Is e aon rud eile a dhìochuimhnich mi iomradh a thoirt air gu bheil ACL chan ann a-mhàin a’ sìoladh trafaic air stèidh ceadachaidh / diùltadh, bidh e a ’coileanadh mòran a bharrachd ghnìomhan. Mar eisimpleir, thathas a’ cleachdadh ACL gus trafaic VPN a chrioptachadh, ach airson a dhol seachad air an deuchainn CCNA, cha leig thu a leas ach fios a bhith agad ciamar a thèid a chleachdadh gus trafaic a shìoladh. Tillidh sinn gu Problem No. 1.
Fhuair sinn a-mach gum faodar trafaic na roinne cunntasachd is reic a bhacadh air an eadar-aghaidh toraidh R2 a’ cleachdadh an liosta ACL a leanas.
Na gabh dragh mu chruth an liosta seo, tha e dìreach air a chiallachadh mar eisimpleir gus do chuideachadh le bhith a’ tuigsinn dè a th’ ann an ACL. Gheibh sinn chun chruth cheart nuair a thòisicheas sinn le Packet Tracer.
Tha gnìomh Àireamh 2 a’ fuaimeachadh mar seo: faodaidh an seòmar frithealaiche conaltradh le luchd-aoigheachd sam bith, ach a-mhàin luchd-aoigheachd na roinne riaghlaidh. Is e sin, faodaidh cothrom a bhith aig coimpiutairean seòmar an fhrithealaiche air coimpiutairean sam bith anns na roinnean reic is cunntasachd, ach cha bu chòir cothrom a bhith aca air na coimpiutairean san roinn riaghlaidh. Tha seo a’ ciallachadh nach bu chòir cothrom iomallach a bhith aig luchd-obrach IT an t-seòmar frithealaiche air coimpiutair ceannard na roinne riaghlaidh, ach ma tha duilgheadasan ann, thig chun oifis aige agus socraich an duilgheadas san spot. Thoir an aire nach eil an obair seo practaigeach oir chan eil fios agam carson nach biodh e comasach don t-seòmar frithealaidh conaltradh thairis air an lìonra leis an roinn riaghlaidh, agus mar sin sa chùis seo tha sinn dìreach a’ coimhead air eisimpleir oideachaidh.
Gus an duilgheadas seo fhuasgladh, feumaidh tu an toiseach slighe trafaic a dhearbhadh. Bidh dàta bhon t-seòmar frithealaiche a’ ruighinn an eadar-aghaidh cuir a-steach G0 / 1 de router R1 agus ga chuir chun roinn riaghlaidh tron eadar-aghaidh toraidh G0 / 0.
Ma chuireas sinn an suidheachadh Deny 192.168.1.192/27 an sàs anns an eadar-aghaidh cuir a-steach G0/1, agus mar a chuimhnicheas tu, tha an ACL àbhaisteach air a chuir nas fhaisge air stòr na trafaic, cuiridh sinn casg air trafaic gu lèir, a’ toirt a-steach an roinn reic is cunntasachd.
Leis gu bheil sinn airson dìreach trafaic a tha air a stiùireadh chun roinn riaghlaidh a bhacadh, feumaidh sinn ACL a chuir an sàs anns an eadar-aghaidh toraidh G0/0. Chan urrainnear an duilgheadas seo fhuasgladh ach le bhith a’ cur an ACL nas fhaisge air a’ cheann-uidhe. Aig an aon àm, feumaidh trafaic bhon lìonra roinn cunntasachd is reic gu saor an roinn riaghlaidh a ruighinn, agus mar sin is e an loidhne mu dheireadh den liosta an Cead àithne sam bith - gus trafaic sam bith a cheadachadh, ach a-mhàin an trafaic a chaidh a shònrachadh anns a ’chumha roimhe.
Gluaisidh sinn air adhart gu Gnìomh Àireamh 3: cha bu chòir gum biodh cothrom aig an laptop Laptop 3 bhon roinn reic air innealan sam bith a bharrachd air an fheadhainn a tha suidhichte air lìonra ionadail na roinne reic. Gabhamaid ris gu bheil neach-trèanaidh ag obair air a 'choimpiutair seo agus nach bu chòir dha a dhol nas fhaide na an LAN aige.
