3.7. Контрольные вопросы

1. Каким образом проводится настройка маршрутизатора?

2. Каким образом можно настроить маршрутизатор на работу в режиме шлюза?

3. Как выбрать адрес для настройки на конечном устройстве (ПК) таким образом, чтобы он мог работать со шлюзом?

4. Что такое статическая маршрутизация?

5. Перечислите основные элементы схемы статической маршрутизации.

6. Каковы плюсы статической маршрутизации?

7. Каковы минусы статической маршрутизации?

8. Что такое метрика?

9. Что такое административное расстояние?

10. Для чего предназначено специальное ПО PuTTY?

Приложение к лабораторной работе №3

Отчет по лабораторной работе №3

Студента ______________________ группы __________

Тема: ____________________________________________

Занятие №________________________________________

Перечень технических средств

1. _______________________________________________

2. _______________________________________________

3. _______________________________________________

4. _______________________________________________

Описание проделанной работы:

_________________________________________________

_________________________________________________

_________________________________________________

_________________________________________________

Общие выводы по лабораторной работе:

_________________________________________________

_________________________________________________

_________________________________________________

_________________________________________________

Работу выполнил

______________ ______________

(дата) (подпись)

Лабораторная работа №4

Управление трафиком с помощью ACL. ACL в IOS. Типы ACL. Стандартные и расширенные ACL.

Занятие: изучение принципов работы списков управления доступом (СУД).

4.1. Цели и учебные вопросы

Цели практической работы:

1. Ознакомление с технологией ACL.

2. Изучение принципов работы списков управления доступом.

3. Получение практических навыков в конфигурировании СУД и построении сети с применением технологии управления доступом на основе совместной настройки протоколов.

Учебные вопросы:

1. Принцип работы СУД.

2. Настройка СУД на маршрутизаторах.

3. Порядок ввода команд для настройки СУД.

Учебная группа: студенты 3 курса, группа – не более 15 человек.

Время: 2 учебных часа.

Место: лаборатория сетевой и криптографической защиты информации.

Используемые технические средства:

• ПК с установленным ПО «Cisco Packet Tracer».

Литература и используемые источники:

1. Материалы официального веб-сайта компании Cisco, [электронный документ], http://www.cisco.com/c/en/us/about/ press/publications.html.

2. Лекции по курсу «Администрирование систем и сетей».

4.2. Краткие теоретические сведения

Задача управления доступом является весьма важной проблемой, решать которую приходится администратору сети. При этом необходимо предусмотреть:

- ограничение доступа к серверу;

- запрет на доступ к некоторым сетевым ресурсам и сервисам, например запрещенным интернет-сайтам;

- разграничение прав пользователей.

Данная задача решается настройкой списков управления доступом (ACL – Access Control List) – таблиц, которые определяют, какие операции можно совершать над тем или иным сетевым компонентом.

В сущности ACL – это мини-файрволлы, фильтрующие трафик, направленный к хосту, от хоста, к подсети или от подсети.

ACL – мощный инструмент управления трафиком. С их помощью можно обезопасить сеть, ограничить объем трафика, разграничить пользователей по правам. Надо лишь уметь их правильно применять.

Итак, списки управления доступом бывают:

1. Стандартные (Standard ACLs), позволяющие фильтровать трафик только по адресу отправителя (правила синтаксиса), в котором отражён лишь IP-адрес устройства, с которого должен фильтроваться поток данных.

router(conf)# access-list <1-99> <permit | deny | remark> source [source-wildcard]

Пример

router(conf)# access-list 10 permit 192.168.0.0 0.0.0.255

Из примера видно, что любой ACL имеет строгую структуру. У него есть идентификатор (в данном примере – 10), который позволяет осуществить привязку ACL к устройству; правило, которое определяет действия с трафиком (в данном примере «permit - разрешить») и, собственно, адрес отправителя, с которого был отправлен пакет данных.

Работает это следующим образом: если трафик пришёл из сети 192.168.0.0/24, то, руководствуясь списком доступа под номером 10, он пропускается.

Примечание: в синтаксисе стандартных Access-lists используется обратная маска – wildcard типа 0.0.0.255. Ей будет соответствовать прямая маска - 255.255.255.0.

Встает вопрос: Что делать с трафиком, который не попадает под это правило?

Для этого в конце любого ACL существует «неявное» (англ. «implicit») правило отброса всего остального трафика. Это означает, что любой поток данных, попадающий под действие списка управления доступом с номером 10 и не исходит из сети 192.168.0.0/24, будет отброшен.

Отсюда вытекает другой вопрос: Как определить попадает ли трафик под действие ACL?

Для этого списки управления доступом привязываются к интерфейсам. Происходит это при помощи команды связки:

router(conf-if)# ip access-group <1-99> <in | out>

Пример

router(conf-if)# ip access-group 10 in

Как видно из примера, настройка происходит из режима конфигурации интерфейса (conf-if) и ACL будет иметь имя Access-group.

Кроме определения того, на каком порту устройства применяется список управления доступом, необходимо указать направление, в котором трафик будет фильтроваться (на вход или на выход).

Для стандартных ACL имеет смысл ставить режим «на вход», так как фильтрация осуществляется, исходя из IP-адреса отправителя.

Побочным эффектом является то, что такие ACL ставятся как можно ближе к пункту назначения, чтобы охватить весь поток трафика и не отфильтровывать нужный трафик, идущий по другим направлениям через тот же маршрутизатор.

2. Расширенные (Extended ACLs)

Расширенные списки управления доступом – это более гибкий инструмент управления. Кроме адреса отправителя, они могут содержать в себе протокол, порт или/и адрес получателя. Соответственно, их функционал гораздо богаче, а список функций – шире.

В отличии от стандартных ACL, расширенные могут быть применены где угодно, в зависимости от нужд администратора. Настройка Extended ACL имеет следующий вид:

router(conf)# access-list acl-number <permit|deny> <ip|icmp|ospf|eigrp...> source source-wildcard destination destination-wildcard

router(conf)# access-list acl-number <deny|permit> <tcp|udp> source source-wildcard [operator [port]] destination destination-wildcard [operator [port]] [log]

Пример

R1(conf)# access-list 100 deny tcp host 10.0.3.2 host 192.168.3.10 eq 3389

R1(conf)# access-list 100 deny tcp host 10.0.3.1 any eq 80

R1(conf)# access-list 100 permit ip 10.0.3.0 0.0.0.255 any

R1(conf)# access-list 100 deny ip any any

Имена EACL имеют диапазон 100-999, их синтаксис похож на стандартные ACL.

И стандартные, и расширенные списки управления доступом могут иметь несколько строк, причём выполнение условий будет выполняться сверху вних, то есть построчно.

Приоритет у любой команды равный. Меньший приоритет имеют только правила неявного запрета (очевидно, чтобы иметь возможность пропуска трафика).