1 Рабочее задание

1 Разработать план создания списка доступа для вашей топологии сети. Далее действовать согласно вашему плану.

2 Создать стандартный список доступа, фильтрующий входящие пакеты через определенный интерфейс маршрутизатора.

3 Создать стандартный список доступа, фильтрующий выходящие пакеты через определенный интерфейс маршрутизатора.

4 Создать расширенные списки доступа, выбрав порт определенного маршрутизатора где образно будут находиться ваши сервера.

5 Просмотр информации о списках доступа.

6 Проверить созданные списки доступа на работоспособность

2 Методическое указание

1 Списки доступа

Списки доступа – это списки условий для управления доступом. Они позволяют отсеивать нежелательные пакеты и потому применяются для реализации стратегии безопасности. Их можно применять для контроля потока входящих или исходящих пакетов для любого интерфейса; маршрутизатор анализирует каждый пакет, проходящий через данный интерфейс в указанном направлении, и выполняет соответствующие действия.

Стандартные списки доступа

Списки доступа делятся на стандартные и расширенные. Стандартные списки позволяют анализировать исходные адреса пакетов и предпринимать определенные действия на основании результатов анализа. Каждая строка стандартного списка доступа имеет следующий формат:

access-list номер permit/deny исходный адрес.

Команда access-list должна вводится в режиме конфигурации. Каждому списку доступа присваивается уникальный номер: для стандартного списка доступа номер должен лежать в диапазоне от 1 до 99. Ключевое слово permit или deny указывает, следует ли разрешить (permit) прохождение пакета, удовлетворяющего шаблону, или запретить (deny) его. Параметр исходный адрес определяет исходный адрес пакетов, нуждающихся в особой обработке. Параметр исходный адрес может быть адресом оста, парой адрес сети (подсети) и маской шаблона, и ключевым словом any.

После того, как создан список доступа, его необходимо связать с определенным интерфейсом, при этом с каждым интерфейсом можно связать только один список доступа. Связывание осуществляется командой ip access-group в режиме конфигурирования интерфейса. После команды указывается номер связываемого списка доступа, а затем ключевой параметр in, для фильтрации входящего в интерфейс маршрутизатора пакетов, или out – выходящих пакетов.

Пример. Пусть имеется подсеть, подключенная к интерфейсу ethernet0, в которой размещен сервер СУБД. Необходимо предоставить к нему доступ только с хоста с адресом 172.16.22.8 и любой машины с сети 172.16.84.0. Это можно сделать следующим образом:

RouterABC#configure terminal

Enter configuration commands, one per line. End with CTRL/Z.

RouterABC(config)#access-list 10 permit 172.16.22.8

RouterABC(config)#access-list 10 permit 172.16.84.0 0.0.0.255

RouterABC(config)#interface ethernet0

RouterABC(config-if)#ip access-group 10 out

RouterABC(config-if)#^Z

RouterABC#.

2 Расширенные списки доступа

Расширенные списки доступа, как явствует из названия, снабжены дополнительными критериями фильтрации по сравнению со стандартными списками. Стандартные списки доступа производят фильтрацию только на основании исходного адреса пакета, в то время как расширенные списки позволяют применять критерии фильтрации по:

• - Исходному адресу.

• - Целевому адресу.

• - Протоколу.

• - Порту.

Синтаксис строк расширенного списка доступа:

access-list номер permit/deny протокол исходный целевой порт.

Номер расширенного списка должен находиться в пределах от 100 до 199. Протоколами могут быть любые протоколы из стека TCP/IP. Порт указывается либо в десятичной, либо в символьной форме. Например, значение последнего параметра равное 80 или www равнозначно.

Пример. В сети 172.16.55.0 подключенному к интерфейсу ethernet0 маршрутизатора home имеются Web-сервер и Proxy-сервер (порт 8888) с адресами 172.16.55.14 и 172.16.55.20, соответственно. Необходимо предоставить всем машинам доступ к указанному Web-серверу, а к Proxy-серверу только хосту 172.16.87.77.

home#configure terminal

Enter configuration commands, one per line. End with CTRL/Z.

home(config)#access-list 110 permit tcp any host 172.16.55.14 eq www

home(config)#access-list 110 permit tcp host 172.16.87.77 host 172.16.55.20 eq 8888

home(config)#interface ethernet0

home(config-if)#ip access-group 110 out

home(config-if)#^Z

home#.

Надо отметить, что слово any соответствует адресу 0.0.0.0 и маске шаблона 255.255.255.255, а host 172.16.55.14 – паре 172.16.55.14 0.0.0.0.

Строго говоря, поле порта состоит из двух составляющих – оператора и собственно самого номера или стандартного имени порта. В примере, в частности, указан оператор eq (equal), указывающий на то, что этой строкой должны обрабатываться TCP сегменты с портами равными (equal) 80 (www) (для третьей строки примера) и 8888 (для четвертой). Помимо оператора eq могут также указываться neg (negative) – обрабатывать все порты, за исключением указанного, gt (greater than – больше чем) – только пакеты с большими номерами портов, и т. д.