Cisco Training 200-125 CCNA v3.0. ថ្ងៃទី 27. ការណែនាំអំពី ACL ។ ផ្នែកទី 1

ថ្ងៃនេះយើងនឹងចាប់ផ្តើមសិក្សាអំពីបញ្ជីគ្រប់គ្រងការចូលប្រើ ACL ប្រធានបទនេះនឹងលើកយកមេរៀនវីដេអូចំនួន 2 ។ យើងនឹងពិនិត្យមើលការកំណត់រចនាសម្ព័ន្ធ ACL ស្តង់ដារ ហើយនៅក្នុងការបង្រៀនវីដេអូបន្ទាប់ខ្ញុំនឹងនិយាយអំពីបញ្ជីបន្ថែម។

នៅក្នុងមេរៀននេះ យើងនឹងលើកយកប្រធានបទចំនួន ៣។ ទីមួយគឺជាអ្វី ACL ទីពីរគឺភាពខុសគ្នារវាងស្តង់ដារ និងបញ្ជីចូលដំណើរការបន្ថែម ហើយនៅចុងបញ្ចប់នៃមេរៀន ជាមន្ទីរពិសោធន៍ យើងនឹងពិនិត្យមើលការបង្កើត ACL ស្តង់ដារ និងការដោះស្រាយបញ្ហាដែលអាចកើតមាន។
ដូច្នេះតើ ACL គឺជាអ្វី? ប្រសិនបើអ្នកបានសិក្សាវគ្គសិក្សាពីមេរៀនវីដេអូដំបូង នោះអ្នកចងចាំពីរបៀបដែលយើងរៀបចំទំនាក់ទំនងរវាងឧបករណ៍បណ្តាញផ្សេងៗ។

យើងក៏បានសិក្សាអំពីការកំណត់ផ្លូវឋិតិវន្តលើពិធីការផ្សេងៗ ដើម្បីទទួលបានជំនាញក្នុងការរៀបចំទំនាក់ទំនងរវាងឧបករណ៍ និងបណ្តាញ។ ឥឡូវនេះយើងបានឈានដល់ដំណាក់កាលសិក្សាដែលយើងគួរព្រួយបារម្ភអំពីការធានាការគ្រប់គ្រងចរាចរណ៍ ពោលគឺការពារ "មនុស្សអាក្រក់" ឬអ្នកប្រើប្រាស់ដែលគ្មានការអនុញ្ញាតពីការជ្រៀតចូលបណ្តាញ។ ជាឧទាហរណ៍ វាអាចទាក់ទងនឹងមនុស្សមកពីផ្នែកលក់ SALES ដែលត្រូវបានបង្ហាញក្នុងដ្យាក្រាមនេះ។ នៅទីនេះ យើងក៏បង្ហាញពីនាយកដ្ឋានហិរញ្ញវត្ថុ គណនី នាយកដ្ឋានគ្រប់គ្រង ការគ្រប់គ្រង និងបន្ទប់ម៉ាស៊ីនមេ SERVER ROOM ។
ដូច្នេះ នាយកដ្ឋានលក់អាចមានបុគ្គលិកមួយរយនាក់ ហើយយើងមិនចង់ឱ្យពួកគេណាម្នាក់អាចទៅដល់បន្ទប់ម៉ាស៊ីនមេតាមបណ្តាញនោះទេ។ ករណីលើកលែងមួយត្រូវបានធ្វើឡើងសម្រាប់អ្នកគ្រប់គ្រងផ្នែកលក់ដែលធ្វើការលើកុំព្យូទ័រ Laptop2 - គាត់អាចចូលប្រើបន្ទប់ម៉ាស៊ីនមេបាន។ និយោជិតថ្មីដែលធ្វើការលើ Laptop3 មិនគួរមានការចូលប្រើបែបនេះទេ ពោលគឺប្រសិនបើចរាចរណ៍ពីកុំព្យូទ័ររបស់គាត់ទៅដល់ Router R2 វាគួរតែត្រូវបានគេទម្លាក់ចោល។

តួនាទីរបស់ ACL គឺដើម្បីត្រងចរាចរតាមប៉ារ៉ាម៉ែត្រតម្រងដែលបានបញ្ជាក់។ ពួកវារួមបញ្ចូលអាសយដ្ឋាន IP ប្រភព អាសយដ្ឋាន IP ទិសដៅ ពិធីការ ចំនួនច្រក និងប៉ារ៉ាម៉ែត្រផ្សេងទៀត អរគុណដែលអ្នកអាចកំណត់អត្តសញ្ញាណចរាចរណ៍ និងធ្វើសកម្មភាពមួយចំនួនជាមួយវា។

