Bagian ini kita akan melihat daftar X.
Saya ingin menunjukkan kepada Anda bagaimana menerapkan keamanan menggunakan daftar Kontrol Akses
yang merupakan salah satu blok bangunan paling mendasar untuk menerapkan keamanan di jaringan Cisco.
Saat ini ada beberapa cara untuk mengimplementasikan keamanan tetapi daftar akses adalah salah satu yang paling mendasar
dan banyak teknologi baru yang didasarkan padanya.
Jadi, penting bagi Anda untuk memiliki pemahaman yang baik tentang cara kerja daftar akses dan cara mengimplementasikannya.
Jadi kita bisa melihat tujuan daftar kontrol akses.
Saya ingin menunjukkan kepada Anda bagaimana mereka terikat ke antarmuka sekarang baik terikat masuk atau keluar.
Saya ingin menunjukkan kepada Anda berbagai puncak daftar akses termasuk daftar X-ists bernomor bernama daftar
X-ists serta berada dalam daftar kontrol akses yang diperluas atau ACLC.
Saya ingin menjelaskan apa yang dilakukan masjid kartu liar dan bagaimana Anda dapat mencocokkan host individu men-subnet
semua host dengan mengubah masjid wildcard
Saya juga ingin menjelaskan ACLC refleksif dan dinamis berbasis tunne Sekarang sebelum masuk ke diskusi tentang daftar
kontrol akses atau ACLC.
Mari kita tinjau beberapa informasi yang masuk.
Saya CND satu saja Anda tidak akan dapat menerapkan ACL tanpa pemahaman yang baik tentang nomor port
protokol dan opsi lain yang tersedia di tumpukan protokol TZP AGI dan protokol lainnya.
Jika Anda menjalankannya di jaringan Anda, lihat sebagai contoh jika kami memiliki PC yang
terhubung ke server dan PC terhubung menggunakan HDD dan lalu lintas dikirim melalui router jaringan, seseorang akan melihat paket
dengan alamat sumber 10 1 1 1 dengan nomor port sumber lebih besar dari 1023.
Jadi, dalam contoh ini katakanlah 1024.
Dalam hal ini karena Anda menggunakan UDP, itu akan menjadi nomor port yang terkenal 80 sehingga alamat IP
tujuan adalah 10 1 hingga 1 dan nomor port tujuan adalah 80.
Sekarang dengan daftar akses, arah sangat penting pada antarmuka ini.
Tikus menerima paket masuk tetapi pada antarmuka ini paket sedang dikirim keluar.
Penting bagi Anda untuk melihatnya dari sudut pandang router.
Paket tiba masuk dan dikirim keluar.
Jadi dengan kata lain jika Anda mengkonfigurasi daftar akses keluar pada wajah tampaknya itu tidak akan
berpengaruh pada lalu lintas dari PC ke server karena keluar pada daftar akses hanya memeriksa lalu lintas keluar dari
sudut pandang Buddha.
Jadi, jika Anda mengkonfigurasi Daftar Kontrol Akses masuk pada paket sisi kiri harus melewati daftar
kontrol keluar itu sebelum diizinkan dan sekali lagi jika Anda mengonfigurasinya dan keluar
daftar Kontrol Akses keluar pada lalu lintas antarmuka ini, ST harus melewati daftar akses akan diizinkan oleh
daftar akses.
Kalau tidak, lalu lintas akan dijatuhkan.
Ketika layanan sejak lalu lintas dalam balasan, alamat sumber sekarang akan 10 ke satu
dengan port sumber 80 dan alamat IP tujuan adalah 10 1 1 1 dan nomor port tujuan adalah 1024.
Dalam hal ini daftar akses keluar pada antarmuka ini akan mulai berlaku atau lalu lintas dari server
ke PC karena lalu lintas keluar dari sudut pandang router.
Jadi daftar akses yang dikonfigurasi keluar dan antarmuka ini akan memperbaiki lalu lintas ini dan lalu lintas
ini harus melewati kriteria yang ditetapkan dalam daftar akses sebelum diizinkan oleh token yang sama daftar akses masuk pada antarmuka
ini akan mempengaruhi lalu lintas dan lalu lintas akan harus melewati kriteria yang ditetapkan dalam
Daftar Kontrol Akses tersebut.
Ya, contoh lain.
MacBook ini melakukan telnetting untuk beralih satu melalui router.
Jadi demi argumen, mari kita asumsikan MacBook memilih port 50000.
