22. Списки управления доступом

ACL-список — это ряд команд IOS, определяющих, пересылает ли маршрутизатор пакеты или сбрасывает их, исходя из информации в заголовке пакета. 

В зависимости от конфигурации ACL-списки выполняют следующие задачи:

• Ограничение сетевого трафика для повышения производительности сети. Например, если корпоративная политика запрещает видеотрафик в сети, необходимо настроить и применить ACL-списки, блокирующие данный тип трафика. Подобные меры значительно снижают нагрузку на сеть и повышают ее производительность.

• Вторая задача ACL-списков — управление потоком трафика. При помощи списков контроля доступа (ACL) можно ограничить доставку маршрутных обновлений, чтобы гарантировать достоверность источников таких обновлений.

• Списки контроля доступа обеспечивают базовый уровень безопасности в отношении доступа к сети. ACL-списки могут открыть доступ к части сети одному узлу и закрыть его для других узлов. Например, доступ к сети отдела кадров может быть ограничен и разрешен только авторизованным пользователям.

• ACL-списки осуществляют фильтрацию трафика на основе типа трафика. Например, ACL-список может разрешать трафик электронной почты, но при этом блокировать весь трафик протокола Telnet.

• Списки контроля доступа осуществляют сортировку узлов в целях разрешения или запрета доступа к сетевым службам. С помощью ACL-списков можно разрешать или запрещать доступ к определенным типам файлов, например FTP или HTTP.

• При помощи ACL-списков можно классифицировать трафик для включения обработки данных в соответствии с приоритетом.

Фильтрация пакетов

Список контроля доступа ACL — это последовательный список разрешающих или запрещающих операторов, называемых записями контроля доступа (ACE). Записи контроля доступа также часто называют правилами ACL-списка. При прохождении сетевого трафика через интерфейс, где действует список контроля доступа (ACL), маршрутизатор последовательно сопоставляет информацию из пакета с каждой записью в списке контроля доступа на предмет соответствия. Этот процесс называется фильтрацией пакетов.

Фильтрация пакетов обеспечивает контроль доступа к сети на основе анализа входящих и исходящих пакетов с последующей переадресацией или отбрасыванием этих пакетов согласно заданным критериям. Как показано на рисунке, фильтрация пакетов может происходить на транспортном и сетевом уровнях 3 и 4. 

Входящие и исходящие acl-списки

23)Протокол dhcPv4

DHCPv4 присваивает IPv4-адреса и другие сетевые параметры динамически. Поскольку стационарные ПК обычно составляют основную часть сетевых узлов, протокол DHCPv4 является крайне полезным инструментом, позволяющим сетевым администраторам значительно экономить время.

Выделенный DHCPv4-сервер масштабируется и относительно легок в управлении. Однако в небольшом филиале или домашнем офисе (SOHO) маршрутизатор Cisco можно настроить для обеспечения DHCPv4-служб без необходимости в выделенном сервере. ПО Cisco IOS поддерживает дополнительный полнофункциональный сервер DHCPv4.

Сервер DHCPv4 динамически назначает или выдает в аренду IPv4-адрес из пула адресов на ограниченный период времени по выбору сервера или до тех пор, пока у клиента есть необходимость в адресе.

Клиенты арендуют данные у сервера на период, определенный администратором. Администраторы настраивают серверы DHCPv4 таким образом, чтобы срок аренды истекал в разное время. Срок аренды обычно составляет от 24 часов до недели или более. По истечении срока аренды клиент должен запросить другой адрес, хотя в большинстве случаев клиенту повторно назначается тот же адрес.

Операция DHCPv4

DHCPv4 работает по модели «клиент-сервер». Когда клиент подключается к серверу DHCPv4, сервер присваивает или сдает ему в аренду IPv4-адрес. Клиент с арендованным IP-адресом подключается к сети до истечения срока аренды. Периодически клиент должен связываться с DHCP-сервером для продления срока аренды. Благодаря подобному механизму «переехавшие» или отключившиеся клиенты не занимают адреса, в которых они больше не нуждаются. По истечении срока аренды сервер DHCP возвращает адрес в пул, из которого адрес может быть повторно получен при необходимости.