ដូច្នេះ ACL គឺជាយន្តការត្រងស្រទាប់ទី 3 នៃគំរូ OSI ។ នេះមានន័យថាយន្តការនេះត្រូវបានប្រើនៅក្នុងរ៉ោតទ័រ។ លក្ខណៈវិនិច្ឆ័យចម្បងសម្រាប់ការត្រងគឺការកំណត់អត្តសញ្ញាណនៃចរន្តទិន្នន័យ។ ជាឧទាហរណ៍ ប្រសិនបើយើងចង់រារាំងបុរសម្នាក់ដែលមានកុំព្យូទ័រ Laptop3 ពីការចូលប្រើ server ជាដំបូងយើងត្រូវកំណត់អត្តសញ្ញាណចរាចរណ៍របស់គាត់។ ចរាចរណ៍នេះផ្លាស់ទីក្នុងទិសដៅនៃ Laptop-Switch2-R2-R1-Switch1-Server1 តាមរយៈចំណុចប្រទាក់ដែលត្រូវគ្នានៃឧបករណ៍បណ្តាញ ខណៈដែលចំណុចប្រទាក់ G0/0 នៃរ៉ោតទ័រមិនមានអ្វីដែលត្រូវធ្វើជាមួយវា។

ដើម្បីកំណត់អត្តសញ្ញាណចរាចរណ៍ យើងត្រូវកំណត់ផ្លូវរបស់វា។ ដោយបានធ្វើដូចនេះ យើងអាចសម្រេចចិត្តថាតើយើងត្រូវការដំឡើងតម្រងនៅកន្លែងណាពិតប្រាកដ។ កុំបារម្ភអំពីតម្រងខ្លួនឯង យើងនឹងពិភាក្សាពួកវានៅក្នុងមេរៀនបន្ទាប់ សម្រាប់ពេលនេះ យើងត្រូវយល់ពីគោលការណ៍នៃចំណុចប្រទាក់ដែលតម្រងគួរតែត្រូវបានអនុវត្ត។

ប្រសិនបើអ្នកក្រឡេកមើលរ៉ោតទ័រ អ្នកអាចមើលឃើញថារាល់ពេលដែលចរាចរណ៍ផ្លាស់ទី វាមានចំណុចប្រទាក់ដែលលំហូរទិន្នន័យចូលមក និងចំណុចប្រទាក់ដែលលំហូរនេះចេញមក។

តាមពិតមាន 3 ចំណុចប្រទាក់៖ ចំណុចប្រទាក់បញ្ចូល ចំណុចប្រទាក់លទ្ធផល និងចំណុចប្រទាក់ផ្ទាល់របស់រ៉ោតទ័រ។ គ្រាន់តែចាំថាការត្រងអាចត្រូវបានអនុវត្តចំពោះចំណុចប្រទាក់បញ្ចូលឬលទ្ធផលប៉ុណ្ណោះ។

គោលការណ៍នៃប្រតិបត្តិការ ACL គឺស្រដៀងគ្នាទៅនឹងការបញ្ជូនទៅកាន់ព្រឹត្តិការណ៍ដែលអាចចូលរួមបានតែភ្ញៀវទាំងនោះដែលមានឈ្មោះនៅក្នុងបញ្ជីអ្នកដែលបានអញ្ជើញប៉ុណ្ណោះ។ ACL គឺជាបញ្ជីនៃប៉ារ៉ាម៉ែត្រគុណវុឌ្ឍិដែលត្រូវបានប្រើដើម្បីកំណត់អត្តសញ្ញាណចរាចរណ៍។ ឧទាហរណ៍ បញ្ជីនេះបង្ហាញថាចរាចរណ៍ទាំងអស់ត្រូវបានអនុញ្ញាតពីអាសយដ្ឋាន IP 192.168.1.10 ហើយចរាចរណ៍ពីអាសយដ្ឋានផ្សេងទៀតទាំងអស់ត្រូវបានបដិសេធ។ ដូចដែលខ្ញុំបាននិយាយ បញ្ជីនេះអាចត្រូវបានអនុវត្តទៅទាំងចំណុចប្រទាក់បញ្ចូល និងទិន្នផល។

មាន 2 ប្រភេទនៃ ACLs: ស្តង់ដារនិងពង្រីក។ ACL ស្ដង់ដារមានលេខសម្គាល់ពី 1 ដល់ 99 ឬពី 1300 ដល់ 1999 ។ ទាំងនេះគ្រាន់តែជាបញ្ជីឈ្មោះដែលមិនមានគុណសម្បត្តិអ្វីពីគ្នាទៅវិញទៅមកនៅពេលដែលចំនួនលេខកើនឡើង។ បន្ថែមពីលើលេខ អ្នកអាចកំណត់ឈ្មោះរបស់អ្នកទៅ ACL ។ Extended ACLs ត្រូវបានដាក់លេខពី 100 ទៅ 199 ឬ 2000 ដល់ 2699 ហើយក៏អាចមានឈ្មោះផងដែរ។