Anns a ’chùis seo, feumaidh tu ACL a chuir an sàs air an eadar-aghaidh cuir a-steach G0/1 de router R2. Ma shònraicheas sinn an seòladh IP 192.168.1.3/25 don choimpiutair seo, an uairsin feumar an suidheachadh diùltadh 192.168.1.3/25 a choileanadh, agus cha bu chòir casg a chuir air trafaic bho sheòladh IP sam bith eile, agus mar sin bidh an loidhne mu dheireadh den liosta Ceadaichte sam bith.
Ach, cha toir bacadh trafaic buaidh sam bith air Laptop2.
Is e an ath ghnìomh Gnìomh Àireamh 4: chan fhaod ach coimpiutair PC0 den roinn ionmhais cothrom fhaighinn air lìonra an fhrithealaiche, ach chan e an roinn riaghlaidh.
Ma chuimhnicheas tu, bidh an ACL bho Task #1 a’ bacadh a h-uile trafaic a-mach air an eadar-aghaidh S0 / 1/0 de router R2, ach tha Task #4 ag ràdh gum feum sinn dèanamh cinnteach nach tèid ach trafaic PC0 troimhe, agus mar sin feumaidh sinn eisgeachd a dhèanamh.
Bu chòir a h-uile gnìomh a tha sinn a’ fuasgladh a-nis do chuideachadh ann an suidheachadh fìor nuair a bhios tu a’ stèidheachadh ACLS airson lìonra oifis. Airson goireasachd, chleachd mi an seòrsa inntrigidh clasaigeach, ach tha mi a ’toirt comhairle dhut na loidhnichean gu lèir a sgrìobhadh sìos le làimh air pàipear no an sgrìobhadh a-steach do choimpiutair gus an urrainn dhut na h-inntrigidhean a cheartachadh. Anns a 'chùis againn, a rèir cumhaichean Task No. 1, chaidh liosta clasaigeach ACL a chur ri chèile. Ma tha sinn airson eisgeachd a chur ris airson PC0 de sheòrsa Cead , an uairsin is urrainn dhuinn an loidhne seo a chuir dìreach sa cheathramh àite air an liosta, às deidh loidhne Cead sam bith. Ach, leis gu bheil seòladh a’ choimpiutair seo air a ghabhail a-steach anns an raon de sheòlaidhean airson a bhith a’ sgrùdadh suidheachadh diùltadh 0/192.168.1.128, thèid an trafaic aige a bhacadh sa bhad às deidh a’ chumha seo a choileanadh agus cha ruig an router dìreach an ceathramh loidhne seic, a’ ceadachadh trafaig bhon t-seòladh IP seo.
Mar sin, feumaidh mi liosta ACL de Task No. bho na roinnean cunntasachd is reic.
Mar sin, anns a 'chiad loidhne tha òrdugh againn airson seòladh sònraichte, agus anns an dàrna fear - coitcheann airson an lìonra gu lèir anns a bheil an seòladh seo suidhichte. Ma tha thu a’ cleachdadh seòrsa ùr de ACL, faodaidh tu atharrachadh a dhèanamh air gu furasta le bhith a’ cur an loidhne Cead 192.168.1.130/26 mar a’ chiad àithne. Ma tha ACL clasaigeach agad, feumaidh tu a thoirt air falbh gu tur agus an uairsin cuir a-steach na h-òrdughan san òrdugh cheart.
Is e am fuasgladh air Trioblaid Àireamh 4 an loidhne Cead 192.168.1.130/26 a chuir aig toiseach an ACL bho Problem No. 1, oir is ann dìreach sa chùis seo a dh’ fhàgas trafaic bho PC0 gu saor eadar-aghaidh toraidh an router R2. Thèid trafaic PC1 a bhacadh gu tur leis gu bheil an seòladh IP aige fo ùmhlachd a’ chasg a tha san dàrna loidhne den liosta.
