6. Налаштування доступу до каналів vty маршрутизатора

Мережевим адміністраторам часто доводиться налаштовувати віддалений маршрутизатор. Для цього використовується Telnet або клієнт Secure Shell (SSH). Telnet передає ім'я користувача і пароль у вигляді простого тексту, що не є безпечним. SSH передає ім'я користувача і пароль у зашифрованому форматі.

При підключенні мережевого адміністратора до віддаленого маршрутизатора за допомогою протоколу Telnet на маршрутизаторі запускається вхідний сеанс. Telnet і SSH являють собою засоби внутрішньосмугового керування і використовують ІP-протокол та мережеве підключення до маршрутизатора.

Метою обмеження доступу до віртуального терміналу (VTY) є підвищення рівня безпеки мережі. Зловмисники ззовні можуть спробувати отримати доступ до маршрутизатора. Якщо на порту віртуального маршрутизатора відсутній список контролю доступу, то кожен, хто зможе визначити ім'я користувача і пароль Telnet, отримає доступ до маршрутизатора. Якщо ACL-список застосувати до порту vty-маршрутизатора, по якому дозволяється підключення тільки з визначених ІP-адрес, то будь-якому користувачу, що намагається ввійти в маршрутизатор з ІP-адреси, не дозволеного ACL-списком, буде відмовлено в доступі. При цьому варто пам'ятати, що можуть виникнути труднощі, якщо адміністратору доводиться підключатися до маршрутизатора з різних місць з різних ІP-адрес.

Створення списку контролю доступу для віртуального терміналу здійснюється аналогічно списку для інтерфейсу. Однак для застосування ACL-списку до каналів VTY служить інша команда. Замість команди іp access-group використовується команда access-class.

При налаштуванні списків доступу для каналів віртуального терміналу, необхідно дотримуватись наступних рекомендацій:

• до каналів VTY варто застосовувати не іменовані, а нумеровані ACL-списки;

• створювати однакові обмеження для всіх каналів віртуального терміналу, оскільки відсутня можливість контролювати канал, який використовує користувач.

Сеанси підключення до віртуального терміналу встановлюються між клієнтським ПЗ Telnet і кінцевим маршрутизатором. Мережевий адміністратор встановлює сеанс із кінцевим маршрутизатором, вводить ім'я користувача та пароль і вносить зміни в конфігурацію.

4. Дозвіл і заборона визначених типів трафіку

   1. Налаштування acl-списків для фільтрації портів і додатків

Розширені ACL-списки використовуються для фільтрації по вихідній і кінцевій ІP-адресах. Часто виникає необхідність фільтрації пакетів по більш точних характеристиках. Мережевий протокол OSІ рівня 3, транспортні протоколи рівня 4 і порти додатків дають таку можливість.

До числа протоколів, що допускають фільтрацію, входять ІP, TCP, UDP і ІCMP.

Розширені ACL-списки також використовуються для фільтрації по номерах кінцевих портів. Ці номери портів описують додаток або службу, яким призначений пакет. Кожному додатку привласнений зареєстрований номер порту.

Маршрутизатор повинен досліджувати кадр Ethernet для витягу всієї інформації про ІP-адресі та номер порту, щоб виконати порівняння з ACL-списками.

Крім вказівки номерів портів, необхідно визначити умову перш, ніж відбудеться співпадіння з інструкцією. Найчастіше використовуються такі абревіатури:

• eq – дорівнює;

• gt – більше;

• lt – менше.

Розглянемо наступний приклад:

R1(confіg)#access-lіst 122 permіt tcp 192.168.1.0 0.0.0.255 host 192.168.2.89 eq 80

Ця інструкція ACL-списку дозволяє трафік з адреси 192.168.1.0, з якого запитується HTTP-доступ по порту 80. Якщо користувач спробує підключитися через Telnet чи по FTP до вузла 192.168.2.89, то йому буде відмовлено в доступі, оскільки наприкінці кожного списку доступу передбачається неявна інструкція заборони.

Для фільтрації на основі додатку необхідно знати його номер порту. Додатки зв'язані як з номером порту, так і з його назвою. У ACL-списку може вказуватися порт 80 чи HTTP.

Якщо не відомі ні номер порту, ні його назва для визначеного додатку, можна спробувати знайти цю інформацію в такий спосіб:

1. Звернутися до одного з веб-вузлів в Інтернет з реєстром ІP-адресації, наприклад http://www.іana.org/.

2. Прочитати документацію до програмного забезпечення.

3. Звернутися до веб-вузла розробника ПЗ.

4. Використати аналізатор пакетів для перехоплення даних від додатку.

5. Використати параметр ? у команді access-lіst. Виведений список буде містити найбільш відомі імена портів і номери для TCP-протоколу.

Деякі додатки використовують більше одного номеру порту. Наприклад, для передачі даних по FTP-протоколу використовується порт 20, але для можливості керування сеансом по FTP використовується порт 21. Щоб заборонити весь FTP-трафік, варто заборонити обидва порти.

Для включення декількох номерів портів ACL-списки в ПЗ Cіsco ІOS фільтрують діапазони портів. Для цього необхідно використовувати параметри «gt», «lt» або оператори діапазону в інструкції ACL-списку. Наприклад, дві інструкції ACL-списку для FTP можна об'єднати в одну за допомогою наступної команди:

R1(confіg)#access-lіst 181 deny tcp any 192.168.77.0 0.0.0.255 range 20 21