W tej sekcji przyjrzymy się listom X.
Chciałbym pokazać, jak zaimplementować zabezpieczenia za pomocą list kontroli dostępu,
które są jednym z podstawowych elementów do implementacji zabezpieczeń w sieci Cisco.
Obecnie istnieje wiele sposobów wdrażania zabezpieczeń, ale listy dostępu są jednym z najbardziej fundamentalnych i
wiele nowych technologii bazuje na nich.
Dlatego ważne jest, aby dobrze zrozumieć, jak działają listy dostępu i jak je wdrożyć.
Możemy więc przyjrzeć się celom list kontroli dostępu.
Chciałbym wam pokazać, jak są związani z interfejsami teraz albo związanymi przychodzącymi, albo wychodzącymi.
Chciałbym pokazać różne wierzchołki list dostępu, w tym listy z numerami X-ists o nazwach
X-ists, jak również stać na rozszerzonych listach kontroli dostępu lub ACLC.
Chciałbym wyjaśnić, co robi mecz z dziką kartą i jak dopasować poszczególne hosty do wszystkich
hostów przez zmianę meczetu wieloznacznego.
Chciałbym również wyjaśnić odruchowo-dynamiczny ACLC oparty na tunne, zanim przejdę do dyskusji na temat list
kontroli dostępu lub ACLC.
Przyjrzyjmy się niektórym dostępnym informacjom.
I CND jeden kurs nie będzie w stanie zaimplementować ACL bez dobrego zrozumienia protokołów numerów
portów i innych opcji dostępnych w stosie protokołów TZP AGI i innych protokołach.
Jeśli masz je uruchomione w sieci, zobacz jako przykład, jeśli mamy komputer łączący
się z serwerem, a komputer łączy się za pomocą HDD, a ruch jest przesyłany przez router sieciowy, zobaczysz
pakiet o adresie źródłowym 10 1 1 1 ze źródłowym numerem portu większym niż 1023.
W tym przykładzie powiedzmy 1024.
W tym przypadku, ponieważ korzystasz z protokołu UDP, będzie to dobrze znany numer portu 80, więc docelowy adres
IP to 10 1 do 1, a docelowy numer portu to 80.
Teraz z listą dostępu kierunek ma ogromne znaczenie dla tego interfejsu.
Szczur odbiera pakiet przychodzący, ale na tym interfejsie pakiet jest wysyłany wychodzący.
Ważne jest, aby spojrzeć na to z punktu widzenia ruterów.
Pakiet przychodzi przychodzący i wysyłany jest wychodzący.
Innymi słowy, jeśli skonfigurujesz wychodzącą listę dostępu na pozorne, nie wpłynie to na
ruch z komputera na serwer, ponieważ lista dostępu na zewnątrz sprawdza ruch wychodzący tylko z buddyjskiego
punktu widzenia.
Więc jeśli skonfigurowałeś Listę Kontroli Dostępu przychodzącego po lewej stronie, pakiety musiałyby przejść tę listę
kontrolną wyjścia zanim będą dozwolone i po raz kolejny, jeśli skonfigurujesz ją i
wychodzącą listę Kontroli Dostępu na tym interfejsie, ruch ST będzie musiał przejść listę dostępu będzie dozwolone przez
listę dostępu.
W przeciwnym razie ruch zostanie przerwany.
Gdy usługa, ponieważ ruch w odpowiedzi adres źródłowy będzie teraz 10 jeden do
jeden z portem źródłowym 80, docelowy adres IP będzie 10 1 1 1, a docelowy numer portu będzie 1024.
W takim przypadku wejdzie w życie lista dostępu wychodzącego w tym interfejsie lub ruch z serwera
do komputera, ponieważ ruch wychodzący z punktu widzenia routera.
Tak więc lista dostępu skonfigurowana dla ruchu wychodzącego i ten interfejs naprawiłby ten ruch, a
ten ruch musiałby przejść kryteria ustawione na liście dostępu, zanim zezwolono na to samo tokenem, a lista ruchu
przychodzącego w tym interfejsie wpłynęłaby na ruch i ruch muszą przejść kryteria określone na
tej liście kontroli dostępu.
Tak, kolejny przykład.
Ten MacBook łączy się, aby przełączyć się przez router.
W związku z tym załóżmy, że MacBook wybrał port 50000.
Adres źródłowy wszystkich klatek z MacBooka do przełącznika będzie jeden na jeden z
portem źródłowym 50000.
