ການຝຶກອົບຮົມ Cisco 200-125 CCNA v3.0. ວັນທີ 27. ແນະນໍາ ACL. ພາກທີ 1

ມື້ນີ້ພວກເຮົາຈະເລີ່ມຕົ້ນຮຽນຮູ້ກ່ຽວກັບບັນຊີລາຍຊື່ການຄວບຄຸມການເຂົ້າເຖິງ ACL, ຫົວຂໍ້ນີ້ຈະໃຊ້ເວລາ 2 ບົດຮຽນວິດີໂອ. ພວກເຮົາຈະເບິ່ງການຕັ້ງຄ່າຂອງ ACL ມາດຕະຖານ, ແລະໃນວິດີໂອ tutorial ຕໍ່ໄປຂ້ອຍຈະເວົ້າກ່ຽວກັບບັນຊີລາຍຊື່ຂະຫຍາຍ.

ໃນບົດຮຽນນີ້ພວກເຮົາຈະກວມເອົາ 3 ຫົວຂໍ້. ທໍາອິດແມ່ນສິ່ງທີ່ ACL ແມ່ນຫຍັງ, ອັນທີສອງແມ່ນຄວາມແຕກຕ່າງລະຫວ່າງມາດຕະຖານແລະບັນຊີລາຍຊື່ການເຂົ້າເຖິງຂະຫຍາຍ, ແລະໃນຕອນທ້າຍຂອງບົດຮຽນ, ເປັນຫ້ອງທົດລອງ, ພວກເຮົາຈະເບິ່ງການຕັ້ງຄ່າ ACL ມາດຕະຖານແລະແກ້ໄຂບັນຫາທີ່ເປັນໄປໄດ້.
ດັ່ງນັ້ນ ACL ແມ່ນຫຍັງ? ຖ້າທ່ານໄດ້ສຶກສາຫຼັກສູດຈາກບົດຮຽນວິດີໂອທໍາອິດ, ຫຼັງຈາກນັ້ນທ່ານຈື່ຈໍາວິທີທີ່ພວກເຮົາຈັດການສື່ສານລະຫວ່າງອຸປະກອນເຄືອຂ່າຍຕ່າງໆ.

ພວກເຮົາຍັງໄດ້ສຶກສາການກຳນົດເສັ້ນທາງແບບຄົງທີ່ຜ່ານໂປຣໂຕຄໍຕ່າງໆ ເພື່ອສ້າງທັກສະໃນການຈັດການສື່ສານລະຫວ່າງອຸປະກອນ ແລະເຄືອຂ່າຍ. ໃນປັດຈຸບັນພວກເຮົາໄດ້ມາຮອດຂັ້ນຕອນການຮຽນຮູ້ທີ່ພວກເຮົາຄວນກັງວົນກ່ຽວກັບການຮັບປະກັນການຄວບຄຸມການຈະລາຈອນ, ນັ້ນແມ່ນ, ປ້ອງກັນບໍ່ໃຫ້ "ຄົນບໍ່ດີ" ຫຼືຜູ້ໃຊ້ທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດເຂົ້າໄປໃນເຄືອຂ່າຍ. ຕົວຢ່າງ, ນີ້ອາດຈະກ່ຽວຂ້ອງກັບຄົນຈາກພະແນກການຂາຍ SALES, ເຊິ່ງສະແດງຢູ່ໃນແຜນວາດນີ້. ໃນທີ່ນີ້ພວກເຮົາຍັງສະແດງພະແນກການເງິນບັນຊີ, ພະແນກການຄຸ້ມຄອງການຄຸ້ມຄອງແລະຫ້ອງເຊີຟເວີ SERVER ROOM.
ດັ່ງນັ້ນ, ພະແນກຂາຍອາດມີພະນັກງານຫຼາຍຮ້ອຍຄົນ, ແລະພວກເຮົາບໍ່ຕ້ອງການໃດໆຂອງພວກເຂົາທີ່ຈະສາມາດບັນລຸຫ້ອງເຊີຟເວີຜ່ານເຄືອຂ່າຍ. ມີຂໍ້ຍົກເວັ້ນສໍາລັບຜູ້ຈັດການຝ່າຍຂາຍທີ່ເຮັດວຽກຢູ່ໃນຄອມພິວເຕີ Laptop2 - ລາວສາມາດເຂົ້າຫ້ອງເຄື່ອງແມ່ຂ່າຍໄດ້. ພະນັກງານໃຫມ່ທີ່ເຮັດວຽກຢູ່ໃນ Laptop3 ບໍ່ຄວນມີການເຂົ້າເຖິງດັ່ງກ່າວ, ນັ້ນແມ່ນ, ຖ້າການຈະລາຈອນຈາກຄອມພິວເຕີຂອງລາວມາຮອດ router R2, ມັນຄວນຈະຖືກລຸດລົງ.

