시스코 교육 200-125 CCNA v3.0. 27일차. ACL 소개. 1 부

오늘 우리는 ACL 액세스 제어 목록에 대해 배우기 시작할 것입니다. 이 주제는 2개의 비디오 강의로 진행됩니다. 표준 ACL의 구성을 살펴보고 다음 비디오 자습서에서는 확장 목록에 대해 설명하겠습니다.

이번 강의에서는 3가지 주제를 다루겠습니다. 첫 번째는 ACL이 무엇인지이고, 두 번째는 표준 액세스 목록과 확장 액세스 목록의 차이점이 무엇인지입니다. 강의 마지막에는 실습 차원에서 표준 ACL을 설정하고 가능한 문제를 해결하는 방법을 살펴보겠습니다.
그렇다면 ACL이란 무엇입니까? 첫 번째 비디오 강의에서 과정을 공부했다면 다양한 네트워크 장치 간의 통신을 어떻게 구성했는지 기억하실 것입니다.

또한 장치와 네트워크 간의 통신을 구성하는 기술을 얻기 위해 다양한 프로토콜을 통한 정적 라우팅을 연구했습니다. 이제 우리는 트래픽 제어, 즉 "악의자"나 승인되지 않은 사용자가 네트워크에 침투하는 것을 방지하는 데 관심을 기울여야 하는 학습 단계에 도달했습니다. 예를 들어, 이 다이어그램에 표시된 SALES 영업 부서의 사람들이 이에 해당할 수 있습니다. 여기에는 재무 부서 ACCOUNTS, 관리 부서 MANAGEMENT 및 서버 룸 SERVER ROOM도 표시됩니다.
따라서 영업 부서에는 2명의 직원이 있을 수 있으며, 우리는 그 중 누구도 네트워크를 통해 서버실에 접근할 수 없도록 하고 싶습니다. Laptop3 컴퓨터에서 작업하는 영업 관리자에게는 예외가 있습니다. 그는 서버실에 액세스할 수 있습니다. Laptop2에서 작업하는 신입 직원은 이러한 액세스 권한을 가져서는 안 됩니다. 즉, 해당 컴퓨터의 트래픽이 라우터 RXNUMX에 도달하면 해당 트래픽을 삭제해야 합니다.

ACL의 역할은 지정된 필터링 매개변수에 따라 트래픽을 필터링하는 것입니다. 여기에는 소스 IP 주소, 대상 IP 주소, 프로토콜, 포트 수 및 기타 매개변수가 포함되어 있어 트래픽을 식별하고 이에 대한 조치를 취할 수 있습니다.

따라서 ACL은 OSI 모델의 계층 3 필터링 메커니즘입니다. 이는 이 메커니즘이 라우터에서 사용된다는 의미입니다. 필터링의 주요 기준은 데이터 스트림의 식별입니다. 예를 들어, Laptop3 컴퓨터를 가진 사람이 서버에 액세스하는 것을 차단하려면 먼저 그의 트래픽을 식별해야 합니다. 이 트래픽은 네트워크 장치의 해당 인터페이스를 통해 Laptop-Switch2-R2-R1-Switch1-Server1 방향으로 이동하지만 라우터의 G0/0 인터페이스는 이와 관련이 없습니다.

트래픽을 식별하려면 해당 경로를 식별해야 합니다. 이 작업을 완료하면 필터를 정확히 어디에 설치해야 할지 결정할 수 있습니다. 필터 자체에 대해서는 걱정하지 마세요. 다음 강의에서 이에 대해 논의할 것입니다. 이제 필터를 적용해야 하는 인터페이스의 원리를 이해해야 합니다.

라우터를 보면 트래픽이 이동할 때마다 데이터의 흐름이 들어오는 인터페이스가 있고, 이 흐름이 나오는 인터페이스가 있다는 것을 알 수 있습니다.