Первоначальная аренда

При начальной загрузке клиента (или ином способе подключения к сети) начинается 4-шаговый процесс получения адреса в аренду. Как показано, клиент начинает процесс с сообщения DHCPDISCOVER широковещательной рассылки со своего MAC-адреса с целью обнаружения доступных DHCPv4-серверов.

Обнаружение DHCP (DHCPDISCOVER)

Сообщение DHCPDISCOVER находит в сети DHCPv4-серверы. Поскольку во время загрузки у клиента нет верной IPv4-информации, для связи с сервером используются широковещательные адреса уровня 2 и уровня 3.

Предложение DHCP (DHCPOFFER)

Когда сервер DHCPv4 получает сообщение DHCPDISCOVER, он резервирует доступные IPv4-адреса для выдачи в аренду клиенту. Сервер также создает запись ARP, состоящую из MAC-адреса запрашивающего клиента и выданного клиенту IPv4-адреса. Как показано, DHCPv4-сервер посылает сообщение привязки DHCPOFFER запрашивающему клиенту. Адресом источника одноадресной рассылки сообщения DHCPOFFER является MAC-адрес уровня 2 сервера, адресом назначения - MAC-адрес уровня 2 клиента.

Запрос DHCP (DHCPREQUEST)

Когда клиент получает от сервера сообщение DHCPOFFER, он отправляет в ответ сообщение DHCPREQUEST. Это сообщение используется как для первоначальной аренды адреса, так и для ее продления. Когда сообщение используется при первоначальной аренде, DHCPREQUEST служит уведомлением о принятии предложения привязки к предложенным сервером параметрам и косвенным отклонением для всех других серверов, которые могли предоставить клиенту предложение привязки.

В корпоративных сетях часто используется несколько DHCPv4-серверов. Сообщение DHCPREQUEST отправляется в форме широковещательной рассылки с целью информирования данного DHCPv4-сервера и других DHCPv4-серверов о том, что предложение было принято.

Подтверждение DHCP (DHCPACK)

При получении сообщения DHCPREQUEST, сервер проверяет, не используется ли выдаваемый в аренду IP-адрес с помощью отправки эхо-запроса по протоколу ICMP на этот адрес. После этого сервер создает новую запись ARP для клиентской аренды и отвечает сообщением одноадресной рассылки DHCPACK. Сообщение DHCPACK является копией сообщения DHCPOFFER, за исключением изменения в поле типа сообщения. При получении сообщения DHCPACK клиент загружает информацию о конфигурации и выполняет ARP-проверку присвоенного адреса. Если ARP-ответа нет, значит, IPv4-адрес доступен, и клиент начинает использовать его в качестве собственного адреса.

Продление аренды

Запрос DHCP (DHCPREQUEST)

Как показано на рис. 6, перед окончанием аренды клиент отправляет сообщение DHCPREQUEST непосредственно DHCPv4-серверу, который первоначально предложил IPv4-адрес. Если сообщение DHCPACK не получено за определенный период времени, клиент отправляет другое сообщение DHCPREQUEST широковещательной рассылкой, чтобы другой DHCPv4-сервер мог продлить срок аренды.

Подтверждение DHCP (DHCPACK)

При получении сообщения DHCPREQUEST сервер подтверждает информацию об аренде ответным сообщением DHCPACK.

Формат сообщений DHCPv4

Для всех транзакций DHCPv4 используется одинаковый формат сообщений DHCPv4. Сообщения DHCPv4 инкапсулируются в рамках транспортного протокола UDP. Сообщения DHCPv4 отправляются от клиента через протокол UDP из порта источника 68 в порт назначения 67. Сообщения DHCPv4 отправляются с сервера через протокол UDP из порта источника 67 в порт назначения 68.

