Ip access-list extended номер_списка
Структура правила расширенного списка доступа несколько отличается от структуры стандартного списка. Она имеет следующий вид:
<Инструкция> <протокол> <идентификатор 1> <идентификатор 2> [<порт>]
Здесь <инструкция> - это одно из двух ключевых слов: deny (запретить) или permit (разрешить);
<протокол> может принимать одно из следующих значений:
- IP – правило применяется для всех IP-пакетов;
- ICMP – правило применяется только для пакетов с заголовком ICMP;
- TCP – правило применяется только для пакетов с заголовком TCP;
- UDP – правило применяется только для пакетов с заголовком UDP.
<идентификатор 1> может принимать следующие значения:
- адрес сети (например 192.168.2.0 0.0.0.255) – где вместо маски подсети указывается шаблон маски подсети;
- адрес хоста (host 192.168.2.1);
- любой IP адрес (any).
<идентификатор 2> может принимать следующие значения:
- адрес сети (например 192.168.2.0 0.0.0.255) – где вместо маски подсети указывается шаблон маски подсети;
- адрес хоста (host 192.168.2.1);
- любой IP адрес (any).
<порт> - необязательное поле, которое может содержать порт, на который разрешается или запрещается передавать данный трафик.
Рассмотрим примеры команд в расширенных списках пользователя:
deny tcp any any eq 80
Команда запрещает передавать трафик с любого узла на любой на порт 80.
deny ip host 10.0.0.15 host 12.0.0.5
Команда запрещает передавать трафик с узла 10.0.0.5 на узел 12.0.0.5.
deny udp 110.0.0.0. 0.255.255.255 host 52.0.0.1 eq 67
Команда запрещает udp-трафик из сети 110.0.0.0 (вместо маски задается инверсия) на узел 52.0.0.1.
deny ip 110.0.0.0. 0.255.255.255 145.15.0.0 0.0.255.255
Команда запрещает передавать трафик из сети 110.0.0.0 в сеть 145.15.0.0 (вместо масок задается инверсия)
deny icmp host 10.0.0.100 192.168.0.0 0.0.0.255 echo
Команда запрещает применение протокола ICMP с типом echo с хоста 10.0.0.100 в подсеть 192.168.0.0.
permit icmp any any echo-reply
Разрешить эхо-ответ протокола ICMP с любого хоста любому другому хосту.
Permit ip any any
Разрешить IP-трафик с любого узла на любой.
Поскольку (как и в стандартном списке) если пакет не попал ни под одно из правил, он игнорируется, то целесообразно последним правилом ставить вышеописанное правило permit.
После создания списка доступа, его необходимо применить к определенному интерфейсу. Существует две возможности это выполнить:
- связать список доступа со входом интерфейса;
- связать список доступа с выходом интерфейса.
В первом случае проверка трафика на соответствие правилам будет осуществляться в момент попадания данного трафика с указанного интерфейса на маршрутизатор (рис. 1).
Рис. 1 – Входящий трафик
В этом случае привязка осуществляется (в режиме конфигурации интерфейса) следующим образом:
interface <наименование интерфейса>
ip access-group <номер списка> in
Рассмотрим, например, сеть, представленную на рис.2. Пусть всем узлам сети 10.0.4.0 назначены одни и те же правила управления трафиком в списке доступа с номером 11. Тогда целесообразно при входе на маршрутизатор сразу проверить, выполняются ли эти правила. В этом случае список доступа привязывается ко входному порту интерфейса с IP-адресом 10.0.4.1маршрутизатора.
Рис. 2 – Пример сети
Пусть интерфейс, соединяющий маршрутизатор с сетью – это FastEthernet 0/0. Тогда команды привязки списка к интерфейсу будут следующими:
Interface fastEthernet 0/0
ip access-group 11 in
Второй вариант привязки осуществляется на выход интерфейса маршрутизатора.
Рис. 3 – Выходной интерфейс
Пусть, например, в сети, пример которой приведен на рис. 2, требуется запретить доступ в сеть 10.0.1.0. Тогда целесообразно это правило записать на выход интерфейса, соединяющего сеть 10.0.1.0 с маршрутизатором. Если данное праивло записано под номером 12, то привязка его к интерфейсу будет выглядеть следующим образом:
Interface fastEthernet 0/1
ip access-group 12 out
Содержание пояснительной записки
Пояснительная записка должна содержать следующие пункты.
Введение. Здесь необходимо раскрыть понятие политики доступа, обосновать необходимость ее использования. Кроме того, во введении требуется кратко описать решаемую задачу.
Постановка задачи и ее особенности.
Здесь приводится постановка, кратко описываются этапы решения задачи.
Предварительная настройка сети
На данном этапе всем узлам назначаются IP-адреса, настраиваются необходимые прикладные службы, демонстрируется работоспособность всех элементов сети, приведенных в задании.
Настройка политики доступа
На данном этапе анализируется специфика задания, исходя из чего вырабатываются и обосновываются правила доступа.
Результаты моделирования
Данный пункт должен свидетельствовать о правильности сформированных правил ACL.
Заключение. Здесь обосновывается степень полноты решения поставленной задачи.
Список литературы