Просмотр и редактирование acl

Просмотреть список доступа можно по команде (в режиме администратора):

show access-lists [номер ACL]

Команда выводит не только все правила списка, но и статистику совпадений с каждым правилом к данному моменту времени. Если номер не указан, то отображаются все ACL.

Команда

show running-config

выводит информацию о текущей конфигурации маршрутизатора, в том числе и о всех определенных списках доступа и командах их активизации.

Редактировать ранее введенные правила ACLс помощью интерпретатора командной строкиCiscoневозможно. Необходимо в этом случае удалить весь списокACLи ввести его заново. Для удаленияACLесть команда (в глобальном режиме):

no access-list номер ACL

Однако редактировать правила ACLвсе же можно следующим приемом. СписокACLсначала введите не в маршрутизатор, а в текстовый вспомогательный файл. Этот файл блокнотным редактором удобно создать прямо на рабочем столе управляющего компьютераCisco.

После ввода всех правил ACLв файл и, возможно, их редактирования, выделите подготовленный список ископируйтеего в системный буфер обмена. Далее вернитесь в окно приложенияHyperterminal, перейдите в глобальный режимCiscoивставьтетекстACLиз буфера обмена в точку, указанную курсором (т.е. в начало строки ввода командACL).

Повторяя команды удаления ACL, редактированияACLво вспомогательном файле и вставки в командную строку интерпретатора команд, можно быстро отлаживать большие списки доступа. Чтобы не вводить каждый раз вручную команду удаления предыдущегоACL, начните вспомогательный файл непосредственно с команды удаления.

Дополнительная литература к лекциям 12 - 13

1.Кульгин М.Практика построения компьютерных сетей. Для профессионалов. СПб.: Питер, 2001. 320 с.

2.Кульгин М.Практика построения компьютерных сетей. Для профессионалов. 2-изд. СПб.: Питер, 2003.464с.

3. Пакет К., Тир Д. Создание масштабируемых сетей Cisco. : Пер. с англ. – М: Издательский дом “Вильямс”, 2002. 792 с.

4. Защита компьютерных сетей на основе списков управления доступом ACL CISCO. Методические указанияк лабораторной работе по курсу “Cетевые технологии” для студентов всех форм обучения специальности 230102– Автоматизированные системы обработки информацииии управления /В.А.Губин. УГТУ-УПИ, каф.АСУ, 2006. 10 с.

Лекция 13. Защита компьютерных сетей списками доступа АСL CISCO: расширенные списки доступа, применение в списках ключевых слов established, tcp, udp и icmp

Расширенные списки доступа

Расширенные списки в принципе подобны стандартным, только содержат больше контролируемых параметров. Правило фильтрации IP-пакета для расширенного списка определяется следующим общим выражением:

access-list номер ACL deny | permit протокол адр.шаблон отправ.адр.шаблон получат. [дополнит.спецификации протокола верхн.уровня]

Здесь:

номер ACL – любой номер из диапазона100…199 или2000…2699;

протокол – один из протоколовtcp (6),udp (17),icmp (1),ospf (89),ip (0)и некоторые др.Internet-протоколы. Можно указывать или имя протокола или его числовой код (приведен в скобках). Если правило относится к любому протоколу, то указывается протоколip.

адр.шаблон отправ.иадр.шаблон получат.– это пары <адрес отправителяспец.маска адреса> и <адрес получателяспец.маска адреса>. Работа с адресными шаблонами рассмотрена в лекции 12;

дополнительные спецификации – зависят от конкретного протокола, указанного в полепротокол. Дляtcp,udp,icmpэти спецификации приведены ниже.

Проходящий пакет проверяется на совпадение со всемипараметрами, указанными в текущем правиле. При полном совпадении выполняется, как обычно, предписанное в правиле действие. Если совпадения нет хотя бы с одним параметром, то данное правило игнорируется и рассматривается следующее.

В конец ACLавтоматически также помещается неотображаемая команда:

access-list номер ACL deny ip any any

Активизация расширенного списка производится такой же командой, какой активи-зируется стандартный ACL.

Остановимся на специфике определения правил ACLдля фильтрацииIP-пакетов с контролем параметров протоколов верхнего уровняtcp,udp,icmp, как наиболее важных и применяемых чаще других.