ບົດບາດຂອງ ACL ແມ່ນການກັ່ນຕອງການຈະລາຈອນຕາມຕົວກໍານົດການກັ່ນຕອງທີ່ລະບຸໄວ້. ພວກເຂົາປະກອບມີທີ່ຢູ່ IP ແຫຼ່ງ, ທີ່ຢູ່ IP ປາຍທາງ, ໂປໂຕຄອນ, ຈໍານວນພອດແລະພາລາມິເຕີອື່ນໆ, ຂອບໃຈທີ່ທ່ານສາມາດກໍານົດການຈະລາຈອນແລະດໍາເນີນການບາງຢ່າງກັບມັນ.

ດັ່ງນັ້ນ, ACL ແມ່ນກົນໄກການກັ່ນຕອງຊັ້ນ 3 ຂອງຮູບແບບ OSI. ນີ້ຫມາຍຄວາມວ່າກົນໄກນີ້ຖືກນໍາໃຊ້ໃນ routers. ເງື່ອນໄຂຕົ້ນຕໍສໍາລັບການກັ່ນຕອງແມ່ນການກໍານົດການຖ່າຍທອດຂໍ້ມູນ. ຕົວຢ່າງ: ຖ້າພວກເຮົາຕ້ອງການສະກັດຄົນທີ່ມີຄອມພິວເຕີ Laptop3 ຈາກການເຂົ້າເຖິງເຄື່ອງແມ່ຂ່າຍ, ກ່ອນອື່ນຫມົດພວກເຮົາຕ້ອງກໍານົດການເຂົ້າຊົມຂອງລາວ. ການຈະລາຈອນນີ້ເຄື່ອນຍ້າຍໄປໃນທິດທາງຂອງ Laptop-Switch2-R2-R1-Switch1-Server1 ໂດຍຜ່ານການໂຕ້ຕອບທີ່ສອດຄ້ອງກັນຂອງອຸປະກອນເຄືອຂ່າຍ, ໃນຂະນະທີ່ G0/0 ການໂຕ້ຕອບຂອງ routers ບໍ່ມີຫຍັງກ່ຽວຂ້ອງກັບມັນ.

ເພື່ອກໍານົດການຈະລາຈອນ, ພວກເຮົາຕ້ອງກໍານົດເສັ້ນທາງຂອງມັນ. ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາສາມາດຕັດສິນໃຈວ່າພວກເຮົາຕ້ອງການຕິດຕັ້ງການກັ່ນຕອງຢູ່ໃສ. ຢ່າກັງວົນກ່ຽວກັບຕົວກອງຕົວມັນເອງ, ພວກເຮົາຈະປຶກສາຫາລືໃນບົດຮຽນຕໍ່ໄປ, ສໍາລັບຕອນນີ້ພວກເຮົາຈໍາເປັນຕ້ອງເຂົ້າໃຈຫຼັກການຂອງການໂຕ້ຕອບຂອງຕົວກອງຄວນຖືກນໍາໃຊ້.

