Cisco Training 200-125 CCNA v3.0. יום 27. מבוא ל-ACL. חלק 1

היום נתחיל ללמוד על רשימת בקרת גישה של ACL, נושא זה ייקח 2 שיעורי וידאו. נבחן את התצורה של ACL רגיל, ובמדריך הווידאו הבא אדבר על הרשימה המורחבת.

בשיעור זה נעסוק ב-3 נושאים. הראשון הוא מה זה ACL, השני הוא מה ההבדל בין רשימת גישה סטנדרטית לרשימת גישה מורחבת, ובסוף השיעור, כמעבדה, נבחן הקמת ACL סטנדרטי ופתרון בעיות אפשריות.
אז מה זה ACL? אם למדת את הקורס כבר משיעור הווידאו הראשון, אז אתה זוכר איך ארגנו תקשורת בין התקני רשת שונים.

למדנו גם ניתוב סטטי על פני פרוטוקולים שונים כדי להשיג מיומנויות בארגון תקשורת בין מכשירים ורשתות. כעת הגענו לשלב הלמידה שבו עלינו לדאוג להבטחת בקרת תעבורה, כלומר, מניעת חדירת "הרעים" או משתמשים לא מורשים לרשת. לדוגמה, זה עשוי להשפיע על אנשים ממחלקת המכירות של SALES, המתוארת בתרשים זה. כאן אנו מציגים גם את המחלקה הפיננסית ACCOUNTS, את מחלקת הניהול MANAGEMENT ואת חדר השרתים SERVER ROOM.
אז, מחלקת המכירות עשויה להכיל מאה עובדים, ואנחנו לא רוצים שאף אחד מהם יוכל להגיע לחדר השרתים דרך הרשת. חריג נעשה למנהל המכירות שעובד על מחשב Laptop2 - הוא יכול לקבל גישה לחדר השרתים. לעובד חדש שעובד על Laptop3 לא אמורה להיות גישה כזו, כלומר, אם התעבורה מהמחשב שלו מגיעה לנתב R2, יש להפיל אותה.

תפקידו של ACL הוא לסנן תעבורה לפי פרמטרי הסינון שצוינו. הם כוללים את כתובת ה-IP המקור, כתובת ה-IP של היעד, הפרוטוקול, מספר היציאות ופרמטרים נוספים, שבזכותם תוכלו לזהות את התעבורה ולבצע איתה כמה פעולות.

אז, ACL הוא מנגנון סינון שכבה 3 של מודל OSI. המשמעות היא שמנגנון זה משמש בנתבים. הקריטריון העיקרי לסינון הוא זיהוי זרם הנתונים. לדוגמה, אם אנחנו רוצים לחסום את הבחור עם המחשב Laptop3 מגישה לשרת, קודם כל עלינו לזהות את התעבורה שלו. תעבורה זו נעה לכיוון Laptop-Switch2-R2-R1-Switch1-Server1 דרך הממשקים המתאימים של התקני רשת, בעוד שלממשקי G0/0 של נתבים אין שום קשר לזה.

כדי לזהות תנועה, עלינו לזהות את הנתיב שלה. לאחר שעשינו זאת, נוכל להחליט היכן בדיוק עלינו להתקין את המסנן. אל תדאג לגבי המסננים עצמם, נדון בהם בשיעור הבא, לעת עתה עלינו להבין את העיקרון של איזה ממשק יש להחיל את המסנן.

אם מסתכלים על נתב, אפשר לראות שבכל פעם שתנועה זזה יש ממשק שבו זרימת הנתונים נכנסת וממשק שדרכו הזרימה הזו יוצאת.

למעשה ישנם 3 ממשקים: ממשק הקלט, ממשק הפלט והממשק של הנתב עצמו. רק זכור שניתן להחיל סינון רק על ממשק הקלט או הפלט.

העיקרון של תפעול ACL דומה למעבר לאירוע שבו יכולים להגיע רק אותם אורחים ששמם ברשימת המוזמנים. ACL היא רשימה של פרמטרי הסמכה המשמשים לזיהוי תעבורה. לדוגמה, רשימה זו מציינת שכל התעבורה מותרת מכתובת ה-IP 192.168.1.10, ותעבורה מכל הכתובות האחרות נדחית. כפי שאמרתי, ניתן להחיל רשימה זו על ממשק הקלט והפלט.

ישנם 2 סוגים של ACLs: סטנדרטיים ומורחבים. ל-ACL סטנדרטי יש מזהה מ-1 עד 99 או מ-1300 עד 1999. אלה הם פשוט שמות רשימה שאין להם יתרונות זה על פני זה ככל שהמספור גדל. בנוסף למספר, אתה יכול להקצות את השם שלך ל-ACL. ACLs מורחבים ממוספרים 100 עד 199 או 2000 עד 2699 וייתכן שיש להם גם שם.