នៅក្នុង ACL ស្តង់ដារ ការចាត់ថ្នាក់គឺផ្អែកលើអាសយដ្ឋាន IP ប្រភពនៃចរាចរណ៍។ ដូច្នេះហើយ នៅពេលប្រើបញ្ជីបែបនេះ អ្នកមិនអាចដាក់កម្រិតចរាចរណ៍ដែលដឹកនាំទៅកាន់ប្រភពណាមួយបានទេ អ្នកអាចទប់ស្កាត់ចរាចរណ៍ដែលមានប្រភពចេញពីឧបករណ៍ប៉ុណ្ណោះ។

ACL បន្ថែម ចាត់ថ្នាក់ចរាចរណ៍តាមអាសយដ្ឋាន IP ប្រភព អាសយដ្ឋាន IP ទិសដៅ ពិធីការដែលបានប្រើ និងលេខច្រក។ ឧទាហរណ៍ អ្នកអាចបិទតែចរាចរណ៍ FTP ឬតែចរាចរ HTTP ប៉ុណ្ណោះ។ ថ្ងៃនេះយើងនឹងពិនិត្យមើលស្តង់ដារ ACL ហើយយើងនឹងលះបង់មេរៀនវីដេអូបន្ទាប់ទៅកាន់បញ្ជីបន្ថែម។

ដូចដែលខ្ញុំបាននិយាយ ACL គឺជាបញ្ជីលក្ខខណ្ឌ។ បន្ទាប់ពីអ្នកអនុវត្តបញ្ជីនេះទៅចំណុចប្រទាក់ចូល ឬចេញរបស់រ៉ោតទ័រ រ៉ោតទ័រពិនិត្យចរាចរណ៍ប្រឆាំងនឹងបញ្ជីនេះ ហើយប្រសិនបើវាបំពេញតាមលក្ខខណ្ឌដែលមានចែងក្នុងបញ្ជី វាសម្រេចថាតើត្រូវអនុញ្ញាត ឬបដិសេធចរាចរណ៍នេះ។ មនុស្សច្រើនតែពិបាកកំណត់ចំណុចប្រទាក់បញ្ចូល និងទិន្នផលរបស់រ៉ោតទ័រ ទោះបីជាមិនមានអ្វីស្មុគស្មាញនៅទីនេះក៏ដោយ។ នៅពេលយើងនិយាយអំពីចំណុចប្រទាក់ចូល នេះមានន័យថាមានតែចរាចរណ៍ចូលប៉ុណ្ណោះដែលនឹងត្រូវបានគ្រប់គ្រងនៅលើច្រកនេះ ហើយរ៉ោតទ័រនឹងមិនអនុវត្តការរឹតបន្តឹងចំពោះចរាចរណ៍ដែលចេញនោះទេ។ ស្រដៀងគ្នានេះដែរ ប្រសិនបើយើងកំពុងនិយាយអំពីចំណុចប្រទាក់ egress នេះមានន័យថា ច្បាប់ទាំងអស់នឹងអនុវត្តចំពោះតែចរាចរណ៍ចេញប៉ុណ្ណោះ ខណៈដែលចរាចរណ៍ចូលនៅលើច្រកនេះនឹងត្រូវបានទទួលយកដោយគ្មានការរឹតបន្តឹង។ ឧទាហរណ៍ ប្រសិនបើរ៉ោតទ័រមានច្រកចំនួន 2៖ f0/0 និង f0/1 នោះ ACL នឹងត្រូវបានអនុវត្តតែចំពោះចរាចរដែលចូលទៅចំណុចប្រទាក់ f0/0 ឬសម្រាប់តែចរាចរដែលមានប្រភពចេញពីចំណុចប្រទាក់ f0/1 ប៉ុណ្ណោះ។ ចរាចរណ៍ចូល ឬចាកចេញពីចំណុចប្រទាក់ f0/1 នឹងមិនត្រូវបានប៉ះពាល់ដោយបញ្ជីនោះទេ។

ដូច្នេះមិនត្រូវច្រឡំដោយទិសដៅចូលឬចេញនៃចំណុចប្រទាក់នោះទេវាអាស្រ័យលើទិសដៅនៃចរាចរណ៍ជាក់លាក់។ ដូច្នេះបន្ទាប់ពីរ៉ោតទ័របានពិនិត្យចរាចរសម្រាប់ការផ្គូផ្គងលក្ខខណ្ឌ ACL វាអាចធ្វើការសម្រេចចិត្តបានតែពីរប៉ុណ្ណោះ: អនុញ្ញាតឱ្យចរាចរឬបដិសេធវា។ ឧទាហរណ៍ អ្នកអាចអនុញ្ញាតចរាចរណ៍ដែលកំណត់សម្រាប់ 180.160.1.30 ហើយបដិសេធចរាចរណ៍ដែលបានកំណត់សម្រាប់ 192.168.1.10។ បញ្ជីនីមួយៗអាចមានលក្ខខណ្ឌជាច្រើន ប៉ុន្តែលក្ខខណ្ឌទាំងនេះនីមួយៗត្រូវតែអនុញ្ញាត ឬបដិសេធ។

