расширенных списков, которые требуется сконфигурировать на маршрутизаторе для данного протокола.

Перед конкретной реализацией именованного списка следует принять во внимание следую- щее.

∙Именованные списки несовместимы с версиями операционной системы Cisco, пред- шествовавшими версии 11.2.

∙Нельзя использовать одно и то же имя для нескольких списков. Кроме этого, списки различных типов не могут иметь одинаковых имен. Например, нельзя присвоить имя George стандартному списку и одновременно расширенному списку.

∙Для присвоения списку имени необходимо выполнить следующую команду.

В режиме конфигурирования можно указать одно или несколько условий разрешения или блокирования доступа. Этим определяется, будет ли пакет пропущен или отброшен.

или

Router (config {std- | ext-} nacljt permit (источник [шаблон-источника]

| any}

Приведенная ниже конфигурация создает стандартный список управления доступом с име- нем Internetfilter и расширенный список с именем marketinggroup:

deny ip any log

Команда deny

Команда deny используется при конфигурировании списков управления доступом для зада- ния условий в именованных списках. Полный синтаксис команды имеет вид:

deny (источник [шаблон-источника] \ any } [log]

Форма этой команды с ключевым словом по используется для удаления условия блокировки доступа. Синтаксис команды:

no deny [источник [шаблон-источника] \ any}

Вприведенном ниже примере устанавливается условие блокировки для стандартного списка

сименем Internetfilter:

ip access-list standard Internetfilter

! (Примечание: всем остальным доступ блокирован неявным образом)

Команда permit

Команда permit используется при установке конфигурации именованного списка ля зада- ния условий разрешения доступа. Полный синтаксис команды:

permit { источник [шаблон-источника] | any } [log]

Форма этой команды с ключевым словом по используется для удаления условия из ;писка. Синтаксис команды:

no permit { источник [шаблон-источника] \ any }

Эта команда используется в режиме задания конфигурации списка вслед за командой access-list для задания условий, при которых пакет проходит через список управления дос- тупом.

Приводимый ниже пример задает стандартный список с именем Internetfilter:

ip access-list standard Internetfilter

!(Примечание: всем остальным доступ неявным образом блокирован)

В следующем примере директивы разрешения доступа и блокировки не имеют номера, а ключевое слово no удаляет одно из условий именованного списка:

В следующем примере на интерфейсе активизируется именованный список доступа протоко-

ла IP:

Router(config-if)# ip access-group {имя \ 1-199 {in | out}}

В следующем примере приведен полный листинг: