1.Nhắc lại về lý thuyết
Có 2 loại access-list
- Loại thứ nhất: Standard IP Access-list chỉ lọc dữ liệu dựa vào địa chỉ IP nguồn. Range của loại này là từ 1à 99. Nên được áp dụng với cổng gần đích nhất.
- Loại thứ hai: Extended IP Access-list lọc dữ liệu dựa vào
o Địa chỉ IP nguồn
o Địa chỉ IP đích
o Giao thức (TCP, UDP)
o Số cổng (HTTP, Telnet…)
o Và các thông số khác như Windcard mask
Range của loại này là từ 100 à199. Nên được áp dụng với cổng gần nguồn nhất.
Hai bước để cấu hình Access-list
- Bước 1: Tạo access-list trong chế độ cấu hình config.
- Bước 2: Áp dụng access-list cho từng cổng tuỳ theo yêu cầu ở chế độ cấu hình (config-if)
Lưu ý:
- Mặc định của tất cả Access-list là deny all, vì vậy trong tất cả các access-list tối thiểu phải có 1 lệnh permit. Nếu trong access-list có cả permit và deny thì nên để các dòng lệnh permit bên trên.
- Về hướng của access-list (In/Out) khi áp dụng vào cổng có thể hiểu đơn giản là: In là từ host, Out là tới host hay In vào trong Router, còn Out là ra khỏi Router.
- Đối với IN router kiểm tra gói tin trước khi nó được đưa tới bảng xử lý. Đối vơi OUT, router kiểm tra gói tin sau khi nó vào bảng xử lý.
WM = 255.255.255.255 – Subnet mask (Áp dụng cho cả Classful và Classless addreess)
- 0.0.0.0 255.255.255.255 = any.
- Ip address 0.0.0.0 = host ip address (chỉ định từng host một )
2.Cấu hình Standard Access-list (Ví dụ)
Router(config)#access-list 1 deny 172.16.0.0 0.0.255.255
Router(config)#access-list 1 permit any
Router(config)#interface fastethernet 0/0
Router(config-in)#ip access-group in
3.Cấu hình Extended Access-list (Ví dụ)
Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.1 eq telnet
Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.2 eq ftp
Router(config)#access-list 101 permit any any
Router(config)#interface fastethernet 0/0
Router(config-int)#ip access-group out
4.Cấu hình named ACL thay cho các số hiệu
Router(config)#ip access-list extended server-access (tên của access-list)
Router(config-ext-nacl)#permit tcp any host 192.168.1.3 eq telnet
Router(config)#interface fastethernet 0/0
Router(config-int)#ip access-group server-access out
5.Permit hoặc Deny Telnet sử dụng Standard Acl (Ví dụ)
Router(config)#access-list 2 permit 172.16.0.0 0.0.255.255
Router(config)#access-list 2 deny any
Router(config)#line vty 0 4
Router(config-line)#password cisco
Router(config-line)#login
Router(config-line)#ip access-class 2 in
6.Xoá và kiểm tra Access-list
Muốn xoá thì ta dùng lệnh sau:
Router(config)# no ip access-list số hiệu
Kiểm tra Acl ta dùng các lệnh sau:
- show access-list
- show running-config
- show ip interface
Cấu hình Access-list (ACLs) trên thiết bị Cisco.
1. Tổng quan về Access-list:
Access-list (ACLs) là một danh sách các câu lệnh được áp đặt vào các cổng (interface) của router (switch). Danh sách này chỉ ra cho router (switch) biết loại packet nào được chấp nhận (allow) và loại packet nào bị hủy bỏ (deny). Sự chấp nhận và huỷ bỏ này có thể dựa vào địa chỉ nguồn, địa chỉ đích hoặc chỉ số port.
2. Có 2 loại access-list:
2.1 Standard IP Access-list (Standard ACLs)
Loại này chỉ lọc(filter) dữ liệu dựa vào địa chỉ IP nguồn. Range của loại này là từ 1->99. Khuyến nghị nên được áp dụng với cổng gần đích nhất (đặt gần đích của traffic)-Destination.
Có 2 bước để tạo ACLs IP Standard:
B1: Định nghĩa danh sách ACLs để đặt vào interface.
(config)#access-list [#number] [permit | deny] [wildcard mask] [log]
Hoặc là :
(config)#access-list [#number] [permit | deny] [host | any]
B2: Đặt danh sách(ACLs) vào interface trên router(switch) mà ta muốn chặn gói tin ngay tại đó.