ឧបមាថាយើងមានបញ្ជី៖

ហាមឃាត់ _______
អនុញ្ញាត ________
អនុញ្ញាត ________
ហាមឃាត់ _________ ។

ទីមួយ រ៉ោតទ័រនឹងពិនិត្យចរាចរណ៍ ដើម្បីមើលថាតើវាត្រូវគ្នានឹងលក្ខខណ្ឌទីមួយឬអត់ ប្រសិនបើវាមិនត្រូវគ្នា វានឹងពិនិត្យមើលលក្ខខណ្ឌទីពីរ។ ប្រសិនបើចរាចរណ៍ត្រូវគ្នានឹងលក្ខខណ្ឌទីបី រ៉ោតទ័រនឹងឈប់ពិនិត្យ ហើយនឹងមិនប្រៀបធៀបវាជាមួយនឹងលក្ខខណ្ឌបញ្ជីដែលនៅសល់នោះទេ។ វានឹងអនុវត្តសកម្មភាព "អនុញ្ញាត" ហើយបន្តទៅពិនិត្យផ្នែកបន្ទាប់នៃចរាចរណ៍។

ក្នុងករណីដែលអ្នកមិនបានកំណត់ច្បាប់សម្រាប់កញ្ចប់ព័ត៌មានណាមួយ ហើយចរាចរណ៍ឆ្លងកាត់គ្រប់បន្ទាត់ទាំងអស់នៃបញ្ជីដោយមិនប៉ះពាល់ដល់លក្ខខណ្ឌណាមួយ វាត្រូវបានបំផ្លាញព្រោះបញ្ជី ACL នីមួយៗតាមលំនាំដើមបញ្ចប់ដោយការបដិសេធពាក្យបញ្ជាណាមួយ - នោះគឺបោះបង់។ កញ្ចប់ណាមួយ មិនស្ថិតនៅក្រោមច្បាប់ណាមួយឡើយ។ លក្ខខណ្ឌនេះមានប្រសិទ្ធភាព ប្រសិនបើយ៉ាងហោចណាស់មានច្បាប់មួយនៅក្នុងបញ្ជី បើមិនដូច្នេះទេ វាគ្មានប្រសិទ្ធភាពទេ។ ប៉ុន្តែប្រសិនបើជួរទីមួយមានធាតុបដិសេធ 192.168.1.30 ហើយបញ្ជីមិនមានលក្ខខណ្ឌទៀតទេ នោះនៅចុងបញ្ចប់គួរតែមានពាក្យបញ្ជាអនុញ្ញាតណាមួយ ពោលគឺអនុញ្ញាតចរាចរណ៍ណាមួយ លើកលែងតែត្រូវបានហាមឃាត់ដោយច្បាប់។ អ្នកត្រូវតែយកវាទៅក្នុងគណនីដើម្បីជៀសវាងកំហុសនៅពេលកំណត់រចនាសម្ព័ន្ធ ACL ។

ខ្ញុំចង់ឱ្យអ្នកចងចាំច្បាប់ជាមូលដ្ឋាននៃការបង្កើតបញ្ជី ASL៖ ដាក់ស្តង់ដារ ASL ឱ្យជិតបំផុតតាមដែលអាចធ្វើទៅបានទៅកាន់គោលដៅ ពោលគឺទៅកាន់អ្នកទទួលចរាចរណ៍ ហើយដាក់ ASL ដែលបានពង្រីកឱ្យជិតបំផុតតាមដែលអាចធ្វើទៅបានចំពោះប្រភព ពោលគឺ ទៅអ្នកផ្ញើចរាចរណ៍។ ទាំងនេះគឺជាការណែនាំរបស់ Cisco ប៉ុន្តែនៅក្នុងការអនុវត្តមានស្ថានភាពដែលវាសមហេតុផលបន្ថែមទៀតក្នុងការដាក់ ACL ស្តង់ដារនៅជិតប្រភពចរាចរណ៍។ ប៉ុន្តែប្រសិនបើអ្នកជួបប្រទះសំណួរអំពីច្បាប់ដាក់ ACL អំឡុងពេលប្រឡង សូមធ្វើតាមការណែនាំរបស់ Cisco ហើយឆ្លើយដោយមិនច្បាស់លាស់៖ ស្តង់ដារគឺខិតទៅជិតគោលដៅ ពង្រីកគឺកាន់តែជិតប្រភព។

