ICND2_Vol2_RUS

Устранение неполадок списков контроля доступа

В этом разделе описывается поиск и устранение распространенных проблем конфигурации списков контроля доступа.

Отслеживание инструкций списка контроля доступа

RouterX# show access-lists {номер_списка_доступа|имя}

30 permit 10.4.4.1

40 permit 10.5.5.1 Extended IP access list ENG

10 permit tcp host 10.22.22.1 any eq telnet (25 matches) 20 permit tcp host 10.33.33.1 any eq ftp

30 permit tcp host 10.44.44.1 any eq ftp-data

Отображает все списки доступа

Завершив настройку списка контроля доступа, воспользуйтесь командами show, чтобы проверить конфигурацию. Команда show access-lists отображает содержимое всех списков контроля доступа. Добавив имя или номер списка контроля доступа в качестве параметра этой команды, можно вывести определенный список. Чтобы вывести только содержимое списков доступа по протоколу IP, используйте команду show ip access-list.

Проверка списков контроля доступа

RouterX# show ip interfaces e0

Ethernet0 is up, line protocol is up

Internet address is 10.1.1.11/24

Broadcast address is 255.255.255.255

Address determined by setup command

MTU is 1500 bytes

Helper address is not set

Directed broadcast forwarding is disabled

Outgoing access list is not set

Inbound access list is 1

Proxy ARP is enabled

Security level is default

Split horizon is enabled

ICMP redirects are always sent

ICMP unreachables are always sent

ICMP mask replies are never sent

IP fast switching is enabled

IP fast switching on the same interface is disabled

IP Feature Fast switching turbo vector

Команда show ip interfaces отображает сведения об интерфейсе IP и о списках контроля доступа, настроенных на этом интерфейсе. В выводе команды show ip interfaces e0, представленном на рисунке, отображается исходящий список контроля доступа по протоколу IP, настроенный на интерфейсе E0. Исходящие списки не заданы на интерфейсе E0.

Поиск и устранение распространенных ошибок списков контроля доступа

Ошибка 1: у хоста 10.1.1.1 отсутствует подключение к хосту 10.100.100.1.

Для поиска и устранения следующей проблемы проанализируйте вывод команды show access-lists.

Проблема: У хоста 10.1.1.1 отсутствует подключение к хосту 10.100.100.1.

ERROR1# show access-lists 10

Standard IP access list 10

10 deny 10.1.1.0, wildcard bits 0.0.0.255

20 permit 10.1.1.1

30 permit ip any any

Решение: У хоста 10.1.1.1 отсутствует подключение к 10.100.100.1 из-за порядка правил списка доступа 10. Поскольку маршрутизатор обрабатывает списки контроля доступа сверху вниз, инструкция 10 запретит трафик хоста 10.1.1.1, а инструкция 20 не будет обработана. Инструкции 10 и 20 следует поменять местами.

Поиск и устранение распространенных ошибок списков контроля доступа (прод.)

Ошибка 2: сеть 192.168.1.0 не может использовать протокол TFTP для подключения к 10.100.100.1.

Для поиска и устранения следующей проблемы проанализируйте вывод команды show access-lists.

Проблема: Cеть 192.168.1.0 не может использовать протокол TFTP для подключения к 10.100.100.1.

ERROR2# show access-lists 120

Extended IP access list 120

10 deny tcp 172.16.0.0 0.0.255.255 any eq telnet

20 deny tcp 192.168.1.0 0.0.0.255 host 10.100.100.1 eq smtp

30 permit tcp any any

Решение: Cеть 192.168.1.0 не может использовать TFTP для подключения

к 10.100.100.1, так как протокол TFTP использует транспортный протокол UDP. Инструкция 30 в списке доступа 120 разрешает весь TCP-трафик, а протокол TFTP запрещается, так как использует протокол UDP. Строку 30 следует заменить на ip any any.

Поиск и устранение распространенных ошибок списков контроля доступа (прод.)

Ошибка 3: сеть 172.16.0.0 может подключаться к 10.100.100.1 через Telnet, днако это подключение должно быть запрещено.

Для поиска и устранения следующей проблемы проанализируйте вывод команды show access-lists.

Проблема: Cеть 172.16.0.0 может подключаться к 10.100.100.1 через Telnet, однако это подключение должно быть запрещено.

