Руководство по настройке доступа к сети через IP ACL

Создайте список управления доступом. 1. Примените список ACL к интерфейсу. 2. IP ACL – последовательный набор состояний разрешения и отказа, применяемый к IP-пакету. Маршрутизатор проверяет пакеты на соответствие условиям ACL по одному. Первое соответствие определяет, что программное обеспечение Cisco IOS® сделает с пакетом: примет или отвергнет его. Поскольку программное обеспечение Cisco IOS останавливает проверку по условиям после первого совпадения, то порядок условий становится критически важен. Если совпадений нет, маршрутизатор отвергает пакет из-за неявного условия deny all. Вот примеры того, как IP ACL могут быть настроены в программном обеспечении Cisco IOS:

стандартные ACL расширенные ACL динамические ACL (замок и ключ) именованные IP-списки ACL рефлексивные ACL синхронизируемые списки ACL, использующие временные диапазоны откомментированные записи IP ACL контекстно-ориентированные ACL прокси-аутентификации Turbo ACL распределенные синхронизируемые ACL В этом документе описываются некоторые общеупотребительные стандартные и расширенные списки ACL. Подробнее о различных типах ACL, которые поддерживает программное обеспечение Cisco IOS, и об их настройке и редактировании см. в разделе Настройка списков доступов IP. Формат синтаксиса команды стандартного ACL выглядит следующим образом:

access-list access-list-number {permit|deny} {host|source source-wildcard|any} . Стандартные ACL ( только для зарегистрированных клиентов ) управляют трафиком, сравнивая адрес источника IP-пакетов с адресами, заданными в списке. Расширенные ACL ( только для зарегистрированных клиентов ) управляют трафиком, сравнивая адреса источника и назначения IP-пакетов с адресами, заданными в списке. Работу расширенных ACL можно сделать более детализированной: можно использовать фильтрацию трафика по следующим критериям: протокол номера порта значение DSCP значение приоритета состояние бита SYN

Стр. 2

Форматы синтаксиса команд расширенных ACL следующие:

IP access-list access-list-number [dynamic dynamic-name [timeout minutes]] {deny | permit} protocol source source-wildcard destination destination-wildcard [precedence precedence] [tos tos] [log | log-input] [time-range time-range-name][fragments] Internet Control Message Protocol (ICMP) access-list access-list-number [dynamic dynamic-name [timeout minutes]] {deny | permit} icmp source source-wildcard destination destination-wildcard [icmp-type [icmp-code] | [icmp-message]] [precedenceprecedence] [tos tos] [log | log-input] [time-range time-range-name][fragments] Transport Control Protocol (TCP) access-list access-list-number [dynamic dynamic-name [timeout minutes]] {deny | permit} tcp source source-wildcard [operator [port]] destination destination-wildcard [operator [port]] [established] [precedence precedence] [tos tos] [log | log-input] [time-range time-range-name][fragments] User Datagram Protocol (UDP) access-list access-list-number [dynamic dynamic-name [timeout minutes]] {deny | permit} udp source source-wildcard [operator [port]] destination destination-wildcard [operator [port]] [precedence precedence] [tos tos] [log | log-input] [time-range time-range-name][fragments] Справочник по командам ACL см.

в разделе Команды IP-служб. Предварительные условия Требования Прежде чем использовать эту конфигурацию, убедитесь, что выполняются следующие требования: Имеются основные сведения об IP-адресации Подробнее см. в разделе IP-адресация и создание подсетей для новых пользователей. Используемые компоненты Данный документ не ограничен отдельными версиями программного и аппаратного обеспечения.

Стр. 3

Условные обозначения Дополнительные сведения об условных обозначениях см. в разделе Технические советы Cisco. Условные обозначения. Примеры конфигурации Следующие примеры конфигурации используют наиболее распространенные ACL для IP. Примечание: Для поиска дополнительной информации о командах, упоминаемых в данном документе, используйте средство Command Lookup Tool ( только для зарегистрированных клиентов ). Разрешение доступа выбранного узла к сети На данном рисунке показывается, как выбранный узел получает разрешение на доступ в сеть. Весь трафик из узла B, направленный к сети NetA, принимается, в то время как весь другой трафик из NetB, направленный к NetA, отвергается.

Выходные данные в таблице R1 показывают, как сеть выдает узлу право на доступ. Выходные данные таковы: Эта конфигурация допускает только узел с IP-адресом 192.168.10.1 через интерфейс Ethernet 0 на R1. У этого узла есть доступ к IP-службам сети NetA. Никакие другие узлы в NetB не имеют доступа к NetA. В ACL не настроены никакие инструкции запрета. По умолчанию в конце каждого ACL есть неявное условие deny all (запретить все). Все, что не разрешается явно, отвергается. R1 hostname R1 ! interface ethernet0 ip access-group 1 in ! access-list 1 permit host 192.168.10.1 Примечание: ACL фильтрует IP-пакеты от NetB к NetA – кроме пакетов, исходящих из NetB.

Пакеты, направляющиеся в узел B из NetA, разрешаются. Примечание: другой способ настроить то же самое правило – ACL access-list 1 permit 192.168.10.1 0.0.0.0 . Запрет доступа выбранного узла к сети На данном рисунке показано, как весь трафик из узла B, направленный к NetA, отвергается, в то время как весь другой трафик из NetB, направленный к NetA, разрешается.

Стр. 4

Следующая конфигурация запрещает получение всех пакетов от узла 192.168.10.1/32 через Ethernet 0 или R1 и разрешает получение всех остальных пакетов. Для того чтобы явно разрешить все остальные пакеты, следует использовать команду access list 1 permit any , поскольку в каждом ACL есть неявное условие deny all. R1 hostname R1 ! interface ethernet0 ip access-group 1 in ! access-list 1 deny host 192.168.10.1 access-list 1 permit any Примечание: Порядок условий критичен для функционирования списка ACL.

Если расположить записи в обратном порядке, как показано в данной команде, первая строка соответствует адресу любого источника пакета, поэтому ACL не сможет блокировать доступ узла 192.168.10.1/32 к NetA. access-list 1 permit any access-list 1 deny host 192.168.10.1 Разрешение доступа к диапазону смежных IP-адресов На данном рисунке показано, как всем узлам NetB с сетевым адресом 192.168.10.0/24 разрешается доступ к сети 192.168.200.0/24 в NetA. Эта конфигурация позволяет IP-пакетам, IP-заголовки которых содержат адрес источника в сети 192.168.10.0/24 и адрес назначения в сети 192.168.200.0/24, получить доступ к NetA.

Неявное условие deny all в конце ACL запрещает прохождение всего трафика, не удовлетворяющего разрешающим условиям, через входящий Ethernet 0 на R1. R1 hostname R1 ! interface ethernet0 ip access-group 101 in ! access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.200.0 0.0.0.255

Стр. 5