(config)#interface [interface-number]
(config-if)#ip access-group [#number] [in | out]
Ví dụ:
(config)#access-list 1 deny 172.16.0.0 0.0.255.255
(config)#access-list 1 permit any
(config)#interface fastethernet 0/0
(config-if)#ip access-group 1 in
2.2 Extended IP Access-list (Extended ACLs)
Loai này lọc(filter) dữ liệu dựa vào: Địa chỉ IP nguồn, Địa chỉ IP đích, Giao thức (TCP, UDP), Số cổng (HTTP, Telnet…), Và các thông số khác như Windcard mask. Range của loại này là từ 100 ->199. Khuyến nghị nên được áp dụng với cổng gần nguồn nhất (Source).
Có 2 bước để cấu hình Extended IP Access-list:
B1: Tạo access-list trong chế độ cấu hình config.
router(config)#access-list [#number] [permit | deny] [protocol] [wildcard mask] [source port] [destination address] [wildcard mask] [destination port] [log]
B2: Áp dụng access-list cho từng cổng tuỳ theo yêu cầu ở chế độ cấu hình (config-if)
(config)#interface [interface-number]
(config-if)#ip access-group [#number] [in | out]
Lưu ý:
- Mặc định của tất cả Access-list là deny all, vì vậy trong tất cả các access-list tối thiểu phải có 1 lệnh permit. Nếu trong access-list có cả permit và deny thì nên để các dòng lệnh permit bên trên.
- Về hướng của access-list (In/Out) khi áp dụng vào cổng có thể hiểu đơn giản là: In là từ host, Out là tới host hay In vào trong Router, còn Out là ra khỏi Router.
- Đối với IN router kiểm tra gói tin trước khi nó được đưa tới bảng xử lý. Đối vơi OUT, router kiểm tra gói tin sau khi nó vào bảng xử lý.
- Wildcard mask được tính bằng công thức:
Wildcard Mask = 255.255.255.255 – Subnet mask (Áp dụng cho cả Classful và Classless addreess)
- Địa chỉ 0.0.0.0 255.255.255.255 = any.
- Ip_address 0.0.0.0 = host ip_address (chỉ định từng host một )
Ví dụ:
(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.1 eq telnet
(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.2 eq ftp
(config)#access-list 101 permit any any
(config)#interface fastethernet 0/0
(config-if)#ip access-group 101 out
3. Cấu hình tên access-list (named ACLs) thay cho các số hiệu.
(config)#ip access-list extended tgm-access (tên của access-list)
(config-ext-nacl)#permit tcp any host 192.168.1.3 eq telnet
(config)#interface fastethernet 0/0
(config-if)#ip access-group tgm-access out
4. Permit hoặc Deny Telnet sử dụng Standard Acl
(config)#access-list 2 permit 172.16.0.0 0.0.255.255
(config)#access-list 2 deny any
(config)#line vty 0 4
(config-line)#password cisco
(config-line)#login
(config-line)#ip access-class 2 in
5. Kiểm tra và xoá Access-list (ACLs)
- Hiển thị tất cả ACLs đang sử dụng
(config)#show running-config
- Xem ACLs hoạt động trên interface nào đó
(config)#show interface [#number]
- Xem việc đặt và hướng đi của ip ACLs
(config)#show ip interfaces [#number]
- Xem những câu lệnh ACLs
(config)#show access-list [#number]
- Hiển thị tất cả ip ACLs
show ip access-list
- Hiển thị ip ACL 101
show ip access-list 101
- Xóa bộ đếm (to clear the counters use)
(config)#show access-list [#number]
(config)#clear access-list counter [#number]
- Xóa Access list
(config)#no ip access-list [standard-extended][#number]
(config)#interface [interface-number]
(config-if)#no access-list [#number] [permit deny] [wildcard mask]
6. Một số port thông dụng:
——————————————————————–
Port Number ——-TCP port names —-UDP port names
——————————————————————–
6 ———————-TCP————————————–
21———————-FTP————————————–
23 ———————TELNET——————————–
25 ———————SMTP————————————
53———————————————-DNS————-
69 ———————————————TFTP————-
80 ———————WWW———————————–
161 ——————————————–SNMP———–
520 ——————————————–RIP————
Cấu hình Access-list (ACLs) trên thiết bị Cisco.
1. Tổng quan về Access-list:
Access-list (ACLs) là một danh sách các câu lệnh được áp đặt vào các cổng (interface) của router (switch). Danh sách này chỉ ra cho router (switch) biết loại packet nào được chấp nhận (allow) và loại packet nào bị hủy bỏ (deny). Sự chấp nhận và huỷ bỏ này có thể dựa vào địa chỉ nguồn, địa chỉ đích hoặc chỉ số port.
2. Có 2 loại access-list:
2.1 Standard IP Access-list (Standard ACLs)
Loại này chỉ lọc(filter) dữ liệu dựa vào địa chỉ IP nguồn. Range của loại này là từ 1->99. Khuyến nghị nên được áp dụng với cổng gần đích nhất (đặt gần đích của traffic)-Destination.
