Cisco. ACL — различия между версиями

Материал из megapuper
Перейти к: навигация, поиск
Строка 20: Строка 20:
 
Вешаем ACL на интерфейс(in или out)
 
Вешаем ACL на интерфейс(in или out)
 
  ip access-group TEST out
 
  ip access-group TEST out
 +
 +
 +
Иногда необходимо удалить конкретную запись в access-list(для примера ip 94.123.2.139). Для этого, сначала смотрим порядковые номера записей
 +
show access-lists
 +
Standard IP access list 1
 +
    10 permit 185.40.30.134
 +
    20 permit 94.141.60.123
 +
    30 permit 94.123.2.139
 +
    90 permit 88.196.234.16
 +
    50 permit 222.251.243.67
 +
    40 permit 143.35.7.238
 +
 +
Затем удаляем нужную
 +
# conf t
 +
(config)# ip access-list s 1
 +
(config-ext-nacl)# no 30
 +
В данном случае <font color=blue>S</font> - Standard Access List
 +
 +
Если вдруг понадобилось вставить запись в конкретное место, делаем так
 +
# conf t
 +
(config)# ip access-list s 1
 +
(config-ext-nacl)# 40 permit 94.123.2.139
  
  

Версия 16:53, 16 августа 2018

Стандартные ACL

access-list 100 permit host 172.16.6.0 0.0.0.255
access-list 100 deny host 172.16.6.0 0.0.0.255


Расширенные ACL

ip access-list extended TEST
 permit tcp host 172.16.6.66 host 172.16.0. eq ftp
 permit tcp host 172.16.6.66 gt 1023 any eq www


ПРАВИЛА ПРОВЕРЯЮТСЯ СВЕРХУ ВНИЗ. КАК ТОЛЬКО ПРОВЕРКА ДОХОДИТ ДО ПРАВИЛА ПОД КОТОРОЕ ПАКЕТ ПОДПАДАЕТ, ПРОВЕРКА ПРЕКРАЩАЕТСЯ, НЕЗАВИСИМО ОТ ТОГО КАКИЕ ПРАВИЛА ИДУТ ДАЛЬШЕ.


В КОНЦЕ ЗАДАЁТСЯ НЕЯВНОЕ ПРАВИЛО

deny ip any any

Т.Е. ЕСЛИ ЯВНО ЧТО-ТО НЕ РАЗРЕШИТЬ СВЕРХУ, ТО ЭТО БУДЕТ ЗАПРЕЩЕНО


Вешаем ACL на интерфейс(in или out)

ip access-group TEST out


Иногда необходимо удалить конкретную запись в access-list(для примера ip 94.123.2.139). Для этого, сначала смотрим порядковые номера записей

show access-lists
Standard IP access list 1
   10 permit 185.40.30.134
   20 permit 94.141.60.123
   30 permit 94.123.2.139
   90 permit 88.196.234.16
   50 permit 222.251.243.67
   40 permit 143.35.7.238

Затем удаляем нужную

# conf t
(config)# ip access-list s 1
(config-ext-nacl)# no 30

В данном случае S - Standard Access List

Если вдруг понадобилось вставить запись в конкретное место, делаем так

# conf t
(config)# ip access-list s 1
(config-ext-nacl)# 40 permit 94.123.2.139


OBJECT-GROUP

Предположим, надо составить ACL, выпускающий три определенных адреса в интернет по трем одинаковым портам c перспективой расширения количества адресов и портов.


Создаём список разрешённых портов

object-group service INET-PORTS
description Ports allowed for some hosts
tcp eq www
tcp eq 8080
tcp eq 443


Создаём список разрешённых ипишек

object-group network HOSTS-TO-INET
description Hosts allowed to browse the net
host 172.16.0.2
host 172.16.0.3
host 172.16.0.4


Создаём ACL

ip access-list extended INET-OUT
permit object-group INET-PORTS object-group HOSTS-TO-INET any


И в завершении вешаем ACL на интерфейс

ip access-group TEST out