ຖ້າທ່ານເບິ່ງຢູ່ໃນ router, ທ່ານສາມາດເຫັນໄດ້ວ່າທຸກໆຄັ້ງທີ່ການຈະລາຈອນເຄື່ອນຍ້າຍ, ມີການໂຕ້ຕອບທີ່ການໄຫຼເຂົ້າຂອງຂໍ້ມູນເຂົ້າມາ, ແລະອິນເຕີເຟດໂດຍຜ່ານການໄຫຼນີ້ອອກມາ.

ຕົວຈິງແລ້ວມີ 3 ການໂຕ້ຕອບ: ການໂຕ້ຕອບການປ້ອນຂໍ້ມູນ, ການໂຕ້ຕອບຜົນໄດ້ຮັບແລະການໂຕ້ຕອບຂອງ router ຂອງຕົນເອງ. ພຽງແຕ່ຈື່ໄວ້ວ່າການກັ່ນຕອງສາມາດຖືກນໍາໃຊ້ກັບການໂຕ້ຕອບການປ້ອນຂໍ້ມູນຫຼືຜົນຜະລິດເທົ່ານັ້ນ.

ຫຼັກການຂອງການປະຕິບັດງານ ACL ແມ່ນຄ້າຍຄືກັບການຜ່ານໄປຫາເຫດການທີ່ສາມາດເຂົ້າຮ່ວມໄດ້ໂດຍແຂກທີ່ມີຊື່ຢູ່ໃນບັນຊີລາຍຊື່ຂອງຜູ້ຖືກເຊີນເທົ່ານັ້ນ. ACL ແມ່ນບັນຊີລາຍຊື່ຂອງຕົວກໍານົດການຄຸນວຸດທິທີ່ຖືກນໍາໃຊ້ເພື່ອກໍານົດການຈະລາຈອນ. ຕົວຢ່າງ, ບັນຊີລາຍຊື່ນີ້ຊີ້ໃຫ້ເຫັນວ່າການຈະລາຈອນທັງຫມົດແມ່ນອະນຸຍາດຈາກທີ່ຢູ່ IP 192.168.1.10, ແລະການຈະລາຈອນຈາກທີ່ຢູ່ອື່ນທັງຫມົດຖືກປະຕິເສດ. ດັ່ງທີ່ຂ້າພະເຈົ້າເວົ້າ, ບັນຊີລາຍຊື່ນີ້ສາມາດຖືກນໍາໃຊ້ກັບທັງອິນເຕີເຟດ input ແລະ output.

ມີ 2 ປະເພດຂອງ ACLs: ມາດຕະຖານແລະຂະຫຍາຍ. ACL ມາດຕະຖານມີຕົວລະບຸຈາກ 1 ຫາ 99 ຫຼືຈາກ 1300 ຫາ 1999. ເຫຼົ່ານີ້ແມ່ນພຽງແຕ່ລາຍຊື່ຊື່ທີ່ບໍ່ມີຂໍ້ໄດ້ປຽບໃດໆຕໍ່ກັນແລະກັນເມື່ອຈໍານວນເພີ່ມຂຶ້ນ. ນອກເຫນືອຈາກຕົວເລກ, ທ່ານສາມາດກໍານົດຊື່ຂອງທ່ານເອງໃຫ້ກັບ ACL. ACLs ຂະຫຍາຍແມ່ນເລກ 100 ຫາ 199 ຫຼື 2000 ຫາ 2699 ແລະອາດມີຊື່.

ໃນ ACL ມາດຕະຖານ, ການຈັດປະເພດແມ່ນອີງໃສ່ທີ່ຢູ່ IP ແຫຼ່ງຂອງການຈະລາຈອນ. ດັ່ງນັ້ນ, ເມື່ອນໍາໃຊ້ບັນຊີລາຍຊື່ດັ່ງກ່າວ, ທ່ານບໍ່ສາມາດຈໍາກັດການຈະລາຈອນທີ່ມຸ້ງໄປຫາແຫຼ່ງໃດກໍ່ຕາມ, ທ່ານພຽງແຕ່ສາມາດສະກັດການຈະລາຈອນທີ່ມາຈາກອຸປະກອນໃດຫນຶ່ງ.

