Questa sezione vedremo le liste di X.
Mi piacerebbe mostrarti come implementare la sicurezza utilizzando gli elenchi di controllo di
accesso, che sono uno dei blocchi di base per l'implementazione della sicurezza nella rete Cisco.
In questi giorni ci sono diversi modi per implementare la sicurezza, ma gli elenchi di accesso sono una delle più fondamentali e
molte delle nuove tecnologie si basano su di essi.
Quindi è importante avere una buona comprensione di come funzionano le liste di accesso e come implementarle.
Quindi possiamo esaminare lo scopo delle liste di controllo degli accessi.
Mi piacerebbe mostrarti come sono vincolati alle interfacce ora collegate in entrata o in uscita.
Mi piacerebbe mostrarti varie cime degli elenchi di accesso inclusi elenchi di X-numerati numerati denominati elenchi
X-ists e stare in un elenco di controllo di accesso esteso o ACLC.
Mi piacerebbe spiegare cosa fa una moschea jolly e come abbinare i singoli host a tutti
gli host modificando la moschea jolly.
Mi piacerebbe anche spiegare l'ACLC riflessivo e dinamico basato sul tunne ora prima di entrare in una discussione sugli elenchi
di controllo degli accessi o ACLC.
Esaminiamo alcune delle informazioni in arrivo.
Un corso CND non sarà in grado di implementare ACL senza una buona conoscenza dei numeri di porta dei
protocolli e di altre opzioni disponibili nello stack di protocollo TZP AGI e in altri protocolli.
Se li hai in esecuzione sulla tua rete, vedi un esempio se disponiamo di un PC che si connette
a un server e il PC si connette utilizzando l'HDD e il traffico viene inviato attraverso il router di rete, si vedrà un pacchetto
con un indirizzo di origine di 10 1 1 1 con il numero di porta di origine maggiore di 1023.
Quindi in questo esempio diciamo 1024.
In questo caso, poiché si utilizza UDP, il numero di porta noto 80 sarà quindi l'indirizzo IP di destinazione
da 10 1 a 1 e il numero di porta di destinazione è 80.
Ora con la direzione delle liste di accesso è di grande importanza su questa interfaccia.
Il ratto sta ricevendo il pacchetto in ingresso ma su questa interfaccia il pacchetto viene trasmesso in uscita.
È importante che tu guardi dal punto di vista dei router.
Il pacchetto arriva in entrata e viene inviato in uscita.
Quindi, in altre parole, se si configura un elenco di accessi in uscita sul lato apparente, non avrebbe
alcun effetto sul traffico dal PC al server perché un elenco di accessi in uscita controlla solo il traffico in uscita dal
punto di vista buddhista.
Pertanto, se si configurava un elenco di controllo di accesso in ingresso sul lato sinistro, i pacchetti dovevano passare tale
elenco di controllo di uscita prima di essere autorizzati e ancora una volta se lo si configura
e l'elenco di controllo di accesso in uscita su questa interfaccia il traffico ST deve passare l'elenco di accesso sarà consentito dalla
lista di accesso.
Altrimenti il traffico verrà eliminato.
Quando il servizio dal traffico in risposta l'indirizzo di origine sarà ora 10 uno a uno con una
porta di origine di 80 e l'indirizzo IP di destinazione sarà 10 1 1 1 e il numero di porta di destinazione sarà 1024.
In questo caso entrerebbe in vigore un elenco di accesso in uscita su questa interfaccia o il traffico dal server
al PC perché il traffico usciva dal punto di vista del router.
Quindi una lista di accesso configurata in uscita e questa interfaccia avrebbero risolto questo traffico e questo traffico avrebbe
dovuto passare i criteri impostati nella lista di accesso prima di essere autorizzato dallo stesso token che un elenco di accesso in entrata
su questa interfaccia avrebbe influenzato il traffico e il traffico sarebbe devono passare i criteri impostati in tale
elenco di controllo di accesso.
Sì, un altro esempio.
Questo MacBook sta trasmettendo telnet per uno tramite il router.
Quindi, per motivi di discussione, supponiamo che il MacBook scelga la porta 50000.