Gluaisidh sinn a-nis air adhart gu Packet Tracer gus na roghainnean riatanach a dhèanamh. Tha mi mu thràth air seòlaidhean IP a h-uile inneal a rèiteachadh oir bha na diagraman nas sìmplidhe roimhe seo beagan duilich a thuigsinn. A bharrachd air an sin, shuidhich mi RIP eadar an dà router. Air topology lìonra a chaidh a thoirt seachad, tha e comasach conaltradh eadar gach inneal de 4 subnets gun chuingealachaidhean sam bith. Ach cho luath ‘s a chuireas sinn an ACL an sàs, tòisichidh an trafaic air a shìoladh.
Tòisichidh mi leis an roinn ionmhais PC1 agus feuchaidh mi ri ping an seòladh IP 192.168.1.194, a bhuineas do Server0, a tha suidhichte ann an seòmar an fhrithealaiche. Mar a chì thu, tha ping soirbheachail gun duilgheadas sam bith. Bidh mi cuideachd a’ ping Laptop0 gu soirbheachail bhon roinn riaghlaidh. Tha a’ chiad phacaid air a thilgeil air falbh air sgàth ARP, tha na 3 eile air am ping gu saor.
Gus sìoladh trafaic a chuir air dòigh, thèid mi a-steach do shuidheachaidhean an router R2, cuir an gnìomh am modh rèiteachaidh cruinneil agus cruthaichidh mi liosta ACL ùr-nodha. Tha an ACL 10 clasaigeach againn cuideachd. Gus a’ chiad liosta a chruthachadh, cuiridh mi a-steach àithne anns am feum thu an aon ainm liosta a sgrìobh sinn sìos air pàipear a shònrachadh: ip access-list standard ACL Secure_Ma_And_Se. Às deidh seo, bidh an siostam a’ brosnachadh paramadairean a dh’ fhaodadh a bhith ann: is urrainn dhomh diùltadh, fàgail, chan eil, cead no iomradh a thaghadh, agus cuideachd àireamh sreath a chuir a-steach bho 1 gu 2147483647. Mura dèan mi seo, sònraichidh an siostam e gu fèin-ghluasadach.
Mar sin, cha bhith mi a’ dol a-steach don àireamh seo, ach sa bhad rach chun aoigh cead 192.168.1.130 àithne, leis gu bheil an cead seo dligheach airson inneal PC0 sònraichte. Is urrainn dhomh cuideachd masg cairt-fhiadhaich cùil a chleachdadh, a-nis seallaidh mi dhut mar a nì thu e.
An uairsin, cuiridh mi a-steach an àithne àicheadh 192.168.1.128. Leis gu bheil /26 againn, bidh mi a’ cleachdadh am masg cùil agus a’ cur ris an àithne leis: àicheadh 192.168.1.128 0.0.0.63. Mar sin, tha mi a’ diùltadh trafaic chun lìonra 192.168.1.128/26.
Mar an ceudna, tha mi a 'cur bacadh air trafaig bhon lìonra a leanas: àicheadh 192.168.1.0 0.0.0.127. Tha a h-uile trafaic eile ceadaichte, agus mar sin bidh mi a’ dol a-steach don chead àithne sam bith. An uairsin feumaidh mi an liosta seo a chuir an sàs san eadar-aghaidh, agus mar sin bidh mi a’ cleachdadh an àithne int s0/1/0. An uairsin bidh mi a’ sgrìobhadh ip access-group Secure_Ma_And_Se, agus tha an siostam gam bhrosnachadh gus eadar-aghaidh a thaghadh - a-steach airson pacaidean a tha a’ tighinn a-steach agus a-mach airson a dhol a-mach. Feumaidh sinn an ACL a chuir an sàs anns an eadar-aghaidh toraidh, agus mar sin bidh mi a’ cleachdadh an àithne ip access-group Secure_Ma_And_Se out.
Rachamaid gu loidhne-àithne PC0 agus ping an seòladh IP 192.168.1.194, a bhuineas don fhrithealaiche Server0. Tha am ping soirbheachail oir chleachd sinn suidheachadh sònraichte ACL airson trafaic PC0. Ma nì mi an aon rud bho PC1, cruthaichidh an siostam mearachd: “chan eil aoigheachd ceann-uidhe ri fhaighinn”, leis gu bheil trafaic bho na seòlaidhean IP a tha air fhàgail den roinn cunntasachd air a bhacadh bho bhith a’ faighinn chun t-seòmar frithealaiche.
