Cisco. ACL

Стандартные ACL

access-list 100 permit host 172.16.6.0 0.0.0.255
access-list 100 deny host 172.16.6.0 0.0.0.255

Расширенные ACL

ip access-list extended TEST
 permit tcp host 172.16.6.66 host 172.16.0. eq ftp
 permit tcp host 172.16.6.66 gt 1023 any eq www

ПРАВИЛА ПРОВЕРЯЮТСЯ СВЕРХУ ВНИЗ. КАК ТОЛЬКО ПРОВЕРКА ДОХОДИТ ДО ПРАВИЛА ПОД КОТОРОЕ ПАКЕТ ПОДПАДАЕТ, ПРОВЕРКА ПРЕКРАЩАЕТСЯ, НЕЗАВИСИМО ОТ ТОГО КАКИЕ ПРАВИЛА ИДУТ ДАЛЬШЕ.

В КОНЦЕ ЗАДАЁТСЯ НЕЯВНОЕ ПРАВИЛО

deny ip any any

Т.Е. ЕСЛИ ЯВНО ЧТО-ТО НЕ РАЗРЕШИТЬ СВЕРХУ, ТО ЭТО БУДЕТ ЗАПРЕЩЕНО

Вешаем ACL на интерфейс(in или out)

ip access-group TEST out

Иногда необходимо удалить конкретную запись в access-list(для примера ip 94.123.2.139). Для этого, сначала смотрим порядковые номера записей

show access-lists
Standard IP access list 1
   10 permit 185.40.30.134
   20 permit 94.141.60.123
   30 permit 94.123.2.139
   90 permit 88.196.234.16
   50 permit 222.251.243.67
   40 permit 143.35.7.238

Затем удаляем нужную

# conf t
(config)# ip access-list s 1
(config-ext-nacl)# no 30

В данном случае S - Standard Access List

Если вдруг понадобилось вставить запись в конкретное место, делаем так

# conf t
(config)# ip access-list s 1
(config-ext-nacl)# 40 permit 94.123.2.139

OBJECT-GROUP

Предположим, надо составить ACL, выпускающий три определенных адреса в интернет по трем одинаковым портам c перспективой расширения количества адресов и портов.

Создаём список разрешённых портов

object-group service INET-PORTS
description Ports allowed for some hosts
tcp eq www
tcp eq 8080
tcp eq 443

Создаём список разрешённых ипишек

object-group network HOSTS-TO-INET
description Hosts allowed to browse the net
host 172.16.0.2
host 172.16.0.3
host 172.16.0.4

Создаём ACL

ip access-list extended INET-OUT
permit object-group INET-PORTS object-group HOSTS-TO-INET any

И в завершении вешаем ACL на интерфейс

ip access-group TEST out