ב-ACL סטנדרטי, הסיווג מבוסס על כתובת ה-IP המקור של התעבורה. לכן, בעת שימוש ברשימה כזו, אינך יכול להגביל תעבורה המופנית למקור כלשהו, ​​אתה יכול רק לחסום תעבורה שמקורה במכשיר.

ACL מורחב מסווג את התעבורה לפי כתובת IP מקור, כתובת IP של יעד, פרוטוקול בשימוש ומספר יציאה. לדוגמה, אתה יכול לחסום רק תעבורת FTP, או רק תעבורת HTTP. היום נבחן את ה-ACL הסטנדרטי, ואת שיעור הווידאו הבא נקדיש לרשימות מורחבות.

כפי שאמרתי, ACL היא רשימה של תנאים. לאחר החלת רשימה זו על הממשק הנכנס או היוצא של הנתב, הנתב בודק את התעבורה מול רשימה זו, ואם הוא עומד בתנאים המפורטים ברשימה, הוא מחליט אם לאפשר או לדחות את התעבורה הזו. לעתים קרובות אנשים מתקשים לקבוע את ממשקי הקלט והפלט של נתב, אם כי אין כאן שום דבר מסובך. כשמדברים על ממשק נכנס, זה אומר שרק תעבורה נכנסת תשלוט ביציאה הזו, והנתב לא יחיל הגבלות על תעבורה יוצאת. באופן דומה, אם אנחנו מדברים על ממשק יציאה, זה אומר שכל הכללים יחולו רק על תעבורה יוצאת, בעוד שתעבורה נכנסת ביציאה זו תתקבל ללא הגבלות. לדוגמה, אם לנתב יש 2 יציאות: f0/0 ו-f0/1, אזי ה-ACL יוחל רק על תעבורה הנכנסת לממשק f0/0, או רק על תעבורה שמקורה בממשק f0/1. תנועה שנכנסת או יוצאת מממשק f0/1 לא תושפע מהרשימה.

לכן, אל תתבלבלו מהכיוון הנכנס או היוצא של הממשק, זה תלוי בכיוון התנועה הספציפית. לכן, לאחר שהנתב בדק את התעבורה להתאמה לתנאי ה-ACL, הוא יכול לקבל שתי החלטות בלבד: לאפשר את התעבורה או לדחות אותה. לדוגמה, אתה יכול לאפשר תעבורה המיועדת ל-180.160.1.30 ולדחות תעבורה המיועדת ל-192.168.1.10. כל רשימה יכולה להכיל מספר תנאים, אך כל אחד מהתנאים הללו חייב לאפשר או לדחות.

נניח שיש לנו רשימה:

לאסור _______
להתיר ________
להתיר ________
לאסור _________.

ראשית, הנתב יבדוק את התעבורה כדי לראות אם היא תואמת את התנאי הראשון; אם היא לא תואמת, הוא יבדוק את התנאי השני. אם התעבורה תואמת את התנאי השלישי, הנתב יפסיק לבדוק ולא ישווה אותה לשאר תנאי הרשימה. הוא יבצע את פעולת ה"אפשר" ויעבור לבדיקת החלק הבא של התנועה.

במקרה שלא הגדרת כלל עבור חבילה כלשהי והתעבורה עוברת דרך כל שורות הרשימה מבלי לפגוע באף אחד מהתנאים, היא מושמדת, כי כל רשימת ACL כברירת מחדל מסתיימת בפקודה deny any - כלומר, discard כל חבילה שאינה נופלת תחת אף אחד מהכללים. תנאי זה נכנס לתוקף אם יש כלל אחד לפחות ברשימה, אחרת אין לו השפעה. אבל אם השורה הראשונה מכילה את הערך הכחיש 192.168.1.30 והרשימה כבר לא מכילה תנאים, אז בסוף צריך להיות היתר פקודה, כלומר לאפשר כל תעבורה פרט לזו האסורה על פי הכלל. עליך לקחת זאת בחשבון כדי למנוע טעויות בעת הגדרת ה-ACL.

אני רוצה שתזכרו את הכלל הבסיסי של יצירת רשימת ASL: מקם ASL סטנדרטי קרוב ככל האפשר ליעד, כלומר למקבל התנועה, ומקם ASL מורחב קרוב ככל האפשר למקור, כלומר, לשולח התעבורה. אלו הן המלצות של סיסקו, אבל בפועל יש מצבים שבהם יותר הגיוני למקם ACL סטנדרטי קרוב למקור התעבורה. אבל אם נתקלת בשאלה על כללי מיקום ACL במהלך הבחינה, עקוב אחר ההמלצות של סיסקו וענה באופן חד משמעי: התקן קרוב יותר ליעד, המורחב קרוב יותר למקור.

