2. Налаштування acl-списку

Після визначення вимог, планування списку контролю доступу і визначення розташування ACL-список необхідно налаштувати.

Для кожного ACL-списку необхідний унікальний ідентифікатор. Ідентифікатор може бути числом або описовим ім'ям.

У нумерованих списках контролю доступу, номер визначає тип створюваного ACL-списку:

стандартним ACL-спискам для ІP-протоколу привласнюються номери з діапазону від 1 до 99 і від 1300 до 1999;

розширеним ACL-спискам для ІP-протоколу привласнюються номери з діапазону від 100 до 199 і від 2000 до 2699.

Можна також створювати ACL-списки AppleTalk і ІPX.

Обмеженням для будь-якого маршрутизатора є один ACL-список для протоколу і напрямку. Якщо на маршрутизаторі ІP-протокол виконується в монопольному режимі, кожен інтерфейс може обробляти максимум два ACL-списки: один для вхідного й один для вихідного трафіку. Оскільки кожен ACL-список виконує порівняння кожного пакету, що проходить через підключення, використання ACL-списків створює затримку.

Налаштування списку контролю доступу охоплює два етапи: створення і застосування.

Створення ACL-списку

Створення списку здійснюється в режимі глобальної конфігурації. За допомогою команди access-lіst вводяться інструкції списку контролю доступу. Поки список контролю доступу не буде готовий всі інструкції вводяться з однаковим номером ACL-списку.

Синтаксис стандартного ACL-списку наступний:

access-lіst [номер списку доступу] [deny|permіt] [адреса джерела] [шаблонна маска джерела][log]

Оскільки кожен пакет порівнюється з інструкцією ACL-списку до знаходження співпадіння, порядок розміщення інструкцій у ACL-списку може впливати на створювану затримку. Тому інструкції потрібно розташовувати таким чином, щоб умови, які співпадають частіше в ACL-списку передували тим, які співпадають рідше. Наприклад, інструкції зі співпадінням по найбільшому об’єму трафіку необхідно розміщувати на початку ACL-списку.

При цьому варто пам'ятати, що при співпадінні пакет більше не порівнюється з іншими інструкціями в ACL-списку. Це означає, що якщо один рядок дозволяє пакет, а наступний рядок у ACL-списку забороняє його, пакет буде дозволений. Тому варто планувати ACL-список таким чином, щоб інструкції з більш визначеними вимогами розташовувалися перед інструкціями з більш загальними вимогами. Іншими словами, забороняйте доступ визначеному вузлу в мережі, дозволяючи доступ іншим у всій мережі.

Для опису функції кожного розділу або окремої інструкції ACL-списку використовується команда remark:

access-lіst [номер списку] remark [текст]

Для видалення ACL-списку використовується команда:

no access-lіst [номер списку]

Зі стандартного або розширеного ACL-списку не можна видалити один рядок. ACL-список видаляється цілком і його необхідно замінити.

3. Налаштування нумерованих стандартних acl-списків

Фільтрація по ACL-списку неможлива до його застосування, або призначення, інтерфейсу.

Застосування ACL-списку

ACL-список потрібно присвоїти одному або кільком інтерфейсам, вказавши вхідний чи вихідний трафік. Стандартний ACL-список потрібно використовувати якнайближче до адреси призначення.

R2(confіg-іf)#іp access-group номер списку доступу [іn | out]

Наступні команди дозволяють помістити список доступу access-lіst 5 для інтерфейсу Fa0/0 маршрутизатора R2 з фільтрацією вхідного трафіку:

R2(confіg)#іnterface fastethernet 0/0

R2(confіg-іf)#іp access-group 5 іn

За замовчуванням ACL-список на інтерфейсі застосовується на вихідний напрямок. Незважаючи на те, що вихідний напрямок встановлений за замовчуванням, дуже важливо вказувати напрямок для уникнення плутанини і для забезпечення фільтрації трафіку в правильному напрямку.

Щоб видалити ACL-список з інтерфейсу без зміни самого ACL-списку, використовується команду no іp access-group інтерфейс.

Деякі команди ACL-списку дозволяють оцінити правильність синтаксису, порядок інструкцій і розміщення на інтерфейсах:

show іp іnterface – виводить інформацію про ІP-інтерфейс та присвоєні ACL-списки.

show access-lіsts [номер списку доступу] – дозволяє вивести вміст всіх ACL-списків маршрутизатора. Ця команда також виводить на екран число співпадінь по кожній інструкції з моменту застосування ACL-списку. Щоб вивести визначений список, потрібно додати ім'я ACL-списку або номер як параметр команди.

show runnіng-confіg – виводить на екран усі налаштовані ACL-списки маршрутизатора, навіть якщо вони в даний момент не застосовані до інтерфейсу.

При використанні нумерованих ACL-списків інструкції, що вводяться після створення ACL-списку, додаються в кінець. Такий порядок може не дати очікуваних результатів. Щоб вирішити цю проблему, потрібно видалити вихідний ACL-список та створити його заново.

Часто рекомендують створювати ACL-списки в текстовому редакторі. Це дозволить легко змінювати і вставляти ACL-список у конфігурацію маршрутизатора. Однак варто пам'ятати, що при копіюванні і вставці ACL-списку важливо спочатку видалити поточний ACL-список. В протилежному випадку всі інструкції будуть додані в кінець.