dato:)აქეთ მივაბი შენი თემა.
მოკლედ ამ მექანიზმის იდეა მარტივია, მაგრამ გამოყენება საკმაოდ ბევრი აქვს. მთავარი დანიშნულება ACL-ის არის, მონიშნოს საინტერესო ტრაფიკი გამგზავნი და/ან ადრესატი IP მისამართის და პორტის კრიტერიუმებით. შემდეგ უკვე რას გადასცემს ტრაფიკს, ეგ ჩვენზე დამოკიდებული, ACL-ით უბრალოდ ვირჩევთ ტრაფიკის თიპს. კლასიკური გამოყენებაა, ტრაფიკის ფილტრაცია.
მაგალითად მინდა როუტერის მენეჯმენტი დავკეტო ყველასთვის გარდა ჩემი სახლის (1.1.1.1) და სამსახურის (2.2.2.2) IP მისამართებისა. ვადგენ ასეთ extended (იმისათვის რომ პორტების მითითებაც შემეძლოს) ACL-ს:
ip access-list extended BLOCK_MANAGEMENT
pemit ip host 1.1.1.1 any (host რადგან ერთი IP მისამართია მხოლოდ მითითებული, any - ნებისმიერ dst/port-ზე)
permit ip host 2.2.2.2 any
deny tcp any any eq 22 (შევზღუდოთ სხვა ყველა დანარჩენი SSH-თან წვდომაზე)
deny tcp any any eq 23 (შევზღუდოთ სხვა ყველა დანარჩენი telnet-თან წვდომაზე)
permit ip any any (დაუშვას სხვა ტრაფიკი ნებისმიერი source / destination-ის შემთხვევაში, რომელიც არ მოგვაკითხავს tcp 22 და tcp 23 პორტებზე)
ACL ყოველთვის სრულდება მიმდევრულად, როგორც კი დაიმატჩება, ეგრევე პირველ მატჩში გაწერილი ინსტრუქცია სრულდება. შესაბამისად ვიღაცამ source IP მისამართით 3.3.3.3 რომ სცადოს როუტერზე დატელნეტება deny tcp any any eq 23-ში დაიმატჩება და router დადროფავს მაგ პაკეტს. აი მაგის წინ თუ permit ip any any გაუწერე, მაშინ გაატარებს, ამიტომ კორექტულ თანმიმდევრობას კრიტიკული მნიშვნელობა აქვს
ACL შექმნის მერე, ჯერ არსებული ACL უმოქმედოა, სანამ რამეს არ მიაბამ. უნდა მიაბა ეგ ACL სადმე და თან მიმართულებაც უნდა მიუთითო შემავალ ტრაფიკზე იმუშაოს თუ გამავალზე (ერთი და იგივე ACL ორივე მიმართულებაზეც შეგიძლია მიაბა). კორექტული მიმართულების მითითებაც ასევე კრიტიკულია
ამ კონკრეტული ACL-ის მიბმა ორ ვარიანტში შეიძლება. მიაბა WAN ინტერფეისზე, სადაც გარე IP მისამართი გაქვს გაწერილი in მიმართულებით (შემომავალი ტრაფიკისთვის) და მეორე უფრო მოხერხებული ვარიანტია მიაბა vty line-ებს, აქაც in მიმართულებით, რომლებიც უშუალოდ მენეჯმენტისთვის გამოიყენება.
#conf t
(config)#line vty 0 15
(config-line)#access-class BLOCK_MANAGEMENT in
(config-line)#end
#wr ან copy run start როგორც ახლა ასწავლიან
Cisco Networks - Part III, ყველაფერი ცისკოს ადმინისტრირებასთან დაკავშირებით