Punkt docelowy będzie wynosił 10 1 do 1, a docelowy port 23.
Tak więc po raz kolejny z punktu widzenia scenarzysty, odbiera on ramki na tym interfejsie
z pewnego rodzaju oswoić jeden na jednym źródłu za pięćdziesiąt tysięcy i wysyła
te pakiety z tego interfejsu z tymi samymi pakietami szczegółów wysłanymi w odpowiedzi z przełącznika źródła adres
10 1 do 1 portu źródłowego 23 i docelowy adres IP 10 1 1 1 port docelowy 50000.
Ponownie ważne jest, abyś rozumiał swoje protokoły i numery portów, ponieważ bez tego zrozumienia nie
będziesz w stanie skonfigurować krzyków.
Zawsze sprawdzaj kierunek ruchu, aby ustalić, czy nadmiar nie powinien być blokowany w
ruchu przychodzącym czy wychodzącym na określonych interfejsach.
Istnieje kilka przykładów dobrze znanych protokołów TCAP z odpowiednimi numerami portów.
Jeśli DP używa portu 21 do kontroli, a 24 dane telnet używa 4:23 chorobowej powłoki używa portu 22.
Pusty.
Wykorzystuje port 25 HDD Pease's port 80 pop 3 używa kodu 1 1 0 SS 444 port Elisy.
Oto przykłady dobrze znanych numerów portów TZP, które należy zapamiętać w prawdziwym świecie.
Po prostu wyśledź moje numery portów, aby zobaczyć listę internetowych numerów przypisanych do 30 numerów portów.
Własny jest odpowiedzialny za liczby kwartałów i określa przydział.
Jako przykład wystarczy wpisać numery portów,
a twoje pierwsze trafienie będzie listą numerów sądowych i wyjaśnią całkiem ładnie.
O znanych członkach zarejestrowanych numery portów i numery portów dynamicznych i prywatnych.
Na przykład, jeśli po prostu wyszukasz telnet, zobaczysz, który numer portu używa telnet.
Ma niezłą listę, jeśli nie masz pewności, które numery portów są używane przez określone protokoły.
Oto przykład protokołów wykorzystujących protokół UDP i numer portu.
Przykładowo, DHP używa portu numer 67 i 68 portu TFT Pease'a 69, a jako pusty używa portu 161.
Po raz kolejny na tej samej liście w Ayanie można było wyszukać określone protokoły.
I jest przykład TFT, że DNS to szczególny przypadek.
Jest to tylko numer części 53, który używa zarówno TCAP, jak i UDP.
Tak więc zarówno dla celów studyjnych, jak i dla świata rzeczywistego.
Pamiętaj, że protokoły takie jak telnet używają portu 23 i informują użytkowników o TZP.
Podczas gdy na przykład DFT używa portu 69 przy użyciu UDP.
Teraz, dlaczego miałbyś używać ACLC do tego momentu na kursie, który umożliwił dostęp pomiędzy różnymi
częściami sieci.
Brak interfejsów zamykających, które wpisują się w konfigurację zapisu protokołów rutowania, takich jak europejski system OSPF,
umożliwi dostęp w całej sieci.
Jednak możesz nie chcieć, aby wszyscy mieli dostęp do każdej części sieci.
Jest to szczególnie ważne, gdy łączysz się z Internetem.
Niekoniecznie wszyscy użytkownicy Internetu muszą mieć dostęp do serwerów firmowych lub sieci
korporacyjnej.
Listy dostępu są więc jedną z pierwszych linii obrony, która zatrzymuje lub blokuje ruch z jednej części sieci
do drugiej, aby można było ich używać do zezwolenia lub odmowy ruchu w ruterze.
Jako przykład możemy pozwolić temu MacBookowi uzyskać dostęp do Internetu.
Że możemy odmówić ruchu z Internetu do naszego środowiska korporacyjnego.
Więc pozwolilibyśmy lub odmawiali ruchu na podstawie interfejsu i tym samym odmawiali ruchu przechodzącego przez
router.
Możesz umieścić hasło na przewodowej magistrali BT na routerze, aby wymusić poziom bezpieczeństwa.
Można jednak powiedzieć, że tylko podsieci administracyjne Wayne, ponieważ ten komputer w podsieci administracyjnej
może uzyskać dostęp do Viti podczas linii, podczas gdy ta maszyna nie ma dostępu do linii
BT y.
W takim przypadku lista dostępu nie zezwoli nawet na ruch telnetu lub S-szu na to, dlaczego linie na routerze.