L'indirizzo di origine di tutti i frame dal MacBook all'interruttore sarebbe uno a uno con la porta
di origine di 50000.
La destinazione sarebbe 10 1 a 1 con il numero di porta di destinazione di 23.
Quindi, ancora una volta dal punto di vista dello scrittore sta ricevendo i frame su questa interfaccia con
una sorta di addomesticamento su una fonte per cinquantamila e sta trasmettendo quei pacchetti da questa interfaccia
con gli stessi pacchetti di dettagli inviati in risposta dallo switch di una fonte indirizzo di 10 1 a 1 porta
di origine di 23 e un indirizzo IP di destinazione di 10 1 1 1 la porta di destinazione di 50000.
Ancora una volta è importante capire i tuoi protocolli e i numeri di porta, perché senza quella comprensione non
sarai in grado di configurare grida.
Osservare sempre la direzione del traffico per determinare se un eccesso deve essere vietato
in entrata o in uscita su interfacce specifiche.
Esistono alcuni esempi di alcuni noti protocolli TCAP con i relativi numeri di porta.
Se DP utilizza la porta 21 per il controllo e 24 dati telnet utilizza la shell malata 4:23 utilizza la porta 22.
Vuoto.
Utilizza la porta 25 HDD La porta Pease 80 pop 3 utilizza il codice 1 1 0 La porta SS Elissa 443.
Quindi questi sono esempi di alcuni numeri di porta TZP noti che dovresti ricordare per il mondo reale.
Basta google my sui numeri di porta per vedere un elenco dei numeri assegnati a Internet di 30 numeri di porta.
La mia proprietà è responsabile dei numeri dei quarti e determina l'assegnazione.
Ad esempio, digita i numeri di porta
e il tuo primo colpo sarà un elenco di numeri di tribunale e spiegheranno molto bene.
Informazioni sui membri noti registrati numeri di porta e numeri di porta dinamici e privati.
Quindi, ad esempio, se fai una ricerca per telnet vedrai quale numero di porta utilizza telnet.
Ha una bella lista se non sei sicuro di quali numeri di porta sono usati da protocolli specifici.
Ecco un esempio di protocolli che utilizzano UDP e vivono in numeri di porta.
Quindi, come esempio, DHP usa la porta numero 67 e 68 della porta Pease di TFT 69 e come porta vuota usa 161.
Ancora una volta su quella stessa lista sull'Ayana si potrebbe fare una ricerca di protocolli specifici.
E c'è un esempio di TFT, il DNS è un caso speciale.
È solo il numero di parte 53 che utilizza sia TCAP che UDP.
Quindi sia per scopi di studio che per il mondo reale.
Ricorda che i protocolli come telnet usano la porta 23 e dicono che gli utenti TZP.
Mentre per esempio DFT usa la porta 69 usando UDP.
Ora perché dovresti usare ACLC fino a questo punto nel corso che stiamo abilitando l'accesso tra diverse
parti della rete.
Le interfacce di chiusura che non passano alla scrittura impostando protocolli di routing come il tuo OSPF
europeo consentiranno l'accesso attraverso la rete.
Tuttavia potresti non voler che tutti siano in grado di accedere ad ogni parte della rete.
Questo è particolarmente vero quando ti connetti a Internet.
Non è necessario che tutti in Internet siano in grado di accedere ai server aziendali o alla
rete aziendale.
Quindi gli elenchi di accesso sono una delle prime linee di difesa per arrestare o negare il traffico da una parte della rete
a un'altra in modo che possano essere utilizzate per consentire o negare il traffico che si muove attraverso un router.
Quindi, ad esempio, potremmo consentire a questo MacBook di accedere a Internet.
Potremmo negare il traffico da Internet al nostro ambiente aziendale.
Quindi permetteremo o negheremo il traffico su base per interfaccia e quindi negheremo il traffico che si muove attraverso il
router.
È possibile inserire una password su una wireline BT su un router per forzare un livello di sicurezza.
Tuttavia si potrebbe dire che solo le sottoreti amministrative Wayne dal momento che questa macchina su una
sottorete amministrativa è autorizzata ad accedere a Viti mentre le linee mentre questa macchina non è autorizzata ad accedere alle
linee BT y.