ឥឡូវសូមមើលវាក្យសម្ព័ន្ធនៃ ACL ស្តង់ដារ។ វាក្យសម្ព័ន្ធពាក្យបញ្ជាមានពីរប្រភេទនៅក្នុងរបៀបកំណត់រចនាសម្ព័ន្ធសកលរបស់រ៉ោតទ័រ៖ វាក្យសម្ព័ន្ធបុរាណ និងវាក្យសម្ព័ន្ធទំនើប។

ប្រភេទពាក្យបញ្ជាបុរាណគឺ access-list <ACL number> <deny/allow> <criteria> ។ ប្រសិនបើអ្នកកំណត់ <ACL number> ពី 1 ដល់ 99 ឧបករណ៍នឹងយល់ដោយស្វ័យប្រវត្តិថានេះគឺជា ACL ស្តង់ដារ ហើយប្រសិនបើវាគឺពី 100 ដល់ 199 នោះវាគឺជាការបន្ថែមមួយ។ ដោយសារនៅក្នុងមេរៀនថ្ងៃនេះ យើងកំពុងមើលបញ្ជីស្តង់ដារ យើងអាចប្រើលេខណាមួយពី 1 ដល់ 99។ បន្ទាប់មកយើងបង្ហាញពីសកម្មភាពដែលត្រូវអនុវត្ត ប្រសិនបើប៉ារ៉ាម៉ែត្រត្រូវគ្នានឹងលក្ខណៈវិនិច្ឆ័យខាងក្រោម - អនុញ្ញាត ឬបដិសេធចរាចរណ៍។ យើងនឹងពិចារណាលក្ខណៈវិនិច្ឆ័យនៅពេលក្រោយ ដោយសារវាត្រូវបានគេប្រើផងដែរនៅក្នុងវាក្យសម្ព័ន្ធទំនើប។

ប្រភេទពាក្យបញ្ជាទំនើបក៏ត្រូវបានប្រើនៅក្នុងរបៀបកំណត់រចនាសម្ព័ន្ធសកល Rx(config) ហើយមើលទៅដូចនេះ៖ ip access-list standard <ACL number/name>។ នៅទីនេះអ្នកអាចប្រើលេខពី 1 ដល់ 99 ឬឈ្មោះនៃបញ្ជី ACL ឧទាហរណ៍ ACL_Networking ។ ពាក្យបញ្ជានេះដាក់ប្រព័ន្ធភ្លាមៗទៅក្នុងរបៀបបញ្ជារង Rx standard mode (config-std-nacl) ដែលអ្នកត្រូវបញ្ចូល <deny/enable> <criteria> ។ ប្រភេទក្រុមទំនើបមានគុណសម្បត្តិច្រើនជាងបើប្រៀបធៀបទៅនឹងក្រុមបុរាណ។

នៅក្នុងបញ្ជីបុរាណ ប្រសិនបើអ្នកវាយ access-list 10 deny ______ បន្ទាប់មកវាយពាក្យបញ្ជាបន្ទាប់នៃប្រភេទដូចគ្នាសម្រាប់លក្ខណៈវិនិច្ឆ័យផ្សេងទៀត ហើយអ្នកបញ្ចប់ដោយ 100 ពាក្យបញ្ជាបែបនេះ បន្ទាប់មកដើម្បីផ្លាស់ប្តូរពាក្យបញ្ជាណាមួយដែលបានបញ្ចូល អ្នកនឹងត្រូវ លុបបញ្ជីការចូលដំណើរការទាំងមូល 10 ដោយប្រើពាក្យបញ្ជា no access-list 10។ វានឹងលុបពាក្យបញ្ជាទាំង 100 ពីព្រោះមិនមានវិធីដើម្បីកែសម្រួលពាក្យបញ្ជាបុគ្គលណាមួយនៅក្នុងបញ្ជីនេះទេ។

នៅក្នុងវាក្យសម្ព័ន្ធទំនើប ពាក្យបញ្ជាត្រូវបានបែងចែកជាពីរជួរ ដែលទីមួយមានលេខបញ្ជី។ ឧបមាថាប្រសិនបើអ្នកមានស្តង់ដារបញ្ជីចូលដំណើរការ 10 បដិសេធ ________ ស្តង់ដារចូលប្រើបញ្ជី 20 បដិសេធ ________ និងបន្តបន្ទាប់ នោះអ្នកមានឱកាសដើម្បីបញ្ចូលបញ្ជីកម្រិតមធ្យមជាមួយនឹងលក្ខណៈវិនិច្ឆ័យផ្សេងទៀតរវាងពួកគេ ឧទាហរណ៍ ស្តង់ដារចូលប្រើបញ្ជី 15 បដិសេធ ________ .