ERROR3# show access-lists 130

Extended IP access list 130

10 deny tcp any eq telnet any

20 deny tcp 192.168.1.0 0.0.0.255 host 10.100.100.1 eq smtp

30 permit ip any any

Решение: Сеть 172.16.0.0 может подключаться к 10.100.100.1 через Telnet, так как номер порта Telnet в инструкции 10 списка доступа 130 находится в неверном положении. В данный момент инструкция 10 запрещает все источники с номером порта, равным номеру порта Telnet, которые пытаются подключиться к любому

IP-адресу. Чтобы запретить входящий Telnet-трафик на интерфейсе S0, необходимо запретить номер порта назначения, равный номеру порта Telnet, например

с помощью инструкции deny tcp any any eq telnet.

Поиск и устранение распространенных ошибок списков контроля доступа (прод.)

Ошибка 4: хост 10.1.1.1 может подключаться к 10.100.100.1 через Telnet, однако это подключение должно быть запрещено.

Для поиска и устранения следующей проблемы проанализируйте вывод команды show access-lists.

Проблема: Хост 10.1.1.1 может подключаться к 10.100.100.1 через Telnet, однако это подключение должно быть запрещено.

ERROR4# show access-lists 140

Extended IP access list 140

10 deny tcp host 10.160.22.11 10.100.100.0 0.0.0.255 eq telnet

20 deny tcp 192.168.1.0 0.0.0.255 host 10.100.100.1 eq smtp

30 permit ip any any

Решение: Хост 10.1.1.1 может подключаться к 10.100.100.1 через Telnet, так как не задано никаких правил, запрещающих хост 10.1.1.1 или его сеть как источник трафика. Инструкция 10 списка контроля доступа 140 запрещает интерфейс маршрутизатора, из которого может отправляться трафик. Но когда эти пакеты покидают маршрутизатор, они имеют адрес 10.1.1.1, а не адрес интерфейса маршрутизатора.

Поиск и устранение распространенных ошибок списков контроля доступа (прод.)

Ошибка 5: хост 10.100.100.1 может подключаться к 10.1.1.1 через Telnet, однако это подключение должно быть запрещено.

Для поиска и устранения следующей проблемы проанализируйте вывод команды show access-lists.

Проблема: Хост 10.100.100.1 может подключаться к 10.1.1.1 через Telnet, однако это подключение должно быть запрещено.

ERROR5# show access-lists 150

Extended IP access list 150

10 deny tcp host 10.100.100.1 any eq telnet

20 permit ip any any

Список доступа 150 применяется к интерфейсу S0 как входящий.

Решение: Хост 10.100.100.1 может подключаться к 10.1.1.1 через Telnet из-за направления, в котором список доступа 150 активирован на интерфейсе S0. Инструкция 10 запрещает адрес источника 10.100.100.1, но этот адрес может быть источником только для исходящего трафика S0, но не для входящего.

Поиск и устранение распространенных ошибок списков контроля доступа (прод.)

Ошибка 6: хост 10.1.1.1 может подключаться к маршрутизатору B через Telnet, однако это подключение должно быть запрещено.

Для поиска и устранения следующей проблемы проанализируйте вывод команды show access-lists.

Проблема: Хост 10.1.1.1 может подключаться к маршрутизатору B через Telnet, однако это подключение должно быть запрещено.

ERROR6# show access-lists 160

Extended IP access list 160

10 deny tcp any host 10.160.22.33 eq telnet

20 permit ip any any

Решение: Хост 10.1.1.1 может подключиться к маршрутизатору B через Telnet, поскольку использование Telnet для подключения к маршрутизатору отличается от транзитного подключения Telnet к другому устройству через маршрутизатор. Инструкция 10 списка доступа 160 запрещает доступ через Telnet к адресу, назначенному интерфейсу S0 маршрутизатора B. Хост 10.1.1.1 все еще может использовать Telnet для подключения к маршрутизатору B по другому адресу

интерфейса, например E0. Чтобы блокировать входящий и исходящий Telnet-трафик на маршрутизаторе, используйте команду access-class для активации списков контроля доступа на линиях VTY.

Резюме

В этом разделе приводится резюме основных вопросов, рассмотренных на занятии.

Резюме

Стандартные списки контроля доступа для IPv4 обеспечивают фильтрацию по IP-адресу источника.

Расширенные списки контроля доступа обеспечивают фильтрацию по IP-адресу источника, IP-адресу назначения, протоколу и номеру порта.

Именованные списки контроля доступа поддерживают удаление отдельных инструкций.

Для поиска и устранения распространенных ошибок конфигурации списков контроля доступа используются команды show access-lists и show ip interface.