In questo caso, la lista di accesso non consentirà nemmeno il telnet o il traffico S-sh verso le linee perché sul router.
Quindi, piuttosto che avere una sola linea di difesa, una password implementa due linee di difesa che consentono solo
alcune sottoreti alle linee BT e una password sulla linea BT Why ogni volta che si tratta di
sicurezza.
Devi pensare al rischio che dipende dal rischio che applichi più sicurezza.
In questo caso, si potrebbe ritenere che gli utenti che accedono alle apparecchiature di rete siano ad alto rischio.
Pertanto, si consente solo a determinate subnet di connettersi alle linee BT y o al router o allo switch.
Quindi ancora una volta con il nostro ACLC tutti i pacchetti potrebbero essere trasmessi a tutte le parti della rete.
E questo potrebbe non essere desiderabile.
Quindi potresti voler negare alcune parti della rete dall'accesso ad altre parti della rete.
L'idea qui è che stai iniziando a implementare la sicurezza bloccando le parti della rete
in modo che non possano essere accessibili da tutti gli individui all'interno e all'esterno della tua organizzazione.
ACLC Come ho non solo usato per consentire o negare il traffico, può anche essere usato per la classificazione
quando si imposta una VPN di base o una rete privata virtuale tra due siti.
Devi dire al router quale traffico deve essere crittografato.
Potresti non volere tutto il traffico crittografato dalla tua LAN locale perché potresti voler
inviare il traffico dalla tua LAN locale a un server Internet non crittografato, ma il traffico dalla tua LAN locale alla
terra sull'altro lato del tunnel VPN deve essere crittografato crei un elenco di accesso che determina quale
traffico è interessante.
In altre parole, deve essere crittografato quale traffico non è interessante.
In altre parole, non è necessario che l'ACL crittografato possa essere utilizzato anche nella ridistribuzione dove si stanno
intraprendendo rotte da un protocollo di routing e ridistribuiti o pompati in un altro protocollo di routing.
Quindi potresti non volere che OSPF impari a conoscere tutti i tuoi percorsi GOP e quindi puoi utilizzare gli elenchi di
controllo di accesso per limitare o consentire solo che alcune rotte vengano ridistribuite. Gli elenchi di accesso vengono anche utilizzati con la traduzione degli
indirizzi di rete o di rete.
L'elenco degli assi determinerà quali pacchetti devono essere tradotti e quali pacchetti non devono
essere tradotti.
Quindi dovresti creare una lista di accesso che permetta solo alcune sottoreti
che consentirebbero la traduzione dei pacchetti negati dall'elenco degli accessi, che non vengono negati o abbandonati, ma non vengono
tradotti usando la conversione degli indirizzi di rete o rete quando si usa ACLC per consentire o negare pacchetti che si muovono attraverso
un router.
Ci sono due passaggi principali.
Quindi, in primo luogo nella modalità di configurazione globale, si crea l'elenco di accesso utilizzando l'elenco di accesso comune e
quindi si riempiono varie opzioni.
Pertanto, il comando elenco di accessi viene utilizzato per creare l'elenco di accesso e successivamente si applica l'elenco di accesso
in ingresso e in uscita su un'interfaccia utilizzando il gruppo di accesso.
Andiamo, forza.
Quindi, l'accesso al comando less crea il comando del gruppo di accesso di esorcist che lega l'elenco di accesso.
E quando lo si lega, si specifica in entrata o in uscita.
In altre parole, determina la direzione in cui la lista di accesso è vincolata.
È importante notare che un ACL non ha effetto fino a quando non viene applicato da qualche parte.
Pertanto, se si dispone di elenchi di accesso nella configurazione di esecuzione di un router e non sono stati
applicati, non vi sono effetti.
Esistono due passaggi per creare l'elenco di accesso e quindi applicarlo in qualche modo, ad esempio in entrata su.
Ethernet sul serio Zehra.
Quindi, ancora una volta, Imraan ACLC viene applicato in ingresso su un'interfaccia.
L'ICAO verrà elaborato prima che il traffico venga instradato.
