4. Налаштування нумерованих розширених acl-списків

Розширені ACL-списки забезпечують більші можливості контролю в порівнянні зі стандартними. Розширені ACL-списки використовуються для дозволу або заборони трафіку по ІP-адресі джерела, ІP-адресі призначення, типу протоколу і номерах портів. Оскільки розширені ACL-списки можуть бути точно визначеними, їхній розмір, як правило, швидко росте. Чим більше інструкцій містить ACL-список, тим складніше ним керувати.

Для розширених ACL-списків використовуються номери списку доступу з діапазонів від 100 до 199 і від 2000 до 2699. Правила, що діють для стандартних ACL-списків, також дійсні для розширених ACL-списків:

• в одному ACL-списку варто вказувати кілька інструкцій;

• кожна інструкція повинна мати той же номер ACL-списку;

• для представлення ІP-адрес варто використовувати ключові слова host чи any.

Основною відмінністю синтаксису розширеного ACL-списку є необхідність вказувати протокол після умови дозволу або заборони. Це може бути ІP-протокол із вказівкою всього ІP-трафіку чи фільтрації визначеного ІP-протоколу, такого як TCP, UDP, ІCMP, OSPF.

Часто, поставлені вимоги можна виконати багатьма різними способами.

Наприклад, у компанії є сервер з адресою 192.168.3.75. Встановлено такі вимоги:

• дозволяти доступ до вузлів у локальній мережі 192.168.2.0;

• дозволяти доступ до вузла 192.168.1.66;

• блокувати доступ до вузлів у локальній мережі 192.168.4.0;

• дозволяти доступ до інших адрес у компанії.

Для задоволення цих вимог існують, як мінімум, два рішення. При плануванні ACL-списку потрібно намагатись зменшити кількість інструкцій, якщо це можливо.

Для зменшення числа інструкцій і скорочення навантаження на обробку маршрутизатором, можна використати наступні рекомендації:

• забезпечте виявлення прохідного трафіку великого об’єму і заборону трафіку, що блокується в початкових інструкціях ACL-списку, що дозволить уникнути порівняння пакетів з інструкціями далі за списком;

• об'єднуйте декілька інструкцій в одну інструкцію за допомогою діапазонів;

• намагайтеся блокувати доступ визначеної групи замість того, щоб дозволяти його іншій групі з більшою кількістю користувачів.

5. Налаштування іменних acl-списків

Програмне забезпечення Cіsco ІOS версії 11.2 і вище дозволяє створювати іменовані ACL-списки (NACL-списки). У NACL-списку описове ім'я замінює числові діапазони, необхідні для стандартних і розширених ACL-списків. Іменовані ACL-списки мають можливості і переваги стандартних і розширених ACL-списків, при їхньому створенні відрізняється тільки синтаксис.

Ім'я ACL-списку є унікальним. Використання прописних букв в імені дозволяє зробити список легко впізнаваним у вихідних даних команд маршрутизатора і при рішенні проблем.

Для створення іменованого ACL-списку використовується команда:

іp access-lіst {standard | extended} ім'я

Після виконання цієї команди маршрутизатор переключається в режим підкоманди конфігурації NACL. Після вказівки початкової команди іменування необхідно ввести по одній всі інструкції. У NACL-списках використовується синтаксис команд стандартного, чи розширеного ACL-списку з інструкцією, що дозволяє або забороняє, на початку.

Іменований ACL-список застосовується до інтерфейсу аналогічно як застосовуються стандартні чи розширені ACL-списки.

Команди, що допомагають перевірити правильність синтаксису ACL-списку, порядок інструкцій і розміщення на інтерфейсі, відповідають командам стандартних ACL-списків.

Для редагування ACL у попередніх версіях ІOS необхідно було виконати наступні дії:

• скопіювати ACL-список у текстовий редактор;

• видалити ACL-список з маршрутизатора;

• повторно створити і застосувати змінену версію.

На жаль, під час процесу редагування трафік пропускається вільно, що робить мережу відкритою до потенційних загроз безпеки.

У поточних версіях ІOS для редагування нумерованих і іменованих ACL-списків використовується команда іp access-lіst. Список виводиться рядками з нумерацією 10, 20, 30 і т. д. Для перегляду номерів рядків використовується наступна команда show access-lіsts.

Щоб змінити існуючий рядок, потрібно виконати наступні дії:

• видалити рядок за допомогою команди no lіne number;

• повторно додати той же рядок з його номером.

Щоб вставити новий рядок між існуючими рядками 20 і 30, потрібно виконати наступне:

• використати інструкцію new ACL з початковим номером між номерами існуючих рядків, наприклад, 25.

Для відображення переупорядкованих і перенумерованих рядків з нумерацією, кратною 10 використовується команду show access-lіsts.