Le bhith a’ logadh a-steach do CLI an router R2 agus a’ taipeadh an àithne liostaichean seòlaidhean ip, chì thu mar a chaidh trafaic lìonra na roinne ionmhais a stiùireadh - tha e a’ sealltainn cia mheud uair a chaidh am ping seachad a rèir a’ chead agus cia mheud uair a bha e. air a bhacadh a rèir an toirmisg.
Faodaidh sinn an-còmhnaidh a dhol gu roghainnean an router agus an liosta ruigsinneachd fhaicinn. Mar sin, thathas a’ coinneachadh ri cumhachan Gnìomhan Àir. 1 agus Àir. 4. Leig leam aon rud eile a shealltainn dhut. Ma tha mi airson rudeigin a chàradh, is urrainn dhomh a dhol a-steach don mhodh rèiteachaidh cruinne de shuidheachaidhean R2, cuir a-steach an àithne ip access-list Standard Secure_Ma_And_Se agus an uairsin chan eil an àithne “host 192.168.1.130 ceadaichte” - chan eil cead aoigheachd 192.168.1.130.
Ma choimheadas sinn air an liosta ruigsinneachd a-rithist, chì sinn gu bheil loidhne 10 air a dhol à bith, chan eil againn ach loidhnichean 20,30, 40 agus XNUMX air fhàgail. Mar sin, faodaidh tu liosta ruigsinneachd ACL a dheasachadh ann an roghainnean an router, ach dìreach mura h-eil e air a chur ri chèile ann an cruth clasaigeach.
A-nis gluaisidh sinn air adhart chun treas ACL, oir tha e cuideachd a 'buntainn ris an router R2. Tha e ag ràdh nach bu chòir do thrafaig sam bith bhon Laptop3 lìonra na roinne reic fhàgail. Anns a 'chùis seo, bu chòir Laptop2 conaltradh a dhèanamh gun duilgheadasan le coimpiutairean na roinn ionmhais. Gus seo a dhearbhadh, bidh mi a’ ping an seòladh IP 192.168.1.130 bhon laptop seo agus dèan cinnteach gu bheil a h-uile càil ag obair.
A-nis thèid mi gu loidhne-àithne Laptop3 agus ping an seòladh 192.168.1.130. Tha pinging soirbheachail, ach chan eil feum againn air, oir a rèir cumhaichean na h-obrach, chan urrainn dha Laptop3 ach conaltradh le Laptop2, a tha suidhichte san aon lìonra roinn reic. Gus seo a dhèanamh, feumaidh tu ACL eile a chruthachadh a 'cleachdadh an dòigh clasaigeach.
Thèid mi air ais gu roghainnean R2 agus feuchaidh mi ri inntrigeadh 10 a chaidh a dhubhadh às fhaighinn air ais a’ cleachdadh an aoigh cead 192.168.1.130 àithne. Chì thu gu bheil an inntrig seo a’ nochdadh aig deireadh na liosta aig àireamh 50. Ach, chan obraich ruigsinneachd fhathast, oir tha an loidhne a tha a’ ceadachadh aoigheachd sònraichte aig deireadh na liosta, agus tha an loidhne a tha a’ toirmeasg trafaic lìonraidh aig a’ mhullach. den liosta. Ma dh’ fheuchas sinn ri Laptop0 na roinne stiùiridh a phingadh bho PC0, gheibh sinn an teachdaireachd “chan eil òstair ceann-uidhe ruigsinneach,” a dh’ aindeoin gu bheil inntrigeadh ceadaichte aig àireamh 50 san ACL.