עכשיו בואו נסתכל על התחביר של ACL סטנדרטי. ישנם שני סוגים של תחביר פקודה במצב התצורה הגלובלית של הנתב: תחביר קלאסי ותחביר מודרני.

סוג הפקודה הקלאסי הוא Access-list <מספר ACL> <הכחיש/אפשר> <קריטריונים>. אם תגדירו את <ACL number> מ-1 ל-99, המכשיר יבין אוטומטית שמדובר ב-ACL סטנדרטי, ואם הוא מ-100 ל-199, אז מדובר ב-ACL מורחב. מכיוון שבשיעור של היום אנו מסתכלים על רשימה סטנדרטית, אנו יכולים להשתמש בכל מספר מ-1 עד 99. לאחר מכן אנו מציינים את הפעולה שיש ליישם אם הפרמטרים תואמים את הקריטריון הבא - אפשר או מונע תעבורה. נבחן את הקריטריון מאוחר יותר, מכיוון שהוא משמש גם בתחביר מודרני.

סוג הפקודה המודרני משמש גם במצב הקונפיגורציה הגלובלית Rx(config) ונראה כך: תקן ip access-list <ACL number/name>. כאן אתה יכול להשתמש במספר מ-1 עד 99 או בשם של רשימת ה-ACL, לדוגמה, ACL_Networking. פקודה זו מכניסה את המערכת מיד למצב פקודה משנה במצב Rx (config-std-nacl), שם עליך להזין <deny/enable> <criteria>. לסוג הקבוצות המודרני יש יותר יתרונות בהשוואה לקלאסי.

ברשימה קלאסית, אם אתה מקליד access-list 10 deny ______, אז הקלד את הפקודה הבאה מאותו סוג עבור קריטריון אחר ותסיים עם 100 פקודות כאלה, ואז כדי לשנות כל אחת מהפקודות שהוזנו תצטרך למחוק רשימת הגישה כולה 10 עם הפקודה no access-list 10. זה ימחק את כל 100 הפקודות מכיוון שאין דרך לערוך פקודה בודדת ברשימה זו.

בתחביר מודרני, הפקודה מחולקת לשתי שורות, כאשר הראשונה שבהן מכילה את מספר הרשימה. נניח שאם יש לך תקן רשימת גישה לרשימה 10 דחיית ________, תקן רשימת גישה 20 דחיית ________ וכן הלאה, אז יש לך הזדמנות להוסיף רשימות ביניים עם קריטריונים אחרים ביניהן, למשל, תקן רשימת גישה 15 דחיית ________ .

לחלופין, אתה יכול פשוט למחוק את שורות תקן 20 של רשימת הגישה ולהקליד אותן מחדש עם פרמטרים שונים בין שורות תקן רשימת גישה 10 לבין שורות תקן רשימת גישה 30. לפיכך, ישנן דרכים שונות לערוך תחביר ACL מודרני.

אתה צריך להיות זהיר מאוד בעת יצירת ACL. כידוע, רשימות נקראות מלמעלה למטה. אם תציב בראש קו שמאפשר תעבורה מארח ספציפי, אז למטה תוכל למקם קו שאוסר תעבורה מכל הרשת שהמארח הזה הוא חלק ממנה, ושני התנאים יבדקו - תעבורה למארח ספציפי יורשה לעבור, ותעבורה מכל שאר המארחים הרשת הזו תיחסם. לכן, הצב תמיד ערכים ספציפיים בראש הרשימה וערכים כלליים בתחתית.

לכן, לאחר שיצרת ACL קלאסי או מודרני, עליך ליישם אותו. לשם כך, עליך לעבור להגדרות של ממשק ספציפי, למשל, f0/0 באמצעות ממשק הפקודה <type and slot>, לעבור למצב תת-פקודה של ממשק ולהזין את הפקודה ip access-group <ACL number/ שם> . שימו לב להבדל: בעת הידור של רשימה, נעשה שימוש ברשימת גישה, ובעת החלתה, נעשה שימוש בקבוצת גישה. עליך לקבוע על איזה ממשק רשימה זו תחול - הממשק הנכנס או הממשק היוצא. אם לרשימה יש שם, למשל, Networking, אותו שם חוזר על עצמו בפקודה להחלת הרשימה על ממשק זה.

כעת ניקח בעיה ספציפית וננסה לפתור אותה באמצעות הדוגמה של דיאגרמת הרשת שלנו באמצעות Packet Tracer. אז, יש לנו 4 רשתות: מחלקת מכירות, מחלקת הנהלת חשבונות, ניהול וחדר שרתים.