실제로 입력 인터페이스, 출력 인터페이스 및 라우터 자체 인터페이스의 3가지 인터페이스가 있습니다. 필터링은 입력 또는 출력 인터페이스에만 적용될 수 있다는 점을 기억하세요.

ACL의 운영 원리는 초대자 명단에 이름이 올라 있는 손님만 참석할 수 있는 행사 입장권과 유사합니다. ACL은 트래픽을 식별하는 데 사용되는 자격 매개변수 목록입니다. 예를 들어 이 목록은 IP 주소 192.168.1.10의 모든 트래픽이 허용되고 다른 모든 주소의 트래픽은 거부됨을 나타냅니다. 앞서 말했듯이 이 목록은 입력 및 출력 인터페이스 모두에 적용될 수 있습니다.

ACL에는 표준과 확장의 두 가지 유형이 있습니다. 표준 ACL에는 2부터 1까지 또는 99부터 1300까지의 식별자가 있습니다. 이는 번호가 증가해도 서로 장점이 없는 단순한 목록 이름입니다. 번호 외에도 ACL에 자신의 이름을 할당할 수 있습니다. 확장 ACL의 번호는 1999~100 또는 199~2000이며 이름도 있을 수 있습니다.

표준 ACL에서 분류는 트래픽의 소스 IP 주소를 기반으로 합니다. 따라서 이러한 목록을 사용하면 소스로 전달되는 트래픽을 제한할 수 없으며 장치에서 발생하는 트래픽만 차단할 수 있습니다.

확장 ACL은 소스 IP 주소, 대상 IP 주소, 사용된 프로토콜 및 포트 번호를 기준으로 트래픽을 분류합니다. 예를 들어 FTP 트래픽만 차단하거나 HTTP 트래픽만 차단할 수 있습니다. 오늘은 표준 ACL을 살펴보고 다음 비디오 강의에서는 확장 목록을 다루겠습니다.

앞서 말했듯이 ACL은 조건 목록입니다. 이 목록을 라우터의 수신 또는 발신 인터페이스에 적용한 후 라우터는 이 목록과 비교하여 트래픽을 확인하고 목록에 설정된 조건을 충족하면 이 트래픽을 허용할지 거부할지 결정합니다. 사람들은 라우터의 입력 및 출력 인터페이스를 결정하는 데 어려움을 겪는 경우가 많지만 여기에는 복잡한 것이 없습니다. 들어오는 인터페이스에 대해 이야기할 때 이는 들어오는 트래픽만 이 포트에서 제어되고 라우터는 나가는 트래픽에 제한을 적용하지 않는다는 것을 의미합니다. 마찬가지로, 송신 인터페이스에 관해 이야기하는 경우 이는 모든 규칙이 나가는 트래픽에만 적용되는 반면 이 포트로 들어오는 트래픽은 제한 없이 허용된다는 의미입니다. 예를 들어, 라우터에 f2/0과 f0/0의 1개 포트가 있는 경우 ACL은 f0/0 인터페이스로 들어가는 트래픽에만 적용되거나 f0/1 인터페이스에서 발생하는 트래픽에만 적용됩니다. 인터페이스 f0/1에 들어가거나 나가는 트래픽은 목록의 영향을 받지 않습니다.

따라서 인터페이스의 들어오거나 나가는 방향을 혼동하지 마십시오. 이는 특정 트래픽의 방향에 따라 다릅니다. 따라서 라우터는 트래픽이 ACL 조건과 일치하는지 확인한 후 트래픽 허용 또는 거부라는 두 가지 결정만 내릴 수 있습니다. 예를 들어 180.160.1.30으로 향하는 트래픽을 허용하고 192.168.1.10으로 향하는 트래픽을 거부할 수 있습니다. 각 목록에는 여러 조건이 포함될 수 있지만 이러한 각 조건은 허용하거나 거부해야 합니다.

목록이 있다고 가정해 보겠습니다.