ម៉្យាងទៀត អ្នកគ្រាន់តែអាចលុបបន្ទាត់ស្តង់ដារចូលដំណើរការ 20 បន្ទាត់ ហើយវាយបញ្ចូលពួកវាឡើងវិញជាមួយនឹងប៉ារ៉ាម៉ែត្រផ្សេងគ្នារវាងស្តង់ដារបញ្ជីចូលដំណើរការ 10 និងស្តង់ដារចូលប្រើបញ្ជី 30 ។ ដូច្នេះ មានវិធីជាច្រើនដើម្បីកែសម្រួលវាក្យសម្ព័ន្ធ ACL ទំនើប។

អ្នកត្រូវប្រុងប្រយ័ត្នខ្លាំងនៅពេលបង្កើត ACLs។ ដូចដែលអ្នកដឹងបញ្ជីត្រូវបានអានពីកំពូលទៅបាត។ ប្រសិនបើអ្នកដាក់បន្ទាត់នៅផ្នែកខាងលើដែលអនុញ្ញាតឱ្យចរាចរពីម៉ាស៊ីនជាក់លាក់មួយ បន្ទាប់មកខាងក្រោមអ្នកអាចដាក់បន្ទាត់ដែលហាមឃាត់ចរាចរណ៍ពីបណ្តាញទាំងមូលដែលម៉ាស៊ីននេះជាផ្នែកមួយ ហើយលក្ខខណ្ឌទាំងពីរនឹងត្រូវបានត្រួតពិនិត្យ - ចរាចរណ៍ទៅកាន់ម៉ាស៊ីនជាក់លាក់មួយនឹង ត្រូវបានអនុញ្ញាតឱ្យឆ្លងកាត់ ហើយចរាចរណ៍ពីម៉ាស៊ីនផ្សេងទៀតទាំងអស់បណ្តាញនេះនឹងត្រូវបានរារាំង។ ដូច្នេះ តែងតែដាក់ធាតុជាក់លាក់នៅផ្នែកខាងលើនៃបញ្ជី និងធាតុទូទៅនៅខាងក្រោម។

ដូច្នេះបន្ទាប់ពីអ្នកបានបង្កើត ACL បុរាណ ឬទំនើប អ្នកត្រូវតែអនុវត្តវា។ ដើម្បីធ្វើដូចនេះអ្នកត្រូវចូលទៅកាន់ការកំណត់នៃចំណុចប្រទាក់ជាក់លាក់មួយ ឧទាហរណ៍ f0/0 ដោយប្រើចំណុចប្រទាក់ពាក្យបញ្ជា <ប្រភេទ និងរន្ធ> ចូលទៅកាន់របៀបបញ្ជារងនៃចំណុចប្រទាក់ ហើយបញ្ចូលពាក្យបញ្ជា ip access-group <ACL number/ ឈ្មោះ > . សូមកត់សម្គាល់ភាពខុសគ្នា៖ នៅពេលចងក្រងបញ្ជី បញ្ជីចូលប្រើត្រូវបានប្រើ ហើយនៅពេលអនុវត្តវា ក្រុមការចូលប្រើត្រូវបានប្រើ។ អ្នកត្រូវតែកំណត់ថាតើចំណុចប្រទាក់ណាមួយដែលបញ្ជីនេះនឹងត្រូវបានអនុវត្តទៅ - ចំណុចប្រទាក់ចូលឬចំណុចប្រទាក់ចេញ។ ប្រសិនបើបញ្ជីមានឈ្មោះមួយ ឧទាហរណ៍ បណ្តាញ ឈ្មោះដូចគ្នាត្រូវបានធ្វើម្តងទៀតនៅក្នុងពាក្យបញ្ជា ដើម្បីអនុវត្តបញ្ជីនៅលើចំណុចប្រទាក់នេះ។

ឥឡូវនេះសូមលើកយកបញ្ហាជាក់លាក់មួយ ហើយព្យាយាមដោះស្រាយវាដោយប្រើឧទាហរណ៍នៃដ្យាក្រាមបណ្តាញរបស់យើងដោយប្រើ Packet Tracer។ ដូច្នេះ យើងមានបណ្តាញចំនួន 4 គឺ ផ្នែកលក់ នាយកដ្ឋានគណនេយ្យ ការគ្រប់គ្រង និងបន្ទប់ម៉ាស៊ីនមេ។

កិច្ចការទី 1៖ ចរាចរណ៍ទាំងអស់ដែលដឹកនាំពីផ្នែកលក់ និងហិរញ្ញវត្ថុទៅកាន់ផ្នែកគ្រប់គ្រង និងបន្ទប់ម៉ាស៊ីនមេត្រូវតែត្រូវបានរារាំង។ ទីតាំងទប់ស្កាត់គឺចំណុចប្រទាក់ S0/1/0 នៃរ៉ោតទ័រ R2 ។ ដំបូងយើងត្រូវបង្កើតបញ្ជីដែលមានធាតុដូចខាងក្រោមៈ