Có 2 bước để tạo ACLs IP Standard:
B1: Định nghĩa danh sách ACLs để đặt vào interface.
(config)#access-list [#number] [permit | deny] [wildcard mask] [log]
Hoặc là :
(config)#access-list [#number] [permit | deny] [host | any]
B2: Đặt danh sách(ACLs) vào interface trên router(switch) mà ta muốn chặn gói tin ngay tại đó.
(config)#interface [interface-number]
(config-if)#ip access-group [#number] [in | out]
Ví dụ:
(config)#access-list 1 deny 172.16.0.0 0.0.255.255
(config)#access-list 1 permit any
(config)#interface fastethernet 0/0
(config-if)#ip access-group 1 in
2.2 Extended IP Access-list (Extended ACLs)
Loai này lọc(filter) dữ liệu dựa vào: Địa chỉ IP nguồn, Địa chỉ IP đích, Giao thức (TCP, UDP), Số cổng (HTTP, Telnet…), Và các thông số khác như Windcard mask. Range của loại này là từ 100 ->199. Khuyến nghị nên được áp dụng với cổng gần nguồn nhất (Source).
Có 2 bước để cấu hình Extended IP Access-list:
B1: Tạo access-list trong chế độ cấu hình config.
router(config)#access-list [#number] [permit | deny] [protocol] [wildcard mask] [source port] [destination address] [wildcard mask] [destination port] [log]
B2: Áp dụng access-list cho từng cổng tuỳ theo yêu cầu ở chế độ cấu hình (config-if)
(config)#interface [interface-number]
(config-if)#ip access-group [#number] [in | out]
Lưu ý:
- Mặc định của tất cả Access-list là deny all, vì vậy trong tất cả các access-list tối thiểu phải có 1 lệnh permit. Nếu trong access-list có cả permit và deny thì nên để các dòng lệnh permit bên trên.
- Về hướng của access-list (In/Out) khi áp dụng vào cổng có thể hiểu đơn giản là: In là từ host, Out là tới host hay In vào trong Router, còn Out là ra khỏi Router.
- Đối với IN router kiểm tra gói tin trước khi nó được đưa tới bảng xử lý. Đối vơi OUT, router kiểm tra gói tin sau khi nó vào bảng xử lý.
- Wildcard mask được tính bằng công thức:
Wildcard Mask = 255.255.255.255 – Subnet mask (Áp dụng cho cả Classful và Classless addreess)
- Địa chỉ 0.0.0.0 255.255.255.255 = any.
- Ip_address 0.0.0.0 = host ip_address (chỉ định từng host một )
Ví dụ:
(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.1 eq telnet
(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.2 eq ftp
(config)#access-list 101 permit any any
(config)#interface fastethernet 0/0
(config-if)#ip access-group 101 out
3. Cấu hình tên access-list (named ACLs) thay cho các số hiệu.
(config)#ip access-list extended tgm-access (tên của access-list)
(config-ext-nacl)#permit tcp any host 192.168.1.3 eq telnet
(config)#interface fastethernet 0/0
(config-if)#ip access-group tgm-access out
4. Permit hoặc Deny Telnet sử dụng Standard Acl
(config)#access-list 2 permit 172.16.0.0 0.0.255.255
(config)#access-list 2 deny any
(config)#line vty 0 4
(config-line)#password cisco
(config-line)#login
(config-line)#ip access-class 2 in
5. Kiểm tra và xoá Access-list (ACLs)
- Hiển thị tất cả ACLs đang sử dụng
(config)#show running-config
- Xem ACLs hoạt động trên interface nào đó
(config)#show interface [#number]
- Xem việc đặt và hướng đi của ip ACLs
(config)#show ip interfaces [#number]
- Xem những câu lệnh ACLs
(config)#show access-list [#number]
- Hiển thị tất cả ip ACLs
show ip access-list
- Hiển thị ip ACL 101
show ip access-list 101
- Xóa bộ đếm (to clear the counters use)
(config)#show access-list [#number]
(config)#clear access-list counter [#number]
- Xóa Access list
(config)#no ip access-list [standard-extended][#number]
(config)#interface [interface-number]
(config-if)#no access-list [#number] [permit deny] [wildcard mask]
6. Một số port thông dụng:
——————————————————————–
Port Number ——-TCP port names —-UDP port names
——————————————————————–
6 ———————-TCP————————————–
21———————-FTP————————————–
23 ———————TELNET——————————–
25 ———————SMTP————————————
53———————————————-DNS————-
69 ———————————————TFTP————-
80 ———————WWW———————————–
161 ——————————————–SNMP———–
520 ——————————————–RIP————
Đăng nhận xét