Sumber alamat semua frame dari MacBook ke switch akan menjadi satu lawan satu dengan
port sumber 50.000.
Tujuannya adalah 10 1 hingga 1 dengan nomor port tujuan 23.
Jadi sekali lagi dari sudut pandang penulis, ia menerima bingkai pada antarmuka ini dengan semacam
sumber jinak pada satu sumber untuk lima puluh ribu dan mengirimkan paket-paket itu
keluar dari antarmuka ini dengan paket rincian yang sama yang dikirim sebagai balasan dari beralihnya sumber. alamat
10 1 hingga 1 port sumber 23 dan alamat IP tujuan 10 1 1 1 port tujuan 50.000.
Sekali lagi penting bahwa Anda memahami protokol dan nomor port Anda karena tanpa pemahaman itu Anda
tidak akan dapat mengkonfigurasi yel.
Selalu perhatikan arah lalu lintas untuk menentukan apakah kelebihan harus dilarang
masuk atau keluar pada antarmuka tertentu.
Ada beberapa contoh beberapa protokol TCAP yang terkenal dengan nomor port yang relevan.
Jika DP menggunakan port 21 untuk kontrol dan 24 data telnet menggunakan 4:23 shell sickish menggunakan port 22.
Kosong.
Menggunakan port 25 HDD Port Pease 80 pop 3 menggunakan kode 1 1 0 Port SS Elissa 443.
Jadi itu adalah contoh dari beberapa nomor port TZP terkenal yang harus Anda ingat untuk dunia nyata.
Hanya google nomor port saya di untuk melihat daftar nomor 30 nomor port yang ditugaskan Internet.
Saya sendiri bertanggung jawab atas angka-angka kuartal dan menentukan alokasi.
Sebagai contoh cukup ketik nomor port dan
hit pertama Anda akan menjadi daftar nomor pengadilan dan mereka menjelaskan dengan cukup baik.
Tentang anggota terkenal nomor port terdaftar dan nomor port dinamis dan pribadi.
Jadi sebagai contoh jika Anda hanya mencari telnet Anda akan melihat nomor port mana yang digunakan telnet.
Ia memiliki daftar yang bagus jika Anda tidak yakin nomor port mana yang digunakan oleh protokol tertentu.
Berikut adalah contoh protokol yang menggunakan UDP dan mereka tinggal di nomor Port.
Jadi sebagai contoh DHP menggunakan port nomor 67 dan 68 port TFT Pease 69 dan sebagai kosong menggunakan port 161.
Sekali lagi pada daftar yang sama di Ayana Anda dapat melakukan pencarian untuk protokol tertentu.
Dan ada contoh TFT DNS adalah kasus khusus.
Itu hanya bagian nomor 53 yang menggunakan TCAP dan UDP.
Jadi baik untuk tujuan belajar dan dunia nyata.
Ingat bahwa protokol seperti telnet menggunakan port 23 dan memberi tahu pengguna TZP.
Sedangkan misalnya DFT menggunakan port 69 menggunakan UDP.
Sekarang mengapa Anda menggunakan ACLC hingga saat ini dalam kursus kami telah memungkinkan akses antara
berbagai bagian jaringan.
Tidak ada antarmuka terputus yang menilai penulisan pengaturan protokol routing seperti OSPF Eropa Anda akan
memungkinkan akses ke seluruh jaringan.
Namun Anda mungkin tidak ingin semua orang dapat mengakses setiap bagian dari jaringan.
Ini terutama benar ketika Anda terhubung ke Internet.
Anda tidak perlu ingin semua orang di Internet dapat mengakses server perusahaan atau jaringan
perusahaan Anda.
Jadi daftar akses adalah salah satu garis pertahanan pertama untuk menghentikan atau menolak lalu lintas dari satu bagian jaringan ke
yang lain sehingga mereka dapat digunakan untuk mengizinkan atau menolak lalu lintas yang bergerak melalui router.
Jadi sebagai contoh, kami mungkin mengizinkan MacBook ini untuk mendapatkan akses ke Internet.
Agar kami dapat menolak lalu lintas dari internet ke lingkungan perusahaan kami.
Jadi kami akan mengizinkan atau menolak lalu lintas pada basis per antarmuka dan dengan demikian menolak lalu lintas yang bergerak
melalui router.
Anda bisa memasukkan kata sandi pada wireline BT pada router untuk memaksa tingkat keamanan.
Namun Anda dapat mengatakan bahwa hanya subnet administratif Wayne karena mesin ini pada
subnet administratif diizinkan untuk mengakses jalur Viti sementara mesin ini tidak diizinkan untuk mengakses jalur
BT y.