ចូរហៅបញ្ជី "ការគ្រប់គ្រង និងសុវត្ថិភាពម៉ាស៊ីនមេ ACL" ដែលអក្សរកាត់ថា ACL Secure_Ma_And_Se ។ វាត្រូវបានបន្តដោយការហាមឃាត់ចរាចរណ៍ពីបណ្តាញនាយកដ្ឋានហិរញ្ញវត្ថុ 192.168.1.128/26 ហាមឃាត់ចរាចរណ៍ពីបណ្តាញនាយកដ្ឋានលក់ 192.168.1.0/25 និងអនុញ្ញាតឱ្យមានចរាចរណ៍ផ្សេងទៀត។ នៅចុងបញ្ចប់នៃបញ្ជីវាត្រូវបានបង្ហាញថាវាត្រូវបានប្រើសម្រាប់ចំណុចប្រទាក់ចេញ S0/1/0 នៃរ៉ោតទ័រ R2 ។ ប្រសិនបើយើងមិនមានការអនុញ្ញាតណាមួយនៅចុងបញ្ចប់នៃបញ្ជីទេ នោះចរាចរណ៍ផ្សេងទៀតទាំងអស់នឹងត្រូវបានរារាំង ដោយសារ ACL លំនាំដើមតែងតែត្រូវបានកំណត់ទៅជាបដិសេធរាល់ធាតុនៅចុងបញ្ចប់នៃបញ្ជី។

តើខ្ញុំអាចអនុវត្ត ACL នេះទៅចំណុចប្រទាក់ G0/0 បានទេ? ជាការពិតណាស់ខ្ញុំអាចធ្វើបាន ប៉ុន្តែក្នុងករណីនេះមានតែចរាចរណ៍ពីនាយកដ្ឋានគណនេយ្យប៉ុណ្ណោះដែលនឹងត្រូវបានរារាំង ហើយចរាចរណ៍ពីផ្នែកលក់នឹងមិនត្រូវបានកំណត់តាមមធ្យោបាយណាមួយឡើយ។ តាមរបៀបដូចគ្នា អ្នកអាចអនុវត្ត ACL ទៅចំណុចប្រទាក់ G0/1 ប៉ុន្តែក្នុងករណីនេះ ចរាចរណ៍ផ្នែកហិរញ្ញវត្ថុនឹងមិនត្រូវបានរារាំងទេ។ ជាការពិតណាស់ យើងអាចបង្កើតបញ្ជីប្លុកពីរដាច់ដោយឡែកសម្រាប់ចំណុចប្រទាក់ទាំងនេះ ប៉ុន្តែវាមានប្រសិទ្ធភាពជាងក្នុងការបញ្ចូលពួកវាទៅក្នុងបញ្ជីតែមួយ ហើយអនុវត្តវាទៅចំណុចប្រទាក់លទ្ធផលនៃរ៉ោតទ័រ R2 ឬចំណុចប្រទាក់បញ្ចូល S0/1/0 នៃរ៉ោតទ័រ R1 ។

ទោះបីជាច្បាប់របស់ Cisco ចែងថា ACL ស្ដង់ដារគួរតែត្រូវបានដាក់ឱ្យជិតដល់គោលដៅតាមដែលអាចធ្វើទៅបានក៏ដោយ ខ្ញុំនឹងដាក់វាឱ្យជិតប្រភពនៃចរាចរណ៍ ព្រោះខ្ញុំចង់បិទចរាចរណ៍ដែលចេញទាំងអស់ ហើយវាសមហេតុផលបន្ថែមទៀតក្នុងការធ្វើវាឱ្យកាន់តែជិត។ ប្រភព ដូច្នេះថាចរាចរនេះមិនខ្ជះខ្ជាយបណ្តាញរវាងរ៉ោតទ័រពីរ។

