Przypominamy o uwagach, które pozwalają nam dodawać opisy do list kontroli dostępu, dzięki czemu
są łatwiejsze do zrozumienia przy mniejszym dostępie, ponieważ mogą być dość skomplikowane, jeśli masz 10
lub 20 liniową listę ACL.
Ostatnią rzeczą, którą chcesz zrobić, jest rozszyfrowanie, co ma robić lista dostępu.
Dodanie uwag może sprawić, że łatwiej będzie śledzić i rozumieć wpisywanie listy dostępu do programu Cmon.
Cóż Misratah pokazuje mi listę dostępu skonfigurowaną iw chwili, gdy widzisz, są listy dostępu z
różnymi liniami, które same w sobie nie mają większego znaczenia niż to robią.
Stwórzmy listę dostępu, to jest lista dostępu pięciu hematów na przykład 10 1. 2 do 1.
Ale teraz możesz zrobić, to powiedzieć listę dostępu pięć Ramshaw, a teraz możesz umieścić komentarz do
100 znaków.
Coś
w tym stylu spotkać szefa X-istsa, aby wymienić serwer lub cokolwiek innego.
Teraz, gdy pojawi się lista pokazująca,
lista X-ists nie pokazuje tej uwagi, ale nie tak, jakbym robił show "Wyjdź".
Lista dostępu do programu Inkley.
Zauważ, że uwaga jest wyświetlana na liście dostępu, co znacznie ułatwia obserwowanie tego, co się dzieje.
Mógłbym stworzyć kolejną linię, którą był były zapaśnik Salita Exorcist 5 Tumut.
A potem mogłabym stworzyć kolejną
próbę czegoś podobnego.
A teraz robiąc to samo, ponownie włączaj show-show. CLEET
Exorcist pozwala mi zobaczyć każdą linię na liście dostępu i jest to trafna uwaga, dzięki czemu łatwiej
zrozumieć, co się dzieje.
Niektóre wskazówki dotyczące list dostępu, głównie górna lista dostępu, wskazują, co można filtrować.
Innymi słowy standard, lista dostępu może tylko na źródłowych adresach IP lub sieciach lista rozszerzonego dostępu może filtrować
zarówno na źródłowym, jak i docelowym adresie źródłowym i docelowym numery portów i różne
inne opcje odnoszące się do protokołów IP.
Tak więc rozszerzone listy dostępu mają zazwyczaj większą moc.
Kolejność przetwarzania ma również wielkie znaczenie.
Powinieneś umieścić swoje bardziej szczegółowe stwierdzenia jako pierwsze, jeśli twoje pierwsze zdanie zostało zatwierdzone, a twoje drugie
oświadczenie było odmową hosta 1 1 1 1 sekunda odmowy oświadczenia byłoby nieistotne z powodu twojego pierwszego stwierdzenia zezwalającego
na jakiekolwiek Zapamiętywanie list kontroli dostępu lub proces z góry na dół.
Jeśli w linii występuje dopasowanie, wszystkie kolejne linie są ignorowane.
Dlatego pozwolę, aby każdy był dopasowany, a cały ruch, w tym ruch z hosta 10:01, byłby dozwolony,
a drugi wiersz odmawiający hosta 10 jeden na jeden byłby ignorowany.
Nie zapominaj, że istnieje domniemana odmowa wszystkich na końcu każdej listy Kontroli Dostępu, chyba że
wyraźnie zezwolisz na coś, czego odmówi.
Tylko jedna lista dostępu może być powiązana z jej interfejsem według kierunku na protokół.
Innymi słowy, ACL w wersji IP 4 może być powiązana z lub na podstawie interfejsu.
Nie musisz zapewniać przychodzących list dostępu w tym samym interfejsie, który możesz mieć jeden
i drugi.
Jak już wykazałem, jeśli próbowałeś powiązać dwie listy dostępu IP przychodzące w tym
samym interfejsie, drugi po prostu zastąpi pierwszy.
Więc gdzie powinieneś umieścić swoje listy dostępu.
Teraz najlepszą praktyką Cisco jest umieszczenie stentu ACLC tak blisko miejsca docelowego, jak to tylko możliwe.
Powodem tego jest to, że nie można dopasować konkretnych protokołów.
Teraz w rzeczywistym świecie większość implementacji HLL będzie korzystać z rozszerzonych list dostępu IP, ponieważ można filtrować
na podstawie zarówno źródłowego, jak i docelowego adresu IP, a także portów źródłowego i docelowego
i tak dalej.
Natomiast w przypadku list kontroli dostępu stentów IP można polegać tylko na adresie źródłowym.
Tak więc w tym przykładzie, jeśli nie chcesz, aby 10 1 na 1 łączyło się z serwerem 10 1 do
1, możesz powiązać standardową listę dostępu IP przychodzącą lub jedną dla wychodzącej i / lub przychodzącą i / lub dwu lub
wychodzącą i arty .
Jeśli zdecydujesz się powiązać listę dostępu odmawiając temu przychodzeniu hosta i / lub odmówisz dostępu nie tylko do serwera 10
1 1 1, ale odmówisz dostępu hosta do wszystkich innych części sieci, ponieważ nie będzie ona mogła
określić miejsca docelowego, ale tylko źródło, jeśli powiązałeś listę dostępu w Bonanie lub jeden blokujący
host 10 1 1 1.
Odmówiłbyś dostępu hosta do wszystkich części sieci, więc nie byłoby to dobre miejsce na wiązanie tej
listy dostępu.
Jeśli zbombardujesz listę dostępu wychodzącą i / lub jednego hosta z napisem denie 10 jeden na jeden, host będzie miał
dostęp do tego hosta.
Po raz kolejny 10:01 jeden miałby odmówić dostępu do tej sieci.
Ta sieć, jak również ta sieć, ponieważ po raz kolejny można odmówić tylko na adres źródłowy
ze standardową listą dostępu IP nie na numer docelowy lub numer portu.
Jeśli zdecydujesz się powiązać listę dostępu przychodzących i lub do hosta 10:01, jeden będzie miał dostęp do tej
sieci, jak również do tej sieci, ale nie będzie miał dostępu do tej sieci lub tej sieci, więc nie
będzie działał albo .
I na koniec, jeśli zdecydujesz się powiązać wychodzące listy dostępu w rt, które byłoby optymalnym miejscem
do umieszczenia listy dostępu, ponieważ odmawiałbyś hostowi 1 jednego dostępu do serwera, którego nie odmawiałbyś temu hostowi
dostępu do żadnego serwera. inną częścią sieci i że wykonasz to, co
masz zamiar zrobić.
Jednak w przypadku rozszerzonych list dostępu do IP zaleceniem jest umieszczenie listy dostępu tak blisko źródła,
jak to możliwe.
Powodem tego jest to, że możesz dopasować określone protokoły i konkretne adresy docelowe.
Jeśli więc wypalisz listę dostępu przychodzącą i / lub możesz odmówić temu gospodarzowi 10 1 1 1 dostępu do tego
hosta 10 1 do 1, ale zezwól temu hostowi na dostęp do dowolnej innej części sieci, a tym samym wykonaj to, co
określiłeś do zrobienia.
I ten przykład byłby o wiele bardziej wydajny niż poprzedni przykład, ponieważ w
tym momencie odmawiałbyś ruchu, zamiast routować go przez całą sieć do lub po prostu, aby zostać usuniętym.
Rozszerzone listy dostępu IP są o wiele bardziej elastyczne i wydajniejsze, dzięki czemu są bardziej
wykorzystywane w świecie rzeczywistym.