Zamiast więc jednej linii obrony wprowadzić hasło, dwie linie obrony pozwalają tylko niektórym podsieciom na
linie przewodowe BT, a także na hasło BT Dlaczego linie zawsze, gdy chodzi o
bezpieczeństwo.
Musisz myśleć o ryzyku zależnym od ryzyka, w które wprowadzisz więcej zabezpieczeń.
W takim przypadku można uznać, że użytkownicy mają zbyt wysoki dostęp do sprzętu sieciowego.
Dzięki temu możesz tylko zezwalać niektórym podsieciom na łączenie się z liniami BT y lub routerem lub przełącznikiem.
Tak więc po raz kolejny z naszym ACLC wszystkie pakiety mogą być przesyłane do wszystkich części sieci.
A to może nie być pożądane.
Więc możesz chcieć odmówić niektórym częściom sieci dostępu do innych części sieci.
Cała idea polega na tym, że zaczynasz wdrażać zabezpieczenia blokujące części
sieci, aby nie były dostępne dla wszystkich osób wewnątrz i na zewnątrz organizacji.
ACLC W jaki sposób nie tylko wykorzystałem do zezwolenia lub odmowy ruchu, można go również użyć do
klasyfikacji podczas konfigurowania podstawowej sieci VPN lub wirtualnej sieci prywatnej między dwiema witrynami.
Musisz poinformować router, który ruch należy zaszyfrować.
Możesz nie chcieć, aby cały ruch był szyfrowany z lokalnej sieci LAN, ponieważ możesz
chcieć, aby ruch z lokalnej sieci LAN na serwer internetowy był wysyłany w sposób niezaszyfrowany, ale ruch z lokalnej sieci LAN
do lądu po drugiej stronie tunelu VPN musi być zaszyfrowany, aby tworzysz listę dostępu określającą, jaki
ruch jest interesujący.
Innymi słowy, należy zaszyfrować, jaki ruch nie jest interesujący.
Innymi słowy, nie trzeba szyfrować ACL może być również używany w redystrybucji, w której przechodzisz
trasy z jednego protokołu routingu i redystrybuujesz je lub pompujesz do innego protokołu routingu.
Dlatego też możesz nie chcieć, aby protokół OSPF dowiadywał się o wszystkich trasach GOP i dlatego możesz
używać list kontroli dostępu do ograniczania lub zezwalania tylko na przekierowywanie określonych tras. Listy dostępu są również używane z
translacją adresów sieciowych lub sieciowych.
Lista osi określa, które pakiety należy przetłumaczyć i które pakiety nie muszą
być tłumaczone.
W ten sposób utworzysz listę dostępu zezwalającą tylko na określone podsieci,
które pozwolą na translację tych pakietów, pakiety odrzucone przez listę dostępu nie zostaną odmówione dostępu lub zostaną
odrzucone, ale nie są tłumaczone przy użyciu translatora adresów sieciowych lub sieci, gdy używają ACLC do zezwolenia lub odmowy pakiety przechodzące
przez router.
Są dwa główne kroki.
Tak więc, po pierwsze, w trybie konfiguracji globalnej tworzysz listę dostępu za pomocą wspólnej listy dostępu, a
następnie wypełniając różne opcje.
Tak więc komenda listy dostępu służy do tworzenia listy dostępu, a następnie stosowania listy dostępu
przychodzącej i wychodzącej w interfejsie za pomocą grupy dostępu.
No chodź.
Tak więc dostęp do polecenia less powoduje, że egzorcystyczna komenda grupy dostępu wiąże listę dostępu.
A kiedy go zwiążesz, możesz określić przychodzące lub wychodzące.
Innymi słowy określając kierunek, w którym powiązana jest lista dostępu.
Należy pamiętać, że lista ACL nie działa, dopóki nie zostanie zastosowana gdzieś.
Więc jeśli masz listę dostępu w uruchomionej konfiguracji routera i nie zostały one zastosowane, nie
mają one żadnego efektu.
Istnieją dwa kroki, aby utworzyć listę dostępu, a następnie zastosować ją w pewien sposób, na przykład w ruchu przychodzącym.
Ethernet poważnie Zehra.
Tak więc Imraan ACLC są stosowane przychodzące w interfejsie.
ICAO zostanie przetworzone, zanim ruch zostanie skierowany.
Innymi słowy, jeśli ICL odmawia ruchu, a ruch jest odrzucany, Raptor nie będzie musiał przetwarzać
pakietów podczas sprawdzania w swojej tablicy pisania i określania interfejsu wychodzącego.