_______ 금지
허용하다 ________
허용하다 ________
_________을(를) 금지합니다.

먼저, 라우터는 트래픽을 확인하여 첫 번째 조건과 일치하는지 확인하고, 일치하지 않으면 두 번째 조건을 확인합니다. 트래픽이 세 번째 조건과 일치하면 라우터는 확인을 중단하고 목록의 나머지 조건과 비교하지 않습니다. "허용" 작업을 수행하고 트래픽의 다음 부분을 확인하는 단계로 넘어갑니다.

패킷에 대한 규칙을 설정하지 않았고 트래픽이 조건을 충족하지 않고 목록의 모든 라인을 통과하는 경우 기본적으로 각 ACL 목록은 거부 명령(즉, 폐기)으로 끝나기 때문에 해당 패킷은 폐기됩니다. 어떠한 규칙에도 속하지 않는 모든 패킷. 이 조건은 목록에 규칙이 하나 이상 있으면 적용되고, 그렇지 않으면 아무 효과도 없습니다. 그러나 첫 번째 줄에 거부 192.168.1.30 항목이 포함되어 있고 목록에 더 이상 조건이 포함되어 있지 않으면 끝에는 허용 명령, 즉 규칙에서 금지한 트래픽을 제외한 모든 트래픽을 허용해야 합니다. ACL을 구성할 때 실수를 방지하려면 이 점을 고려해야 합니다.

ASL 목록을 생성하는 기본 규칙을 기억해 두시기 바랍니다. 표준 ASL은 대상, 즉 트래픽의 수신자에 최대한 가깝게 배치하고, 확장 ASL은 소스, 즉 트래픽의 수신자에 최대한 가깝게 배치합니다. 트래픽을 보낸 사람에게. 이는 Cisco 권장 사항이지만 실제로 표준 ACL을 트래픽 소스에 가깝게 배치하는 것이 더 적합한 상황이 있습니다. 그러나 시험 중에 ACL 배치 규칙에 대한 질문을 접하게 되면 Cisco의 권장 사항을 따르고 명확하게 대답하십시오. 표준은 대상에 더 가깝고 확장은 소스에 더 가깝습니다.

이제 표준 ACL의 구문을 살펴보겠습니다. 라우터 전역 구성 모드에는 클래식 구문과 최신 구문이라는 두 가지 유형의 명령 구문이 있습니다.

일반적인 명령 유형은 access-list <ACL 번호> <거부/허용> <기준>입니다. <ACL 번호>를 1부터 99까지 설정하면 장치는 자동으로 이것이 표준 ACL임을 인식하고, 100부터 199까지이면 확장된 ACL입니다. 오늘 수업에서는 표준 목록을 살펴보고 있으므로 1에서 99까지의 숫자를 사용할 수 있습니다. 그런 다음 매개 변수가 다음 기준과 일치하는 경우 적용해야 하는 작업(트래픽 허용 또는 거부)을 나타냅니다. 이 기준은 현대 구문에서도 사용되므로 나중에 고려할 것입니다.

최신 명령 유형은 Rx(config) 전역 구성 모드에서도 사용되며 다음과 같습니다: ip access-list Standard <ACL 번호/이름>. 여기서는 1부터 99까지의 숫자나 ACL_Networking과 같은 ACL 목록 이름을 사용할 수 있습니다. 이 명령은 즉시 시스템을 Rx 표준 모드 하위 명령 모드(config-std-nacl)로 설정합니다. 여기서 <deny/enable> <criteria>를 입력해야 합니다. 현대적인 유형의 팀은 고전적인 팀에 비해 더 많은 장점을 가지고 있습니다.

클래식 목록에서 access-list 10 거부 ​​______를 입력한 후 다른 기준에 대해 동일한 종류의 다음 명령을 입력하면 해당 명령이 100개가 됩니다. 그런 다음 입력한 명령을 변경하려면 다음을 수행해야 합니다. no access-list 10 명령을 사용하여 전체 액세스 목록 목록 10을 삭제합니다. 이 목록의 개별 명령을 편집할 수 있는 방법이 없기 때문에 이렇게 하면 100개의 명령이 모두 삭제됩니다.