На рисунке показан формат сообщения DHCPv4. Сообщение содержит следующие поля:

• Код операции (OP) —указывает общий тип сообщения. Значение 1 означает сообщение-запрос; значение 2 — сообщение-ответ.

• Тип оборудования — определяет тип аппаратного оборудования, используемого в сети. Например, 1 — Ethernet, 15 — Frame Relay, 20 — последовательная линия. Эти же коды используются в сообщениях ARP.

• Длина физического адреса — задает длину адреса.

• Переходы — управление процессом пересылки сообщений. Устанавливается клиентом на 0 перед отправкой сообщения-запроса.

• Идентификатор транзакции — используется клиентом для согласования запроса с ответами от DHCPv4-серверов.

• Секунды — обозначают количество секунд, пройденных с момента, когда клиент начал пытаться получить или продлить аренду. Используется DHCPv4-серверами для расстановки приоритетности ответов, в случае нескольких клиентских запросов.

• Флаги — применяются клиентом, который не знает своего IPv4-адреса при отправлении запроса. Используется только один из 16 бит, являющийся флагом широковещательной рассылки. Значение 1 в этом поле сообщает DHCPv4-серверу или агенту-ретранслятору, принимающему запрос, что ответ должен быть послан в форме широковещательной рассылки.

• IP-адрес клиента — используется клиентом при продлении аренды, когда клиент имеет собственный действительный и используемый IP-адрес, но не в процессе первоначального его получения. Клиент подставляет собственный IPv4-адрес в это поле только в случае, если у него есть действующий IPv4-адрес, совпадающий с ранее назначенным; в противном случае значение поля устанавливается на 0.

• Ваш IP-адрес — используется сервером для присвоения нового IPv4-адреса клиенту.

• IP-адрес сервера — применяется сервером для распознавания адреса сервера, который клиент должен использовать для следующего шага в процессе самонастройки. Этот сервер может являться (или не являться) сервером, посылающим ответ. Сервер, посылающий ответ, всегда включает собственный IPv4-адрес в отдельное поле - опцию Идентификатор сервера DHCPv4.

• IP-адрес шлюза — направляет DHCPv4-сообщения при использовании агентов-ретрансляторов DHCPv4. Использование заданного адреса шлюза упрощает передачу DHCPv4- запросов и ответов между клиентом и сервером, которые находятся в разных подсетях или сетях.

• Физический адрес клиента — указывает физический уровень клиента.

• Имя сервера — используется сервером, отправляющим сообщения DHCPOFFER или DHCPACK. Данное поле является необязательным для заполнения. Именем сервера может быть простой текстовый псевдоним или доменное имя DNS-сервера, как например dhcpserver.netacad.net.

• Имя файла загрузки — опциональное поле, используемое клиентом для запроса файла загрузки определенного типа посредством сообщения DHCPDISCOVER. Применяется сервером в сообщении DHCPOFFER для точного задания директории файла загрузки и имени файла.

• Опции DHCP — поле включает в себя опции DHCP, а также некоторые параметры, необходимые для основных операций протокола DHCP. Длина этого поля меняется. Поле может использоваться как клиентом, так и сервером.

Сообщения обнаружения и предложения DHCPv4

В случае если к сети хочет подключиться клиент с настройками на динамическое получение настроек IPv4, он запрашивает значения адресации от DHCPv4-сервера. Передача клиентом сообщения DHCPDISCOVER в локальную сеть происходит во время загрузки клиента или при обнаружении им активного сетевого подключения. Поскольку клиент не может знать, к какой подсети он относится, сообщение DHCPDISCOVER представляет собой широковещательную рассылку IPv4 (IPv4-адрес назначения 255.255.255.255). Поскольку у клиента еще нет настроенного IPv4-адреса, используется IPv4-адрес источника — 0.0.0.0.

Как показано на рис, IPv4-адрес клиента (CIADDR), адрес основного шлюза (GIADDR) и маска подсети в сообщении DHCPDISCOVER соответствуют используемому адресу 0.0.0.0.

