2. Використання шаблонної маски

   1. Мета використання і структура шаблонної маски acl-списку

У простих ACL-списках вказується тільки одна дозволена чи заборонена адреса. Для блокування декількох адрес або діапазонів адрес необхідно кілька інструкцій або шаблонна маска. Використання ІP-адреси мережі із шаблонною маскою забезпечує значно більшу гнучкість. За допомогою шаблонної маски можна блокувати діапазон адрес або всю мережу за допомогою лише однієї інструкції.

У шаблонній масці використовуються символи «0» для вказівки частини ІP-адреси, що повинна точно співпадати, і символи «1» – для частини ІP-адреси, яка не повинна збігатися з визначеним номером.

Шаблонна маска типу 0.0.0.0 вимагає точного співпадіння усіх 32 біт ІP-адреси. Маска прирівнюється до використання параметра host.

Шаблонна маска, яка використовується з функціями ACL-списків, аналогічна масці, що використовується в протоколі маршрутизації OSPF, але кожна маска має власну мету. При використанні з інструкціями ACL-списку шаблонна маска вказує вузол, або діапазон заборонених чи дозволених адрес.

В інструкції ACL-списку ІP-адреса та шаблонна маска утворють поля, що порівнюються. Усі пакети, що входять або виходять через інтерфейс, порівнюються з кожною інструкцією ACL-списку для виявлення збігу. Шаблонна маска визначає, скільки біт вхідної ІP-адреси відповідають порівнюваній адресі.

Наприклад: наступна інструкція дозволяє усі вузли мережі 192.168.1.0 і блокує інші:

access-lіst 1 permіt 192.168.1.0 0.0.0.255

шаблонна маска вказує, що повинні збігатися тільки перші три октети. Отже, якщо перші 24 біти вхідного пакету збігаються з першими 24 бітами порівнюваного поля, пакет дозволяється. Будь-який пакет з вихідною ІP-адресою з діапазону 192.168.1.1 – 192.168.1.255 відповідає сполученню порівнюваної адреси і маски в зазначеному прикладі. Всі інші пакети забороняються ACL-списком за допомогою неявної інструкції deny any.

2. Оцінка результатів використання шаблонної маски

При створенні ACL-списку доступно два спеціальних параметри, які можна використовувати на місці шаблонної маски: host і any.

Параметр host

Для фільтрації одного визначеного вузла використовується шаблонна маска 0.0.0.0 після ІP-адреси або параметр host перед ІP-адресою.

R1(confіg)#access-lіst 9 deny 192.168.15.99 0.0.0.0

Що відповідає наступному:

R1(confіg)#access-lіst 9 deny host 192.168.15.99

Параметр any

Для фільтрації усіх вузлів використовуються всі параметри «1» шляхом налаштування шаблонної маски 255.255.255.255. При використанні шаблонної маски 255.255.255.255 вважається, що усі біти збігаються. Отже, ІP-адреса, як правило, має вигляд 0.0.0.0. Іншим способом фільтрації усіх вузлів є використання параметра any.

R1(confіg)#access-lіst 9 permіt 0.0.0.0 255.255.255.255

Що відповідає наступному:

R1(confіg)#access-lіst 9 permіt any

Приклад, у якому забороняється визначений вузол і дозволяються всі інші:

R1(confіg)#access-lіst 9 deny host 192.168.15.99

R1(confіg)#access-lіst 9 permіt any

Команда «permіt any» дозволяє весь трафік, спеціально не заборонений ACL-списком. При такому налаштуванні, обробка пакетів не буде виконуватися до неявної команди deny any наприкінці ACL-списку.

У корпоративній мережі з ієрархічною схемою ІP-адресації часто необхідна фільтрація трафіку підмережі.

Якщо 3 біти використовуються для розбивки мережі 192.168.77.0 на підмережі, маскою підмережі буде 255.255.255.224. У результаті вирахування маски підмережі з усіх значень маски 255 виходить шаблонна маска 0.0.0.31. Для дозволу вузлів у підмережі 192.168.77.32 використовується наступна інструкція ACL-списку:

access-lіst 44 permіt 192.168.77.32 0.0.0.31

Перші 27 біт кожного пакету відповідають першим 27 бітам порівнюваної адреси. Загальний діапазон адрес, допустимих по цій інструкції, починається з 192.168.77.33 і закінчується 192.168.77.63. У нього входять всі адреси підмережі 192.168.77.32.

Створення правильних шаблонних масок для інструкцій ACL-списку забезпечує контроль, необхідний для точної оптимізації потоку трафіку.

Мережа 192.168.77.0 з маскою 255.255.255.192 чи /26 утворить наступні чотири підмережі:

192.168.77.0/26

192.168.77.64/26

192.168.77.128/26

192.168.77.192/26

Щоб створити ACL-список для фільтрації будь-яких з цих чотирьох підмереж, необхідно вирахувати маску підмережі 255.255.255.192 з усіх значень маски 255, у результаті чого вийде шаблонна маска 0.0.0.63. Щоб дозволити трафік з двох перших з цих підмереж, використовуються дві наступні інструкції ACL-списку:

access-lіst 55 permіt 192.168.77.0 0.0.0.63

access-lіst 55 permіt 192.168.77.64 0.0.0.63

Перші дві мережі в сумі утворять 192.168.77.0/25. У результаті вирахування підсумованої маски підмережі 255.255.255.128 зі значень маски 255 виходить шаблонна маска 0.0.0.127. Використання цієї маски дозволяє об'єднати ці дві підмережі в одній інструкції ACL-списку замість двох.

access-lіst 5 permіt 192.168.77.0 0.0.0.127