ខ្ញុំ​ភ្លេច​ប្រាប់​អ្នក​ពី​លក្ខណៈ​វិនិច្ឆ័យ ដូច្នេះ​សូម​ប្រញាប់​ត្រឡប់​ទៅ​វិញ។ អ្នកអាចបញ្ជាក់ណាមួយជាលក្ខណៈវិនិច្ឆ័យ - ក្នុងករណីនេះ ចរាចរណ៍ពីឧបករណ៍ណាមួយ និងបណ្តាញណាមួយនឹងត្រូវបានបដិសេធ ឬអនុញ្ញាត។ អ្នកក៏អាចបញ្ជាក់ម៉ាស៊ីនជាមួយឧបករណ៍កំណត់អត្តសញ្ញាណរបស់វាផងដែរ - ក្នុងករណីនេះ ធាតុចូលនឹងជាអាសយដ្ឋាន IP របស់ឧបករណ៍ជាក់លាក់មួយ។ ជាចុងក្រោយ អ្នកអាចបញ្ជាក់បណ្តាញទាំងមូល ឧទាហរណ៍ 192.168.1.10/24។ ក្នុងករណីនេះ /24 នឹងមានន័យថាវត្តមាននៃរបាំងបណ្តាញរងនៃ 255.255.255.0 ប៉ុន្តែវាមិនអាចបញ្ជាក់អាសយដ្ឋាន IP នៃរបាំងបណ្តាញរងនៅក្នុង ACL បានទេ។ ចំពោះករណីនេះ ACL មានគំនិតមួយហៅថា Wildcart Mask ឬ "របាំងបញ្ច្រាស" ។ ដូច្នេះអ្នកត្រូវតែបញ្ជាក់អាសយដ្ឋាន IP និងរបាំងត្រឡប់មកវិញ។ របាំងបញ្ច្រាសមើលទៅដូចនេះ៖ អ្នកត្រូវតែដករបាំងបណ្ដាញរងផ្ទាល់ពីរបាំងបណ្ដាញរងទូទៅ ពោលគឺលេខដែលត្រូវគ្នានឹងតម្លៃ octet នៅក្នុងរបាំងមុខត្រូវបានដកពី 255 ។

ដូច្នេះ អ្នកគួរតែប្រើប៉ារ៉ាម៉ែត្រ 192.168.1.10 0.0.0.255 ជាលក្ខណៈវិនិច្ឆ័យនៅក្នុង ACL ។

តើវាដំណើរការយ៉ាងដូចម្តេច? ប្រសិនបើមាន 0 ក្នុង octet របាំងត្រឡប់មកវិញ លក្ខណៈវិនិច្ឆ័យត្រូវបានចាត់ទុកថាត្រូវគ្នានឹង octet ដែលត្រូវគ្នានៃអាសយដ្ឋាន IP បណ្តាញរង។ ប្រសិនបើមានលេខនៅក្នុង backmask octet ការផ្គូផ្គងមិនត្រូវបានធីកទេ។ ដូច្នេះ សម្រាប់បណ្តាញ 192.168.1.0 និងរបាំងត្រឡប់មកវិញនៃ 0.0.0.255 ចរាចរណ៍ទាំងអស់ពីអាសយដ្ឋានដែល octet បីដំបូងស្មើនឹង 192.168.1។ ដោយមិនគិតពីតម្លៃនៃ octet ទីបួន នឹងត្រូវបានរារាំង ឬអនុញ្ញាតអាស្រ័យលើ សកម្មភាពដែលបានបញ្ជាក់។

ការប្រើរបាំងបញ្ច្រាសគឺងាយស្រួល ហើយយើងនឹងត្រលប់មក Wildcart Mask នៅក្នុងវីដេអូបន្ទាប់ ដូច្នេះខ្ញុំអាចពន្យល់ពីរបៀបធ្វើការជាមួយវា។

៣៧:៤០ នាទី

សូមអរគុណចំពោះការស្នាក់នៅជាមួយពួកយើង។ តើអ្នកចូលចិត្តអត្ថបទរបស់យើងទេ? ចង់មើលខ្លឹមសារគួរឱ្យចាប់អារម្មណ៍បន្ថែមទៀតទេ? គាំទ្រយើងដោយការបញ្ជាទិញឬណែនាំដល់មិត្តភក្តិ, ការបញ្ចុះតម្លៃ 30% សម្រាប់អ្នកប្រើប្រាស់ Habr នៅលើ analogue តែមួយគត់នៃម៉ាស៊ីនមេកម្រិតធាតុ ដែលត្រូវបានបង្កើតឡើងដោយពួកយើងសម្រាប់អ្នក៖ ការពិតទាំងមូលអំពី VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps ចាប់ពី $20 ឬរបៀបចែករំលែកម៉ាស៊ីនមេ? (អាចប្រើបានជាមួយ RAID1 និង RAID10 រហូតដល់ 24 cores និងរហូតដល់ 40GB DDR4)។

Dell R730xd ថោកជាង 2 ដង? នៅទីនេះ 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV ចាប់ពី $199 នៅប្រទេសហូឡង់! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - ចាប់ពី $99! អាន​អំពី របៀបបង្កើតក្រុមហ៊ុនហេដ្ឋារចនាសម្ព័ន្ធ ថ្នាក់ជាមួយនឹងការប្រើប្រាស់ម៉ាស៊ីនមេ Dell R730xd E5-2650 v4 ដែលមានតម្លៃ 9000 អឺរ៉ូសម្រាប់មួយកាក់?

ប្រភព: www.habr.com