최신 구문에서 명령은 두 줄로 나뉘며 첫 번째 줄에는 목록 번호가 포함됩니다. 목록 액세스 목록 표준 10 거부 ​​________, 액세스 목록 표준 20 거부 ________ 등이 있는 경우 이들 사이에 다른 기준(예: 액세스 목록 표준 15 거부 ________)이 포함된 중간 목록을 삽입할 수 있는 기회가 있다고 가정합니다. .

또는 간단히 액세스 목록 표준 20줄을 삭제하고 액세스 목록 표준 10줄과 액세스 목록 표준 30줄 사이에 다른 매개변수를 사용하여 다시 입력할 수 있습니다. 따라서 최신 ACL 구문을 편집하는 다양한 방법이 있습니다.

ACL을 생성할 때는 매우 주의해야 합니다. 아시다시피 목록은 위에서 아래로 읽혀집니다. 특정 호스트의 트래픽을 허용하는 라인을 맨 위에 배치하면 이 호스트가 속한 전체 네트워크의 트래픽을 금지하는 라인을 아래에 배치할 수 있으며 두 조건이 모두 확인됩니다. 특정 호스트로의 트래픽은 통과가 허용되고 이 네트워크의 다른 모든 호스트로부터의 트래픽은 차단됩니다. 따라서 항상 목록 상단에 특정 항목을 배치하고 하단에 일반 항목을 배치하십시오.

따라서 클래식 또는 최신 ACL을 생성한 후에는 이를 적용해야 합니다. 이렇게 하려면 특정 인터페이스의 설정으로 이동해야 합니다(예: f0/0 명령을 사용하여 인터페이스 <유형 및 슬롯>). 인터페이스 하위 명령 모드로 이동하여 ip access-group <ACL 번호/ 이름> . 차이점에 유의하세요. 목록을 컴파일할 때는 액세스 목록이 사용되고, 적용할 때는 액세스 그룹이 사용됩니다. 이 목록을 적용할 인터페이스(수신 인터페이스 또는 발신 인터페이스)를 결정해야 합니다. 목록에 네트워킹과 같은 이름이 있는 경우 이 인터페이스에 목록을 적용하기 위해 명령에서 동일한 이름이 반복됩니다.

이제 특정 문제에 대해 Packet Tracer를 사용하는 네트워크 다이어그램의 예를 사용하여 해결해 보겠습니다. 따라서 우리는 영업부, 회계부, 관리부, 서버실 등 4개의 네트워크를 보유하고 있습니다.

작업 1번: 영업 및 재무 부서에서 관리 부서 및 서버실로 전달되는 모든 트래픽을 차단해야 합니다. 차단 위치는 라우터 R0의 인터페이스 S1/0/2입니다. 먼저 다음 항목을 포함하는 목록을 만들어야 합니다.

ACL Secure_Ma_And_Se로 축약되는 목록을 "관리 및 서버 보안 ACL"이라고 부르겠습니다. 그런 다음 재무 부서 네트워크 192.168.1.128/26의 트래픽을 금지하고, 영업 부서 네트워크 192.168.1.0/25의 트래픽을 금지하고, 기타 모든 트래픽을 허용합니다. 목록 끝에는 라우터 R0의 나가는 인터페이스 S1/0/2에 사용된다는 것이 표시됩니다. 목록 끝에 Permit Any 항목이 없으면 기본 ACL이 목록 끝에 항상 Deny Any 항목으로 설정되어 있으므로 다른 모든 트래픽이 차단됩니다.

