4.5 Лабораторна робота №5. Застосування списків доступу на обладнанні Cisco.

Метою даної лабораторної роботи є налаштування стандартних списків доступу на маршрутизаторах Cisco і знайомство з розширеними списками доступу.

Нові навички, що набуваються в роботі з обладнанням Cisco:

1. Зіставлення інтерфейсу маршрутизатора деякої групи доступу

2. (ip access-group );

3. Створення списків доступу що дозволяють або перешкоджають передачі даних між вузлами мережі (access-list ).

Теоретичні відомості

ACL ( Access Control List ) - це набір текстових виразів , які щось дозволяють , або щось забороняють . Зазвичай ACL дозволяє або забороняє IP -пакети , але крім усього іншого він може «заглядати» всередину IP -пакета , переглядати тип пакета , TCP і UDP порти. Також ACL існує для різних мережевих протоколів (IP, IPX , AppleTalk і так далі). В основному застосування списків доступу розглядають з точки зору пакетної фільтрації , тобто пакетна фільтрація необхідна в тих ситуаціях , коли у вас стоїть обладнання на межі Інтернет і приватної мережі та потрібно відфільтрувати непотрібний трафік.

Тоді ACL розміщуєтся на вхідному напрямку і блокує надлишкові види трафіку .

Функціонал ACL полягає у класифікації трафіку , потрібно його перевірити спочатку , а потім щось з ним зробити в залежності від того , куди ACL застосовується. ACL застосовується скрізь, наприклад :

На інтерфейсі : пакетна фільтрація

На лінії Telnet : обмеження доступу до маршрутизатора

VPN : який трафік потрібно шифрувати

QoS : який трафік обробляти приоритетнее

NAT : які адреси транслювати

Стосовно до пакетної фільтрації , ACL розміщуються на інтерфейсах , самі вони створюються незалежно , а вже потім вони прикручуються до інтерфейсу . Після застосування його до інтерфейсу маршрутизатор починає переглядати трафік. Маршрутизатор розглядає трафік як вхідний і вихідний . Відповідно ACL розміщуються на вхідному або на вихідному напрямку.

Сам же ACL являє собою набір текстових виразів, в яких написано permit (дозволити) або deny (заборонити), і обробка ведеться строго в тому порядку в якому задані вирази. Відповідно коли пакет потрапляє на інтерфейс він перевіряється на відповідність першій умові, якщо перша умова збігається з пакетом, подальша його обробка припиняється. Пакет або пройде далі, або знищиться.

ACL поділяються на два типи:

• Стандартні (Standard): можуть перевіряти тільки адреси джерел

• Розширені (Extended): можуть перевіряти адреси джерел, а також адреси одержувачів, у разі IP ще тип протоколу і TCP / UDP порти

Позначаються списки доступу або номерами, або символьними іменами. ACL також використовуються для різних мережевих протоколів. Нумеровані списки доступу позначаються наступним чином:

Стандартні: від 1 до 99

Розширені: від 100 до 199

При створенні ACL кожен запис списку доступу позначається порядковим номером, за замовчуванням в рамках десяти (10, 20, 30 і т.д). Завдяки чому, можна видалити певний запис і на її місце вставити іншу, але ця можливість з'явилася в Cisco IOS 12.3, до 12.3 доводилося ACL видаляти, а потім створити заново повністю. Не можна розмістити понад 1 списку доступу на інтерфейс, на протокол, на напрям.

ACL не діє на трафік, згенерований самим маршрутизатором.

Для фільтрації адрес в ACL використовується WildCard-маска. Це інвертована маска. Тобто, для маски 255.255.255.0 WildCard маска 0.0.0.255.

Налаштування

Самі ACL створюються окремо , тобто це просто якийсь список , який створюється в глобальній конфігурації , потім він присвоюється інтерфейсу і тільки тоді він починає працювати. Необхідно пам'ятати деякі моменти , для того , щоб правильно налаштувати списки доступу:

• Обробка ведеться строго в тому порядку , в якому записані умови

• Якщо пакет збігся з умовою , далі він не обробляється

• Наприкінці кожного списку доступу стоїть неявний deny any ( заборонити всі )

• Розширені ACL потрібно розміщувати як можна ближче до джерела , стандартні ж якомога ближче до одержувача

• Не можна розмістити понад 1 списку доступу на інтерфейс , на протокол , на напрям

• ACL не діє на трафік , згенерований самим маршрутизатором

• Для фільтрації адрес використовується WildCard маска

Стандартний список доступу

Router (config) # access-list <номер списку від 1 до 99> {permit | deny | remark} {address | any | host} [source-wildcard] [log]

permit: дозволити

deny: заборонити

remark: коментар про список доступу

address: забороняємо або дозволяємо мережу

any: дозволяє або забороняє всі

host: дозволяє або забороняє хосту

source-wildcard: WildCard маска мережі

log: включаємо легування пакетів, що проходять через даний запис ACL

Розширений список доступу

Router ( config ) # access - list < номер списку від 100 до 199 > { permit | deny | remark } protocol source [ source - wildcard ] [ operator operand ] [ port < порт або назва протоколу > [ established ]

protocol source : який протокол будемо дозволяти або закривати ( ICMP , TCP , UDP , IP , OSPF і т.д)

deny : заборонити

operator :

A.B.C.D - адреса одержувача

any - будь-який кінцевий хост

eq - тільки пакети на цьому порті

gt - тільки пакети з великим номером порту

host - єдиний кінцевий хост

lt - тільки пакети з нижчим номером порту

neq - тільки пакети не на даному номері порту

range - діапазон портів

port : номер порту ( TCP або UDP ) , можна вказати ім'я

established : дозволяємо проходження TCP - сегментів , які є частиною вже створеної TCP – сесії

Застосування до інтерфейсу

Router (config-if) # ip access-group <номер списку або ім'я ACL> {in | out}

in: вхідний напрям

out: вихідний напрям

Схема мережі:

11. Комутатори S1, S2, S3 (3 шт.);

12. Маршрутизатори R1, R2, R3 (3 шт.);

13. Персональні комп'ютери PC1, PC2, PC3 (3 шт.);

14. Схема мережі представлена на рис.6.5.

Рис.4.5. Схема мережі

Завдання:

1. Задати всім вузлам мережі IP адреси;

2. Налаштуватиастроїти динамічну або статичну маршрутизацію між всіма вузлами мережі;

3. Виявити можливість пересилки даних по протоколу IP між будь-якими об'єктами мережі;

4. Розробити і застосувати на маршрутизаторах списки доступу:

   1. Що забороняють маршрутизаторам R1 і R2 обмінюватися ICMP-пакетами по послідовному мережному інтерфейсу;

   2. Що забороняють комп'ютерам РС3 і РС1 обмінюватися ICMP-пакетами по інтерфейсу Ethernet.

5. Переключившись в «Режим симуляції» розглянути і пояснити процес обміну даними по протоколу RIP (у разі динамічної маршрутизації) між пристроями (виконавши команду Ping з одного комп'ютера на іншій). Детальне пояснення включити в звіт.

Структура звіту по роботі:

1. Завдання;

2. Топологічна схема мережі:

   1. Вказати на схемі найменування вузлів мережі, адреси і типи мережних| інтерфейсів.

3. Хід роботи:

   1. Даний розділ складається з послідовного опису значущих виконуваних кроків (з вказуванням їх суті) і копій екранів (має бути показна набрана команда і реакція системи, якщо вона є).

4. Конфігурації устаткування

   1. Привести значущі фрагменти конфігураційних файлів (startup—config) для комутаторів і маршрутизаторів Cisco, пояснити значення команд.

5. Висновки|