Cisco ACL szabályok::

A másik nagy mumusom az ACL szabályok. Szintén tipikus vizsgapélda lehetőség, és szintén jól kifejtett magyarázzattal ellátott példa látható a testinside blogon. Az összefoglalót magamnak készítem, hogy a konfigurálás minél gördülékenyebben menjen:

Ha ACL-ek ről van szó, beszélhetünk standard vagy extended változatról.

Standard ACL:

• A használatával forrás ip címeket tudunk szüri
• A célhoz legközelebbi interface-en használjuk, hogy elkerüljük az esetleges hibás, nem a célra vonatkozó szűrést.
• Sorszám 1-99 és 1300-1999
• 1 szabály alkalmazásával a lista végére kerül automatikusan egy minden forgalmat tiltó sor

konfigurációja:
A router fastethernet 0 -s lábán szeretnénk kitiktani a 192.168.1.0/24-es ip címtartományról érkező csomagokat. A tartomány megadásához wildcard mask-ot használunk

A szabály felállítása:

#conf t
config#access-list 1 deny 192.168.1.0 0.0.0.255
config#access-list 1 permit any

Ha egy ip címről van szó, kétféleképp járhatunk el:

192.168.1.10 0.0.0.0 vagy host 192.168.1.10

A szabály alkalmazása az interface-en:

#conf t
config#interface fastethernet 0
config-if#ip access-group 1 out
config-if#exit
config#

---

Extended ACL-ek:

• IP, TCP, UDP, ICMP, IGRP, IGMP és egyéb protokollok szűrése
• forrás és cél IP címek alapján szűrés
• forrás és célport alapján szűrés
• Extended ACL-t a forráshoz legközelebb helyezünk el, így minimalizáljuk a feleslegesen kimenő forgalmat
• Számozása 100-199 és 2000-2999

példa : A 192.168.1.0/24-es tartomány nem férhet hozzá a 172.16.1.20-as IP-jű szerver webserver szolgáltatásához, más forgalom mehet.

#config t
config#access-list 100 deny tcp 192.168.1.0 0.0.0.255 host 172.16.1.20 eq 80
config#access-list 100 permit any any

Az általános érvényű elhelyezési szabályok természetesen változhatnak annak a függvényében, hogy a hálózazat mely elemét milyen irányból szeretnénk elszeparálni, forgalmat engedélyezni illetve tiltani.

A szabály alkalmazása az interface-en:

#config t
config#interface fastethernet 0
config-if#ip access-group 100 out

---

Telnet hozzáférés szűrése egy számítógépre

#access-list 2 permit host 192.168.1.1

ACL alkalmazása a telnet kapcsolatokra:

#config t
config#line vty 0 - 4
config-line#access-class 2 in