Thứ Ba, 23 tháng 9, 2014

ACCESS LIST VÀ CÁC CẤU HÌNH CƠ BẢN LIÊN QUAN

I. NHẮC LẠI MỘT SỐ LÝ THUYẾT

Có 2 loại access-list. 
Loại thứ nhất: Standard IP Access-list chỉ lọc dữ liệu dựa vào địa chỉ IP nguồn. Range của loại này là 1 – 99 hoặc 1300-1999 (expanded range). Nên được áp dụng với cổng gần đích nhất. 
Loại thứ hai: Extended IP Access-list lọc dữ liệu dựa vào

- Địa chỉ IP nguồn và đích (Des Ip và Source IP) 
- Giao thức (TCP, UDP,ICMP,…) 
- Số cổng (HTTP, SSH, Telnet…) 
- Các thông số khác như Windcard mask 
- Range của loại này là 100 – 199 hoặc 2000-2699. 
==>Nên được áp dụng với cổng gần nguồn nhất.950_1-cisco-ccna-certification-exam-tutorial-access-list-details-you-must-know

 

Hai bước để cấu hình Access-list 
Bước 1: Tạo access-list trong chế độ cấu hình config. 
Bước 2: Áp dụng access-list cho từng cổng tuỳ theo yêu cầu ở chế độ cấu hình (config-if) 

Lưu ý: 
Mặc định của tất cả Access-list là deny all, vì vậy trong tất cả các access-list tối thiểu phải có 1 lệnh permit. Nếu trong access-list có cả permit và deny thì nên để các dòng lệnh permit bên trên.

Về hướng của access-list (In/Out) khi áp dụng vào cổng có thể hiểu đơn giản là: In là từ host, Out là tới host hay In vào trong Router, còn Out là ra khỏi Router.

Đối với IN router kiểm tra gói tin trước khi nó được đưa tới bảng xử lý. Đối vơi OUT, router kiểm tra gói tin sau khi nó vào bảng xử lý.

Windcard mask được tính bằng công thức: 
WM = 255.255.255.255 – Subnet mask (Áp dụng cho cả Classful và Classless addreess)

0.0.0.0 255.255.255.255 = any. 
Ip address 0.0.0.0 = host ip address (chỉ định từng host một ) 

II. CẤU HÌNH STANDARD ACCESS LIST (VÍ DỤ) 
Router(config)#access-list 1 deny 172.16.0.0 0.0.255.255 
Router(config)#access-list 1 permit any 
Router(config)#interface fastethernet 0/0 
Router(config-in)#ip access-group 1 in 

III. CẤU HÌNH EXTENDED ACCESS LIST (VÍ DỤ) 
Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.1 eq telnet 
Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.2 eq ftp 
Router(config)#access-list 101 permit any any 
Router(config)#interface fastethernet 0/0 
Router(config-int)#ip access-group 101 out 

IV. CẤU HÌNH NAMED ACCESS LIST THAY CHO SỐ HIỆU 
Router(config)#ip access-list extended server-access (tên của access-list) 
Router(config-ext-nacl)#permit tcp any host 192.168.1.3 eq telnet 
Router(config)#interface fastethernet 0/0 
Router(config-int)#ip access-group server-access out 

V. PERMIT HOẶC DENY TELNET SỬ DỤNG STANDARD ACL (VÍ DỤ) 
Router(config)#access-list 2 permit 172.16.0.0 0.0.255.255 
Router(config)#access-list 2 deny any 
Router(config)#line vty 0 4 
Router(config-line)#password cisco 
Router(config-line)#login 
Router(config-line)#ip access-class 2 in 

VI. XÓA VÀ KIỂM TRA ACCESS LIST 
Muốn xoá thì ta dùng lệnh sau: 
Router(config)# no ip access-list số hiệu 
Kiểm tra Acl ta dùng các lệnh sau: 
show access-list: Hiện bảng Access List 
show running-config: Hiện ra các thao tác cấu hình 
show ip interface: Hiện thông tin của các interface

0 nhận xét:

Đăng nhận xét