DHCPv4-сервер отвечает на сообщение DHCPDISCOVER сообщением DHCPOFFER. Это сообщение содержит предварительные настройки для клиента, включая IPv4-адрес, предложенный сервером, маску подсети, срок аренды и IPv4-адрес DHCPv4-сервера, от которого исходит предложение.

Сообщение DHCPOFFER может быть также настроено для содержания дополнительных данных, таких как время обновления аренды и адрес DNS-сервера.

Как показано на рис., сервер DHCP отвечает на сообщение DHCPDISCOVER, высылая значения IP-адреса (CIADDR) и маски подсети. Используя физический адрес устройства-клиента (CHADDR), сервер создает и отправляет кадр запрашивающему клиенту.

Для завершения процесса клиент и сервер отправляют сообщения подтверждения.

Настройка сервера DHCP

Шаг 1. Исключение IPv4-адресов

Как правило, некоторые IPv4-адреса из пула присваиваются сетевым устройствам для постоянного использования. Следовательно, эти IPv4-адреса не должны присваиваться другим устройствам. Чтобы исключить определенные адреса, используйте команду ip dhcp excluded-address.

Можно исключить один адрес или диапазон адресов, задав адреса нижнего и верхнего пределов диапазона.

Шаг 2. Настройка адресного пула DHCPv4

При выполнении настройки DHCPv4-сервера задается пул адресов, предназначенных для распределения. Как показано на рис, команда ip dhcp pool pool-name создает пул с заданным именем и переводит маршрутизатор в режим конфигурации протокола DHCPv4, который определяется строкой запроса: Router(dhcp-config)#.

Шаг 3. Настройка конкретных задач

На рис. перечислены задачи для завершения настройки адресного пула DHCPv4. Некоторые из них опциональны, настройка же других задач является обязательной.

Пул адресов и основной шлюз маршрутизатора должны быть настроены. Используйте команду network для определения диапазона доступных адресов.

Используйте команду default-router, чтобы задать основной шлюз маршрутизатора..

Остальные команды DHCPv4-пула являются дополнительными. Например, Продолжительность аренды протокола DHCPv4 изменяется командой lease. По умолчанию продолжительность аренды равна одному дню. Чтобы задать сервер NetBIOS WINS, используется команда netbios-name-server.

Отключение DHCPv4

Служба DHCPv4 включена по умолчанию. Для того чтобы отключить/ включить службу, введите команду в режиме глобальной конфигурации no/ service dhcp.

Проверка DHCP

show running-config | section dhcp выходные данные команды отображают текущую конфигурацию DHCPv4, выполненную на маршрутизаторе R1. Параметр | section отображает только те команды, которые связаны с настройкой DHCPv4.

 show ip dhcp binding. Команда выводит список всех привязок адресов IPv4 к MAC-адресам, предоставленных службой DHCPv4.

show ip dhcp server statistics — используется, чтобы проверить принятые и отправленные маршрутизатором сообщения. Данная команда отображает информацию о количестве принятых и отправленных сообщений DHCPv4.

DHCPv4-ретрансляция

Настройка вспомогательного адреса Cisco IOS. Подобная настройка позволяет маршрутизатору пересылать широковещательные сообщения DHCPv4 серверу DHCPv4. При пересылке(В виде одноадресной) запросов присвоения адреса/параметров адреса маршрутизатор выступает в качестве агента DHCPv4-ретрансляции

Настройки интерфейса с помощью команды ip helper-address. Адрес DHCPv4-сервера сконфигурирован в качестве единственного параметра.