משימה מס' 1: יש לחסום כל תעבורה המופנית ממחלקות המכירות והפיננסים למחלקת הניהול וחדר השרתים. מיקום החסימה הוא ממשק S0/1/0 של הנתב R2. ראשית עלינו ליצור רשימה המכילה את הערכים הבאים:

בואו נקרא לרשימה "ניהול ואבטחת שרתים ACL", בקיצור ACL Secure_Ma_And_Se. לאחר מכן, איסור תעבורה מרשת מחלקת הכספים 192.168.1.128/26, איסור תעבורה מרשת מחלקת המכירות 192.168.1.0/25, והתרת כל תעבורה אחרת. בסוף הרשימה מצוין שהוא משמש עבור הממשק היוצא S0/1/0 של הנתב R2. אם אין לנו כניסה Permit Any בסוף הרשימה, אז כל תנועה אחרת תיחסם מכיוון שברירת המחדל של ACL מוגדרת תמיד לערך Deny Any בסוף הרשימה.

האם אוכל להחיל ACL זה על ממשק G0/0? כמובן שאני יכול, אבל במקרה הזה רק תעבורה ממחלקת הנהלת החשבונות תיחסם, והתנועה ממחלקת המכירות לא תוגבל בשום צורה. באותו אופן, ניתן להחיל ACL על ממשק G0/1, אך במקרה זה התעבורה של מחלקת הכספים לא תיחסם. כמובן, נוכל ליצור שתי רשימות חסימות נפרדות עבור ממשקים אלו, אך הרבה יותר יעיל לשלב אותן לרשימה אחת ולהחיל אותה על ממשק הפלט של הנתב R2 או על ממשק הקלט S0/1/0 של הנתב R1.

למרות שכללי סיסקו קובעים ש-ACL סטנדרטי צריך להיות ממוקם קרוב ככל האפשר ליעד, אני אמקם אותו קרוב יותר למקור התעבורה כי אני רוצה לחסום את כל התעבורה היוצאת, וזה הגיוני יותר לעשות זאת קרוב יותר ל- מקור כדי שתעבורה זו לא תבזבז את הרשת בין שני נתבים.

שכחתי לספר לכם על הקריטריונים, אז בואו נחזור מהר אחורה. אתה יכול לציין כל כקריטריון - במקרה זה, כל תעבורה מכל מכשיר ומכל רשת תישלל או תותר. אתה יכול גם לציין מארח עם המזהה שלו - במקרה זה, הערך יהיה כתובת ה-IP של מכשיר ספציפי. לבסוף, אתה יכול לציין רשת שלמה, למשל, 192.168.1.10/24. במקרה זה, /24 פירושו נוכחות של מסכת רשת משנה של 255.255.255.0, אך אי אפשר לציין את כתובת ה-IP של מסכת רשת המשנה ב-ACL. במקרה זה, ל-ACL יש מושג שנקרא Wildcart Mask, או "מסיכה הפוכה". לכן עליך לציין את כתובת ה-IP ומסיכת ההחזרה. המסכה ההפוכה נראית כך: עליך להחסיר את מסכת המשנה הישירה ממסכת המשנה הכללית, כלומר, המספר המתאים לערך האוקטט במסכת קדימה מופחת מ-255.

לכן, עליך להשתמש בפרמטר 192.168.1.10 0.0.0.255 כקריטריון ב-ACL.

איך זה עובד? אם יש 0 בשמיניית המסכת ההחזרה, הקריטריון נחשב כתואם לשמינייה המתאימה של כתובת ה-IP של רשת המשנה. אם יש מספר בשמינית המסכה האחורית, ההתאמה לא נבדקת. לפיכך, עבור רשת של 192.168.1.0 ומסיכת החזרה של 0.0.0.255, כל התעבורה מכתובות ששלושת האוקטטים הראשונים שלהן שוות ל-192.168.1, ללא קשר לערך השמינייה הרביעית, תיחסם או תתאפשר בהתאם הפעולה שצוינה.

השימוש במסכה הפוכה הוא קל, ונחזור למסכת Wildcart בסרטון הבא כדי שאוכל להסביר כיצד לעבוד איתה.

28:50 דקות

תודה שנשארת איתנו. האם אתה אוהב את המאמרים שלנו? רוצים לראות עוד תוכן מעניין? תמכו בנו על ידי ביצוע הזמנה או המלצה לחברים, 30% הנחה למשתמשי Habr על אנלוגי ייחודי של שרתים ברמת הכניסה, שהומצא על ידינו עבורכם: כל האמת על VPS (KVM) E5-2650 v4 (6 ליבות) 10GB DDR4 240GB SSD 1Gbps החל מ-$20 או איך לשתף שרת? (זמין עם RAID1 ו-RAID10, עד 24 ליבות ועד 40GB DDR4).

Dell R730xd זול פי 2? רק כאן 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV החל מ-$199 בהולנד! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - החל מ-$99! לקרוא על כיצד לבנות תשתיות קורפ. מחלקה עם שימוש בשרתי Dell R730xd E5-2650 v4 בשווי 9000 יורו עבור אגורה?

מקור: www.habr.com