이 ACL을 인터페이스 G0/0에 적용할 수 있습니까? 물론 가능합니다만, 이 경우 회계부서의 트래픽만 차단되고, 영업부서의 트래픽은 어떠한 방식으로도 제한되지 않습니다. 같은 방법으로 G0/1 인터페이스에 ACL을 적용할 수 있지만 이 경우 재무 부서 트래픽이 차단되지 않습니다. 물론 이러한 인터페이스에 대해 두 개의 개별 차단 목록을 만들 수 있지만 이를 하나의 목록으로 결합하여 라우터 R2의 출력 인터페이스 또는 라우터 R0의 입력 인터페이스 S1/0/1에 적용하는 것이 훨씬 더 효율적입니다.

Cisco 규칙에 따르면 표준 ACL은 가능한 한 대상에 가깝게 배치해야 하지만 나가는 모든 트래픽을 차단하고 싶기 때문에 트래픽 소스에 더 가깝게 배치하겠습니다. 이 트래픽이 두 라우터 사이의 네트워크를 낭비하지 않도록 소스를 삭제합니다.

기준에 대해 말씀드리는 걸 깜빡해서 빨리 돌아가도록 하겠습니다. 기준으로 무엇이든 지정할 수 있습니다. 이 경우 모든 장치 및 네트워크의 모든 트래픽이 거부되거나 허용됩니다. 식별자를 사용하여 호스트를 지정할 수도 있습니다. 이 경우 항목은 특정 장치의 IP 주소가 됩니다. 마지막으로 전체 네트워크(예: 192.168.1.10/24)를 지정할 수 있습니다. 이 경우 /24는 255.255.255.0의 서브넷 마스크가 있음을 의미하지만 ACL에서 서브넷 마스크의 IP 주소를 지정할 수는 없습니다. 이 경우 ACL에는 Wildcart Mask 또는 "역방향 마스크"라는 개념이 있습니다. 따라서 IP 주소와 반환 마스크를 지정해야 합니다. 역방향 마스크는 다음과 같습니다. 일반 서브넷 마스크에서 직접 서브넷 마스크를 빼야 합니다. 즉, 순방향 마스크의 옥텟 값에 해당하는 숫자를 255에서 뺍니다.

따라서 ACL의 기준으로 매개변수 192.168.1.10 0.0.0.255를 사용해야 합니다.

어떻게 작동하나요? 반환 마스크 옥텟에 0이 있는 경우 기준은 서브넷 IP 주소의 해당 옥텟과 일치하는 것으로 간주됩니다. 백마스크 옥텟에 숫자가 있으면 일치 여부를 확인하지 않습니다. 따라서 네트워크가 192.168.1.0이고 반환 마스크가 0.0.0.255인 경우 네 번째 옥텟의 값에 관계없이 처음 세 옥텟이 192.168.1.과 동일한 주소의 모든 트래픽은 다음에 따라 차단되거나 허용됩니다. 지정된 동작.

리버스 마스크를 사용하는 것은 쉽습니다. 다음 비디오에서 Wildcart Mask로 돌아가서 작업 방법을 설명하겠습니다.

28:50 분

우리와 함께있어 주셔서 감사합니다. 우리 기사가 마음에 드십니까? 더 재미있는 콘텐츠를 보고 싶다면? 주문하거나 친구에게 추천하여 우리를 지원하십시오. 귀사를 위해 당사가 개발한 고유한 보급형 서버 아날로그에서 Habr 사용자를 위한 30% 할인: VPS(KVM) E5-2650 v4(6코어) 10GB DDR4 240GB SSD 1Gbps에 대한 전체 진실 또는 서버 공유 방법은? (RAID1 및 RAID10에서 사용 가능, 최대 24개 코어 및 최대 40GB DDR4).

Dell R730xd가 2배 더 저렴합니까? 여기서 만 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV $199부터 네덜란드에서! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - 최저 $99! 에 대해 읽다 인프라 공사를 구축하는 방법. 730페니에 5유로 상당의 Dell R2650xd E4-9000 vXNUMX 서버를 사용하는 클래스?

출처 : habr.com