DHCPv4 — не единственная служба, на ретрансляцию которой может быть сконфигурирован маршрутизатор. По умолчанию команда ip helper-address переадресовывает следующие восемь служб UDP:

• Порт 37: Time

• Порт 49: TACACS

• Порт 53: DNS

• Порт 67: DHCP/BOOTP client

• Порт 68: DHCP/BOOTP server

• Порт 69: TFTP

• Порт 137: NetBIOS name service

• Порт 138: NetBIOS datagram service

Настройка маршрутизатора в качестве DHCPv4-клиента

В некоторых случаях маршрутизаторы Cisco в небольших или домашних офисах (SOHO) и филиалах должны быть настроены в качестве DHCPv4-клиентов аналогично настройке клиентских компьютеров.

Для настройки Ethernet-интерфейса в качестве DHCP-клиента используйте команду режима настройки интерфейса ip address dhcp.

Задачи поиска и устранения неполадок

Существует множество причин возникновения проблем в работе протокола DHCPv4: неисправности программного обеспечения операционных систем, драйверов сетевого адаптера или агентов DHCP-ретрансляции. Тем не менее наиболее распространенной причиной неполадок является неправильная конфигурация. Из-за большого количества потенциальных проблемных областей при поиске и устранении неполадок требуется системный подход, как показано на рис. 1.

Поиск и устранение неполадок. Задача 1. Разрешение конфликтов IPv4-адресов

У клиента, подключенного к сети, может истечь срок аренды IPv4-адреса. Если клиент не возобновит аренду, DHCPv4-сервер может переназначить этот IPv4-адрес другому клиенту. После перезагрузки клиент запросит IPv4-адрес. Если DHCPv4-сервер не даст ответ достаточно быстро, клиент будет использовать IPv4-адрес, использовавшийся в последний раз. Возникает ситуация, когда два клиента используют один IPv4-адрес, создавая конфликт.

Команда show ip dhcp conflict отображает все конфликты адресов, зарегистрированные DHCPv4-сервером (см. рис. 2). Для обнаружения клиента сервером используется команда ping. Для обнаружения конфликта клиент использует протокол разрешения адресов (ARP). При обнаружении конфликта адрес удаляется из пула и не присваивается до устранения конфликта администратором.

Выходные данные отображают IP-адреса, конфликтующие с сервером DHCP. В данных указан метод обнаружения (detection method) и время обнаружения (detection time) конфликтующих IP-адресов, предложенных сервером DHCP.

Поиск и устранение неполадок. Задача 2. Проверка физического соединения

Сначала используйте команду show interfaces интерфейс, чтобы убедиться, что интерфейс маршрутизатора, действующий в качестве основного шлюза для клиента, функционирует. Если статус интерфейса отличается от статуса up, трафик (включая запросы DHCP-клиента) не проходит через порт.

Поиск и устранение неполадок. Задача 3. Проверка связности с использованием статического IP-адреса

При проведении работ по поиску и устранению неполадок любой неисправности DHCPv4 необходимо проверить связность путем настройки статической IPv4-адресации на клиентской рабочей станции. Если рабочей станции не удается получить доступ к сетевым ресурсам, несмотря на наличие статически настроенного IPv4-адреса, DHCPv4 не является источником проблемы. В этом случае необходимо провести проверку сетевого подключения.

Поиск и устранение неполадок. Задача 4. Проверка настройки порта коммутатора

В случае если DHCPv4-клиент не может получить IPv4-адрес от DHCPv4-сервера при загрузке, стоит попробовать получить IPv4-адрес от DHCPv4-сервера, вручную отправив DHCPv4-запрос с устройства-клиента.

Примечание. Если между клиентом и DHCPv4-сервером есть коммутатор, и клиент не может получить настройки DHCP, причиной могут служить неполадки в настройке порта коммутатора. Причиной могут быть проблемы, связанные с созданием транковых и логических каналов, а также с протоколами STP и RSTP. Решением наиболее часто возникающих проблем клиента DHCPv4, происходящих при первоначальной установке коммутатора Cisco, может стать настройка расширения PortFast и пограничного порта.