Mar sin, ma tha thu airson ACL a tha ann mu thràth a dheasachadh, feumaidh tu a dhol a-steach don àithne gun chead aoigheachd 2 ann am modh R192.168.1.130 (config-std-nacl), dèan cinnteach gu bheil loidhne 50 air a dhol à bith bhon liosta, agus cuir a-steach an àithne cead 10 òstair 192.168.1.130. Tha sinn a’ faicinn gu bheil an liosta a-nis air tilleadh chun fhoirm thùsail aige, leis an inntrig seo air a rangachadh an toiseach. Bidh àireamhan sreath a’ cuideachadh le bhith a’ deasachadh an liosta ann an cruth sam bith, agus mar sin tha an cruth ùr-nodha de ACL tòrr nas goireasaiche na am fear clasaigeach.
A-nis seallaidh mi mar a tha cruth clasaigeach liosta ACL 10 ag obair. Gus an liosta clasaigeach a chleachdadh, feumaidh tu a dhol a-steach don àithne ruigsinneachd - liosta 10?, agus, às deidh an sgiobalta, tagh an gnìomh a tha thu ag iarraidh: diùltadh, cead no beachd. An uairsin bidh mi a ’dol a-steach don loidhne ruigsinneachd - liosta 10 àicheadh aoigheachd, às deidh sin bidh mi a’ taipeadh an àithne ruigsinneachd - liosta 10 àicheadh 192.168.1.3 agus cuir am masg cùil ris. Leis gu bheil aoigh againn, is e 255.255.255.255 am masg subnet air adhart, agus is e an cùl 0.0.0.0. Mar thoradh air an sin, gus trafaic aoigheachd a dhiùltadh, feumaidh mi a dhol a-steach don àithne ruigsinneachd - liosta 10 àicheadh 192.168.1.3 0.0.0.0. Às deidh seo, feumaidh tu ceadan a shònrachadh, airson an cuir mi a-steach an àithne ruigsinneachd - liosta 10 cead sam bith. Feumaidh an liosta seo a bhith air a chuir a-steach don eadar-aghaidh G0 / 1 de router R2, agus mar sin bidh mi a’ cuir a-steach na h-òrdughan ann an g0 / 1, ip access-group 10 a-steach. Ge bith dè an liosta a thathas a’ cleachdadh, clasaigeach no ùr-nodha, thathas a’ cleachdadh na h-aon òrdughan gus an liosta seo a chuir an sàs san eadar-aghaidh.
Gus faighinn a-mach a bheil na roghainnean ceart, thèid mi gu ceann-uidhe loidhne-àithne Laptop3 agus feuchaidh mi ri ping an seòladh IP 192.168.1.130 - mar a chì thu, tha an siostam ag aithris gu bheil an t-òstair ceann-uidhe do-ruigsinneach.
Leig leam do chuimhneachadh gum faod thu an dà chuid liostaichean ruigsinneachd ip taisbeanaidh agus òrdughan liostaichean ruigsinneachd a shealltainn airson sùil a thoirt air an liosta. Feumaidh sinn aon duilgheadas eile fhuasgladh, a tha co-cheangailte ris an router R1. Gus seo a dhèanamh, thèid mi gu CLI an router seo agus thèid mi gu modh rèiteachaidh cruinneil agus cuir a-steach an àithne ip access-list standard Secure_Ma_From_Se. Leis gu bheil lìonra 192.168.1.192/27 againn, bidh am masg subnet aige 255.255.255.224, a tha a’ ciallachadh gum bi am masg cùil 0.0.0.31 agus feumaidh sinn a dhol a-steach don àicheadh 192.168.1.192 0.0.0.31 àithne. Leis gu bheil a h-uile trafaic eile ceadaichte, thig an liosta gu crìch leis an àithne cead sam bith. Gus ACL a chuir an sàs ann an eadar-aghaidh toraidh an router, cleachd an àithne ip access-group Secure_Ma_From_Se out.
A-nis thèid mi gu ceann-uidhe loidhne-àithne Server0 agus feuchaidh mi ri ping Laptop0 den roinn riaghlaidh aig an t-seòladh IP 192.168.1.226. Cha do shoirbhich leis an oidhirp, ach ma chuir mi ping air an t-seòladh 192.168.1.130, chaidh an ceangal a stèidheachadh gun duilgheadasan, is e sin, chuir sinn casg air coimpiutair an fhrithealaiche bho bhith a ’conaltradh ris an roinn riaghlaidh, ach leig sinn le conaltradh leis a h-uile inneal eile ann an roinnean eile. Mar sin, tha sinn air na 4 duilgheadasan uile fhuasgladh gu soirbheachail.