Dalam hal ini daftar akses bahkan tidak akan mengizinkan lalu lintas telnet atau S-sh ke baris why pada router.
Jadi, alih-alih hanya memiliki satu baris kata sandi pertahanan, Anda menerapkan dua garis pertahanan hanya mengizinkan subnet
tertentu ke jalur kawat BT serta menempatkan kata sandi pada garis Mengapa BT setiap kali datang ke
keamanan.
Anda harus memikirkan risiko yang tergantung pada risiko Anda akan menerapkan lebih banyak keamanan.
Dalam hal ini Anda mungkin menganggap risiko pengguna mengakses peralatan jaringan menjadi tinggi.
Jadi Anda hanya mengizinkan subnet tertentu untuk terhubung ke jalur BT y atau router atau switch.
Jadi sekali lagi dengan ACLC kami semua paket dapat dikirim ke semua bagian jaringan.
Dan itu mungkin tidak diinginkan.
Jadi, Anda mungkin ingin menolak bagian tertentu dari jaringan untuk mendapatkan akses ke bagian lain dari jaringan.
Seluruh ide di sini adalah bahwa Anda mulai menerapkan keamanan mengunci bagian-bagian
jaringan sehingga tidak dapat diakses oleh semua individu di dalam dan di luar organisasi Anda.
ACLC Bagaimana saya tidak hanya digunakan untuk mengizinkan atau menolak lalu lintas tetapi juga dapat digunakan untuk
klasifikasi ketika mengatur VPN dasar atau jaringan pribadi virtual antara dua situs.
Anda perlu memberi tahu router tentang lalu lintas mana yang perlu dienkripsi.
Anda mungkin tidak ingin semua lalu lintas dienkripsi dari LAN lokal Anda karena Anda mungkin
ingin lalu lintas dari LAN lokal Anda ke server Internet untuk dikirim tidak terenkripsi tetapi lalu lintas dari LAN lokal Anda ke
tanah di sisi lain dari terowongan VPN perlu dienkripsi sehingga Anda membuat daftar akses menentukan lalu lintas
apa yang menarik.
Dengan kata lain perlu dienkripsi lalu lintas apa yang tidak menarik.
Dengan kata lain tidak perlu dienkripsi ACL juga dapat digunakan dalam distribusi ulang di mana Anda
mengambil rute dari satu protokol routing dan mendistribusikannya atau memompanya ke dalam protokol routing lain.
Jadi Anda mungkin tidak ingin OSPF mempelajari semua rute GOP Anda dan oleh karena itu Anda
dapat menggunakan daftar Kontrol Akses untuk membatasi atau hanya mengizinkan rute tertentu untuk didistribusikan daftar akses juga digunakan dengan
terjemahan alamat jaringan atau internet.
Daftar Axis akan menentukan paket mana yang perlu diterjemahkan dan paket mana yang tidak
perlu diterjemahkan.
Jadi, Anda akan membuat daftar akses yang hanya mengizinkan subnet tertentu
yang memungkinkan paket-paket itu untuk diterjemahkan paket-paket yang ditolak oleh daftar akses tidak ditolak akses atau
dijatuhkan tetapi mereka tidak diterjemahkan menggunakan terjemahan alamat jaringan atau internet saat menggunakan ACLC untuk mengizinkan atau menolak paket bergerak
melalui router.
Ada dua langkah utama.
Jadi pertama-tama dalam mode konfigurasi global Anda membuat daftar akses menggunakan daftar akses umum dan
kemudian mengisi berbagai opsi.
Jadi perintah daftar akses digunakan untuk membuat daftar akses dan kemudian Anda menerapkan daftar akses baik
inbound dan outbound pada antarmuka dengan menggunakan Access Group.
Ayo.
Jadi akses less command menciptakan perintah grup akses pengusir setan mengikat daftar akses.
Dan ketika Anda mengikatnya Anda menentukan inbound atau outbound.
Dengan kata lain menentukan arah bahwa daftar akses terikat.
Penting untuk dicatat bahwa ACL tidak berlaku sampai diterapkan di suatu tempat.
Jadi, jika Anda memiliki daftar akses dalam menjalankan konfigurasi router dan belum diterapkan,
tidak ada efeknya.
Ada dua langkah Anda membuat daftar akses dan kemudian Anda menerapkannya beberapa cara misalnya masuk.
Ethernet dengan serius Zehra.