Поиск и устранение неполадок. Задача 5. Диагностика работы протокола DHCPv4 в той же подсети или VLAN

Важно различать, правильно ли функционирует DHCPv4 в качестве DHCPv4-сервера, когда клиент находится в той же подсети или VLAN. В случае если протокол DHCPv4 работает корректно при условии, что клиент находится в той же подсети или VLAN, проблема может заключаться в агенте DHCP-ретрансляции. Если неполадки сохраняются даже при проверке работы DHCPv4 в той же подсети или VLAN в качестве DHCPv4-сервера, проблема обычно заключается в DHCPv4-сервере.

Проверка настроек DHCPv4 на маршрутизаторе

Когда DHCPv4-сервер расположен в отдельной от клиента LAN, интерфейс маршрутизатора, соответствующий клиенту, должен быть настроен на ретрансляцию DHCPv4-запросов при помощи настройки вспомогательного IPv4-адреса. Если вспомогательный IPv4-адрес настроен неверно, клиентские DHCPv4-запросы не будут пересылаться на DHCPv4-сервер.

Для проверки настроек маршрутизатора выполните следующие действия:

Шаг 1. Убедитесь, что команда ip helper-address выполнена на правильном интерфейсе. Команда должна быть выполнена на входящем интерфейсе LAN, содержащем рабочие станции DHCPv4-клиента, и направлена на верный DHCPv4-сервер. Выходные данные команды show running-config, показанные на рисунке, подтверждают, что DHCPv4-ретрансляция IPv4-адреса обращается к DHCPv4-серверу с адресом 192.168.11.6.

Команда show ip interface также может использоваться для проверки работы DHCPv4-ретрансляции на интерфейсе.

Шаг 2. Убедитесь, что не была выполнена команда глобальной конфигурации no service dhcp. Данная команда отключает все функциональные возможности DHCP-сервера и ретрансляции на маршрутизаторе. Команда service dhcp не отображается при выводе текущей конфигурации, поскольку является настроенной по умолчанию.

На рисунке команда show running-config | include no service dhcp подтверждает, что служба DHCPv4 запущена, так как нет совпадений для команды show running-config | include no service dhcp. Если служба была отключена, команда no service dhcp будет отображена в выходных данных.

Отладка DHCPv4

Если маршрутизатор, сконфигурированный в качестве DHCPv4-сервера, не получает запросы от клиента, процесс DHCPv4 не может быть выполнен. Необходимо выполнить одну из задач по поиску и устранению неполадок для подтверждения того, что маршрутизатор получает DHCPv4-запрос от клиента. Этот шаг поиска и устранения неполадок включает настройку списка контроля доступа (ACL) для отладочных выходных данных.

Примечание. Хотя можно скопировать расширенный список ACL, представленный на рисунке, и использовать его для фильтрации сообщений DHCP, в рамках данного курса настройка расширенных списков ACL не рассматривается.

На рисунке представлен расширенный ACL-список, допускающий пакеты только с портом назначения UDP 67 или 68. Данные порты стандартно используются DHCPv4-клиентами и серверами при отправке сообщений DHCPv4. Для отображения только сообщений протокола DHCPv4 расширенный ACL-список применяется с командой debug ip packet.

Выходные данные, отображенные на рисунке, указывают, что маршрутизатор получает DHCP-запросы от клиента. IP-адрес источника — 0.0.0.0, поскольку клиент еще не получил IP-адрес. Адрес назначения — 255.255.255.255, так как сообщение обнаружения DHCP от клиента отправлено широковещательной рассылкой. Выходные данные отображают только часть данных пакета, а не само сообщение DHCPv4. Тем не менее, маршрутизатор получил пакет широковещательной рассылки с IP-адресами источника и назначения и портом UDP, верным для DHCPv4. Полные отладочные выходные данные отображают все пакеты DHCPv4-обмена между DHCPv4-сервером и DHCPv4-клиентом.

Другой полезной командой для поиска и устранения неполадок в работе DHCPv4 является debug ip dhcp server events. Команда предоставляет отчет о событиях сервера, таких как назначение адреса или обновление базы данных.