Leig leam rudeigin eile a shealltainn dhut. Bidh sinn a’ dol a-steach do shuidheachaidhean an router R2, far a bheil 2 sheòrsa ACL againn - clasaigeach agus ùr-nodha. Canaidh sinn gu bheil mi airson ACL 10, liosta ruigsinneachd IP àbhaisteach 10 a dheasachadh, anns a bheil an cruth clasaigeach aige air a dhèanamh suas de dhà inntrig 10 agus 20. Ma chleachdas mi an àithne do show run, chì mi sin an-toiseach gu bheil liosta ruigsinneachd ùr-nodha againn de 4 inntrigidhean gun àireamhan fon cheann coitcheann Secure_Ma_And_Se, agus gu h-ìosal tha dà inntrigeadh ACL 10 den fhoirm chlasaigeach ag ath-aithris ainm an aon liosta ruigsinneachd 10.
Ma tha mi airson beagan atharrachaidhean a dhèanamh, leithid toirt air falbh an t-òstair àicheadh 192.168.1.3 inntrigeadh agus a’ toirt a-steach inntrigeadh airson inneal air lìonra eile, feumaidh mi an àithne sguab às airson an inntrig sin a-mhàin: chan eil liosta ruigsinneachd 10 a’ diùltadh aoigheachd 192.168.1.3 .10. Ach cho luath ‘s a thèid mi a-steach don àithne seo, bidh a h-uile tagradh ACL XNUMX a’ dol à sealladh gu tur.Is e seo as coireach gu bheil an sealladh clasaigeach den ACL glè ghoireasach airson deasachadh. Tha an dòigh clàraidh ùr-nodha tòrr nas fhasa a chleachdadh, leis gu bheil e a’ ceadachadh deasachadh an-asgaidh.
Gus an stuth anns an leasan bhidio seo ionnsachadh, tha mi a ’toirt comhairle dhut coimhead a-rithist agus feuchainn ri fuasgladh fhaighinn air na duilgheadasan air an deach beachdachadh leat fhèin gun sanasan sam bith. Tha ACL na chuspair cudromach ann an cùrsa CCNA, agus tha mòran air am mealladh le, mar eisimpleir, an dòigh-obrach airson masg cairt-fhiadhaich cùil a chruthachadh. Tha mi gad dhearbhadh, dìreach tuig a’ bhun-bheachd air cruth-atharrachadh masg, agus bidh a h-uile dad tòrr nas fhasa. Cuimhnich gur e trèanadh practaigeach an rud as cudromaiche ann a bhith a’ tuigsinn cuspairean cùrsa CCNA, oir is e dìreach cleachdadh a chuidicheas tu gus seo no am bun-bheachd Cisco sin a thuigsinn. Chan e cleachdadh leth-bhreac a th’ anns na sgiobaidhean agam, ach fuasgladh cheistean nad dhòigh fhèin. Faighnich ceistean dhut fhèin: dè a dh'fheumar a dhèanamh gus an trafaig a bhacadh bho seo gu ruige seo, càite an cuir thu suidheachaidhean, msaa, agus feuch ri freagairt.
Tapadh leibh airson fuireach còmhla rinn. An toil leat na h-artaigilean againn? A bheil thu airson susbaint nas inntinniche fhaicinn? Thoir taic dhuinn le bhith a’ cur òrdugh no a’ moladh do charaidean, Lasachadh de 30% airson luchd-cleachdaidh Habr air analog sònraichte de luchd-frithealaidh ìre inntrigidh, a chaidh a chruthachadh leinn dhut: (ri fhaighinn le RAID1 agus RAID10, suas ri 24 cores agus suas ri 40GB DDR4).
Dell R730xd 2 uair nas saoire? A-mhàin an seo anns an Òlaind! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - bho $99! Leugh mu dheidhinn
Source: www.habr.com