Pakowarki zostaną odrzucone lub upuszczone, zanim procesor będzie musiał je przetworzyć.
Jeśli są one dozwolone, zostaną przetworzone do jazdy na routerze, który określi interfejs wychodzący.
Jeśli zostanie odrzucony, nie ma dodatkowego obciążenia na routerze, ponieważ router nie musi
wykonywać wyszukiwania na tablicy, aby określić wdzięczny interfejs wychodzący.
Jeśli dozwolony ruch jest dozwolony, proces pisania przeprowadzi następnie wyszukiwanie w tablicy,
aby określić interfejs wychodzący bez funkcji Dan ACLC.
Gnicie jest wykonywane najpierw, a następnie pakiet jest kierowany do interfejsu wychodzącego, a następnie na podstawie
listy ACL pakiety będą dozwolone.
Innymi słowy, przesyłanie lub odmawianie jest skuteczniejsze w wiązaniu listy wejściowej listy dostępu w
interfejsie, ponieważ pakiety odrzucane lub odrzucane nie muszą być przetwarzane.
Podczas pisania na routerze.
Jeśli ACL jest stosowana wychodząca, pręt wciąż musi przetworzyć wszystkie pakiety, które mogą następnie zostać odrzucone
lub odrzucone na interfejsie wychodzącym.
Jeśli to tylko możliwe, należy wiązać przychodzące ACLC na interfejsach zamiast wychodzących w celu bardziej wydajnego przetwarzania.
Lista dostępu jest sekwencyjną listą instrukcji, w której pakiety są oceniane od pierwszej
do ostatniej.
Innymi słowy, istnieje przetwarzanie z góry.
Jeśli pakiet jest dopasowany przez indywidualną instrukcję na liście dostępu, pakiet będzie albo dozwolony, albo
zabroniony, w zależności od tego, czy słowo Admit lub deny zostało użyte w tym konkretnym wyciągu.
Wszystkie pozostałe wiersze listy dostępu są ignorowane, tak aby określony pakiet.
Innymi słowy, gdy tylko linia zostanie dopasowana, wszystkie pozostałe linie są ignorowane, jeśli
ruch nie pasuje do konkretnej linii lub instrukcja w kolejnej linii w liście ACL jest zaznaczona.
Lista jest sekwencyjną listą zdań, a Rodda sprawdzi od pierwszej do ostatniej linii,
dopóki nie uzyska zgodności.
Natychmiast po dopasowaniu wszystkie kolejne wiersze są ignorowane.
Jeśli nie pasuje do żadnej instrukcji w liście ACL, pakiet jest usuwany z powodu czegoś,
co nazywa się niejawnym denie na końcu każdej listy dostępu.
Istnieje domniemana odmowa, która oznacza, że jeśli nie jesteś wyraźnie dozwolona przez listę dostępu, niejawnie
odmawiasz dostępu do wszystkich ruchu, a nie jest to dozwolone gdzieś na tej liście dostępu przy użyciu oświadczenia o
zezwoleniu zostanie usunięte.
Oznacza to, że musisz posiadać przynajmniej jedno zezwolenie na liście w praktyce.
W przeciwnym razie możesz równie dobrze odłączyć kabel.
Teraz istnieją dwa główne typy list dostępu, na których koncentrujemy się w tym kursie.
Pierwsza to standardowa lista ACL, a druga to rozszerzona kontrola ACLC ACL tylko na źródłowych adresach
IP.
Nie sprawdzają indywidualnych numerów portów ani pojedynczych protokołów, które zezwalają lub odmawiają całego zestawu
protokołów na podstawie źródłowego adresu IP lub sieci źródłowej.
Nic innego w źródłowym adresie IP lub sieci źródłowej nie może być określone rozszerzone ACLC
sprawdzanie zarówno adres źródłowy i docelowy i pozwala na zezwalanie lub odmawianie określonych protokołów i aplikacji.
Innymi słowy, możesz zezwolić lub odmówić na podstawie protokołu IP TZP UDP ICMP i wielu innych protokołów, a także możesz zezwalać lub
odmawiać na podstawie numerów portów źródłowych i numerów portów docelowych Rozszerzone listy dostępu są dla nich o wiele
bardziej szczegółowe i mają tendencję do używania w realny świat.
Ale aby uzyskać kompletność, musimy uwzględnić zarówno stentowane, jak i rozszerzone listy dostępu w tym kursie.