In altre parole, se ICL nega il traffico e il traffico viene scartato, Raptor non dovrà elaborare i
pacchetti durante la ricerca nella sua tabella di scrittura e determinare l'interfaccia in uscita.
I Packer verranno scartati o eliminati prima che il motore di routing debba elaborarli.
Se sono autorizzati, verranno elaborati per la guida sul router determinerà l'interfaccia in uscita.
Se scartato non vi è alcun sovraccarico aggiuntivo sul router perché il router non ha bisogno di fare
una ricerca nella tabella di scrittura per determinare l'interfaccia in uscita elegante.
Se il traffico è consentito, il processo di scrittura eseguirà la ricerca della tabella
di scrittura per determinare l'interfaccia in uscita senza Dan ACLC.
La decomposizione viene eseguita per prima, quindi il pacchetto viene indirizzato a un'interfaccia in uscita e, in
base all'ACL, i pacchetti saranno consentiti.
In altre parole, trasmesso o negato, è quindi più efficiente associare un elenco di accesso in ingresso
su un'interfaccia, poiché non è necessario elaborare pacchetti rifiutati o rifiutati.
Mentre il processo di scrittura sul router.
Se viene applicato un ACL in uscita, l'asta deve ancora elaborare tutti i pacchetti che possono quindi essere
negati o rilasciati sull'interfaccia in uscita.
Quindi, se possibile, collegare ACLC in ingresso su interfacce anziché in uscita per un'elaborazione più efficiente.
Un elenco di accesso è un elenco sequenziale di istruzioni in cui i pacchetti vengono valutati dalla prima
istruzione all'ultimo.
In altre parole, l'elaborazione dall'alto verso il basso.
Se un pacchetto è abbinato da una singola dichiarazione nella lista di accesso, quel pacchetto sarà
permesso o negato a seconda che la parola chiave Admit o deny sia usata in quella specifica istruzione.
Tutte le restanti righe della lista di accesso vengono ignorate in modo tale che il pacchetto specifico.
Quindi, in altre parole, non appena c'è una corrispondenza su una riga, tutte le righe rimanenti vengono
ignorate se il traffico non corrisponde a quella riga specifica o l'istruzione nella riga successiva nella ACL è selezionata.
Quindi questa lista è una lista sequenziale di affermazioni e Rodda controllerà dalla prima alla fine fino
a quando non avrà una corrispondenza.
Non appena c'è una corrispondenza tutte le righe successive vengono ignorate.
Se non vi è alcuna corrispondenza per alcuna istruzione nell'ACL, il pacchetto viene eliminato a causa di ciò che
viene chiamato il denit. Implicito alla fine di ogni elenco di accesso.
Esiste un diniego implicito che significa che se non sei esplicitamente autorizzato da un elenco di accessi a
cui viene implicitamente negato tutto il traffico non consentito da qualche parte in tale elenco di accesso con l'uso di una dichiarazione
di permesso verrà eliminato.
Ciò significa quindi che devi avere almeno una dichiarazione di permesso nella lista di pratica.
Altrimenti potresti anche scollegare il cavo.
Ora ci sono due tipi principali di liste di accesso su cui ci concentriamo in questo corso.
Il primo è un ACL standard e il secondo è un ACLC standard ACL esteso che verifica solo gli indirizzi IP
di origine.
Non controllano i singoli numeri di porta o singoli protocolli che consentono o negano l'intera suite di
protocolli basata sull'indirizzo IP di origine o sulla rete di origine.
Nient'altro nell'indirizzo IP sorgente o nella rete sorgente può essere specificato un controllo ACLC esteso
sia sull'indirizzo di origine che di destinazione e consente di consentire o negare protocolli e applicazioni specifici.
In altre parole, è possibile consentire o negare in base a IP TZP UDP ICMP e molti altri protocolli e si può anche consentire o negare
in base ai numeri di porta di origine e ai numeri di porta di destinazione gli elenchi di accesso estesi sono
molto più granulari e tendono ad essere utilizzati in Il mondo reale.
Ma per completezza abbiamo bisogno di coprire gli elenchi di accesso sia stentati che estesi in questo corso.