Сетевые технологии. ACL-списки

ACL-список — это ряд команд IOS,
определяющих, пересылает ли маршрутизатор
пакеты или сбрасывает их, исходя из информации в заголовке пакета.
Одна из наиболее используемых функций операционной системы Cisco IOS.
Выполняют следующие задачи:
Ограничение сетевого трафика для повышения производительности сети.
Управление потоком трафика.
Обеспечивают базовый уровень безопасности в отношении доступа к сети
Осуществляют фильтрацию трафика на основе типа трафика.
По умолчанию ACL-списки не сконфигурированы на маршрутизаторе, поэтому маршрутизатор не фильтрует трафик
ACL-списки

ACL – списки в действии

ACL – списки в действии

ACL – список с позиции модели OSI
Состоит из ACE записей (Access Control Entry)

В конце – неявный запрет
Состав ACL

Идентификатор правила

Подстановочная маска (инверсная, шаблонная)
0 и 1 могут быть в ЛЮБОМ месте

0 и 1 могут быть в ЛЮБОМ месте

Примеры применения шаблонной маски
каждый бит в IPv4-адресе 192.168.1.1 должен точно совпадать
IP-адрес 192.168.1.1 1100000.10101000.00000001.00000001
Wildcard Mask 0.0.0.0 0000000.00000000.00000000.00000000
Результат 192.168.1.1 1100000.10101000.00000001.00000001
Игнорировать все биты
IP-адрес 192.168.1.1 1100000.10101000.00000001.00000001
WM 255.255.255.255 11111111.11111111.11111111.11111111
Результат 0.0.0.0 0000000.00000000.00000000.00000000

Примеры применения шаблонной маски
любой узел в сети 192.168.1.0/24 будет совпадать
IP-адрес 192.168.1.1 1100000.10101000.00000001.00000001
WMask 0.0.0.255 0000000.00000000.00000000.11111111
Результат 192.168.1.1 1100000.10101000.00000001.00000000
диапазон адресов от 192.168.16.0 до 192.168.31.0
IP-адрес 192.168.16.0 1100000.10101000.00010000.00000000
WMask 0.0. 15.255 0000000.00000000.00001111.11111111
Результат от 192.168.16.0 1100000.10101000.00010000.00000000
до 192.168.31.255 1100000.10101000.00011111.11111111

Примеры применения шаблонной маски
все узлы из нечетных подсетей основной сети 192.168.0.0
IP-адрес 192.168.1.0 1100000.10101000.00000001.00000000
WMask 0.0.254.255 0000000.00000000.11111110.11111111
Результат 192.168.1.0 1100000.10101000.00000001.00000000

Расчет шаблонной маски
маску для соответствия сетям 192.168.10.0 и 192.168.11.0
IP-адрес 192.168.10.0 11000000.10101000.00001010.00000000
Маска 255.255.254. 0 11111111.11111111.11111110.00000000
000.000.001.255 00000000.00000000.00000001.11111111
255.255.255.255 11111111. 11111111.11111111.11111111
255.255.254.000 11111111. 11111111.11111110.00000000
IP-адрес 192.168.11.0 11000000.10101000.00001011.00000000
R1(config)# access-list 10 permit 192.168.10.0
R1(config)# access-list 10 permit 192.168.11.0
R1(config)# access-list 10 permit 192.168.10.0 0.0.1.255

Расчет шаблонной маски
Разрешить сети в диапазоне между 192.168.16.0 и 192.168.31.0
R1(config)# access-list 10 permit 192.168.16.0
R1(config)# access-list 10 permit 192.168.17.0
R1(config)# access-list 10 permit 192.168.18.0
R1(config)# access-list 10 permit 192.168.19.0
R1(config)# access-list 10 permit 192.168.20.0
R1(config)# access-list 10 permit 192.168.21.0
R1(config)# access-list 10 permit 192.168.22.0
R1(config)# access-list 10 permit 192.168.23.0
R1(config)# access-list 10 permit 192.168.24.0
R1(config)# access-list 10 permit 192.168.25.0
R1(config)# access-list 10 permit 192.168.26.0
R1(config)# access-list 10 permit 192.168.27.0
R1(config)# access-list 10 permit 192.168.28.0
R1(config)# access-list 10 permit 192.168.29.0
R1(config)# access-list 10 permit 192.168.30.0
R1(config)# access-list 10 permit 192.168.31.0
R1(config)# access-list 10 permit 192.168.16.0 0.0.15.255

Ключевые слова шаблонной маски
host
any

Тест

Классификация и идентификация

Нумерованный: номер присваивается в зависимости от того, какой протокол будет фильтроваться
Cisco 1 -99 и 1300-1999 стандартный ACL IPv4
Cisco 100 -199 и 2000-2699 расширенный ACL IPv4
Именованный: имя присваивается для определения ACL
Буквенно-цифровые символы
Рекомендуются заглавные символы
Без пробелов и знаков препинания
Нумерованные и именованные ACL-списки

Базовые (Стандартные) и расширенные ACL-списки
Только по IP источника
IP источника
IP назначения
Порт источника
Порт назначения
Тип (номер) протокола (IP, ICMP, UDP,…)

Механизм сопоставления ACL

Порядок и результат взаимодействия ACL

Порядок записей списка
access-list 2 deny 192.168.10.10 0.0.0.0
access-list 2 permit 192.168.10.0 0.0.0.255
access-list 2 deny 192.168.0.0 0.0.255.255
access-list 2 permit 192.0.0.0 0.255.255.255
Возможно изменение порядка?
192.0.0.0
192.168.0.0
192.168.10.0
192.168.10.10

Входящий и исходящий ACL-списки

Входящий и исходящий трафик

Рекомендации по применению: три правила

Рекомендации по созданию

Размещение стандартного ACL

Размещение расширенного ACL

И размещение и тип списка доступа может зависеть от :
Сферы контроля сетевого администратора
Пропускной способности задействованных сетей
Размещение списков доступа

Пример базового ACL

Пример расширенного ACL-1
rule permit ip any any
rule permit ip any any

Пример расширенного ACL-2

Применение нумерованного списка доступа Cisco

Применение именованного списка доступа Cisco

Команда access-class Cisco

Проверка настройки безопасности vty Cisco

Пример по 8 лабораторной работе
R1(config)# ip access-list standard ADMIN-MGT
R1(config-std-nacl)# permit host 192.168.0.3
R1(config-std-nacl)# exit
Примените список доступа на каналах vty.
R1(config)# line vty 0 15
R1(config-line)# access-class ADMIN-MGT in
R1(config-line)# exit
R1# show ip access-lists
Standard IP access list ADMIN-MGT
10 permit 192.168.0.3 (2 matches)

Последняя запись списка
Последняя запись
deny