Jadi sekali lagi ACLC Imraan diterapkan inbound pada antarmuka.
ICAO akan diproses sebelum lalu lintas akan dialihkan.
Dengan kata lain jika ICL menolak lalu lintas dan lalu lintas dibuang, Raptor tidak akan
harus memproses paket sambil melihat dalam tabel penulisan dan menentukan antarmuka keluar.
Packer akan dibuang atau dibuang sebelum mesin routing perlu memprosesnya.
Jika mereka diizinkan mereka akan diproses untuk naik di router akan menentukan antarmuka keluar.
Jika dibuang tidak ada overhead tambahan pada router karena router tidak perlu melakukan
pencarian tabel penulisan untuk menentukan antarmuka keluar yang anggun.
Jika lalu lintas diizinkan, proses penulisan akan melakukan pencarian tabel penulisan
untuk menentukan antarmuka keluar tanpa Dan ACLC.
Pembusukan dilakukan pertama dan kemudian paket diarahkan ke antarmuka keluar dan kemudian berdasarkan pada
ACL paket akan diizinkan.
Dengan kata lain yang dikirimkan atau ditolak, oleh karena itu lebih efisien untuk mengikat daftar akses masuk
pada antarmuka karena paket yang dijatuhkan atau ditolak tidak perlu diproses.
Sedangkan proses penulisan pada router.
Jika ACL diterapkan outbound, rod masih harus memproses semua paket yang kemudian dapat ditolak atau
dijatuhkan pada antarmuka outbound.
Jadi jika mungkin mengikat ACLC inbound pada antarmuka daripada outbound untuk pemrosesan yang lebih efisien.
Daftar akses adalah daftar pernyataan berurutan tempat paket dievaluasi dari pernyataan pertama
hingga terakhir.
Dengan kata lain ada pemrosesan dari atas ke bawah.
Jika sebuah paket dicocokkan dengan pernyataan individual dalam daftar akses, paket itu akan diizinkan
atau ditolak tergantung pada apakah Akui atau tolak kata kunci yang digunakan dalam pernyataan tertentu.
Semua baris yang tersisa dari daftar akses diabaikan sehingga paket tertentu.
Jadi dengan kata lain segera setelah ada kecocokan pada suatu garis, semua saluran yang tersisa
diabaikan jika lalu lintas tidak cocok dengan baris atau pernyataan tertentu di baris berikutnya di ACL diperiksa.
Jadi daftar ini adalah daftar pernyataan berurutan dan Rodda akan memeriksa dari baris pertama
hingga terakhir hingga mendapat kecocokan.
Segera setelah ada kecocokan, semua baris berikutnya diabaikan.
Jika tidak ada kecocokan untuk pernyataan apa pun di ACL, paket dijatuhkan karena apa yang
disebut deni implisit di akhir setiap akhir daftar akses.
Ada penolakan implisit yang berarti jika Anda tidak secara eksplisit diizinkan oleh daftar akses, Anda
secara implisit menolak semua lalu lintas yang tidak diizinkan di suatu tempat dalam daftar akses dengan penggunaan pernyataan
izin akan dihapus.
Karena itu, berarti Anda harus memiliki setidaknya satu pernyataan izin dalam daftar praktik.
Kalau tidak, Anda mungkin mencabut kabelnya.
Sekarang ada dua jenis daftar akses utama yang kami fokuskan dalam kursus ini.
Yang pertama adalah ACL standar dan yang kedua adalah ACLC standar ACL diperpanjang hanya memeriksa alamat
IP Sumber.
Mereka tidak memeriksa nomor port individual atau protokol individual yang mengizinkan atau menolak seluruh
paket protokol berdasarkan alamat IP sumber atau jaringan sumber.
Tidak ada hal lain dalam alamat IP sumber atau jaringan sumber yang dapat ditentukan pemeriksaan ACLC
diperpanjang pada sumber dan alamat tujuan dan memungkinkan Anda untuk mengizinkan atau menolak protokol dan aplikasi tertentu.
Dengan kata lain Anda bisa mengizinkan atau menolak berdasarkan IP TZP UDP ICMP dan banyak protokol lainnya dan Anda juga
bisa mengizinkan atau menolak berdasarkan nomor port sumber dan nomor port tujuan daftar akses yang diperpanjang apakah
mereka lebih banyak granular dan cenderung digunakan dunia nyata.
Tetapi untuk kelengkapan kita perlu membahas daftar akses yang diberi stent dan yang diperluas dalam kursus ini.