ACL ຂະຫຍາຍການຈໍາແນກການຈະລາຈອນຕາມທີ່ຢູ່ IP ແຫຼ່ງ, ທີ່ຢູ່ IP ປາຍທາງ, ໂປໂຕຄອນທີ່ໃຊ້, ແລະຫມາຍເລກພອດ. ຕົວຢ່າງ, ທ່ານສາມາດສະກັດພຽງແຕ່ການຈະລາຈອນ FTP, ຫຼືພຽງແຕ່ການຈະລາຈອນ HTTP. ມື້ນີ້ພວກເຮົາຈະເບິ່ງ ACL ມາດຕະຖານ, ແລະພວກເຮົາຈະອຸທິດບົດຮຽນວິດີໂອຕໍ່ໄປໃຫ້ກັບລາຍການຂະຫຍາຍ.

ດັ່ງທີ່ຂ້າພະເຈົ້າເວົ້າ, ACL ແມ່ນບັນຊີລາຍຊື່ຂອງເງື່ອນໄຂ. ຫຼັງຈາກທີ່ທ່ານນໍາໃຊ້ບັນຊີລາຍຊື່ນີ້ກັບອິນເຕີເຟດຂາເຂົ້າຫຼືຂາອອກຂອງ router, router ຈະກວດສອບການຈະລາຈອນຕໍ່ກັບບັນຊີລາຍຊື່ນີ້, ແລະຖ້າມັນປະຕິບັດຕາມເງື່ອນໄຂທີ່ກໍານົດໄວ້ໃນບັນຊີລາຍຊື່, ມັນຕັດສິນໃຈວ່າຈະອະນຸຍາດຫຼືປະຕິເສດການຈະລາຈອນນີ້. ປະຊາຊົນມັກຈະພົບວ່າມັນຍາກທີ່ຈະກໍານົດການໂຕ້ຕອບການປ້ອນຂໍ້ມູນແລະຜົນຜະລິດຂອງ router, ເຖິງແມ່ນວ່າບໍ່ມີຫຍັງສັບສົນຢູ່ທີ່ນີ້. ເມື່ອພວກເຮົາສົນທະນາກ່ຽວກັບການໂຕ້ຕອບຂາເຂົ້າ, ນີ້ຫມາຍຄວາມວ່າພຽງແຕ່ການຈະລາຈອນຂາເຂົ້າຈະຖືກຄວບຄຸມຢູ່ໃນພອດນີ້, ແລະ router ຈະບໍ່ນໍາໃຊ້ຂໍ້ຈໍາກັດຕໍ່ການຈະລາຈອນຂາອອກ. ເຊັ່ນດຽວກັນ, ຖ້າພວກເຮົາເວົ້າກ່ຽວກັບການໂຕ້ຕອບ egress, ນີ້ຫມາຍຄວາມວ່າກົດລະບຽບທັງຫມົດຈະນໍາໃຊ້ກັບການຈະລາຈອນຂາອອກເທົ່ານັ້ນ, ໃນຂະນະທີ່ການຈະລາຈອນຂາເຂົ້າຢູ່ໃນທ່າເຮືອນີ້ຈະຖືກຍອມຮັບໂດຍບໍ່ມີຂໍ້ຈໍາກັດ. ຕົວຢ່າງ, ຖ້າ router ມີ 2 ພອດ: f0/0 ແລະ f0/1, ຫຼັງຈາກນັ້ນ ACL ຈະຖືກນໍາໄປໃຊ້ກັບການຈະລາຈອນທີ່ເຂົ້າມາໃນການໂຕ້ຕອບ f0/0, ຫຼືພຽງແຕ່ການຈະລາຈອນທີ່ມາຈາກການໂຕ້ຕອບ f0/1. ການຈາລະຈອນທີ່ເຂົ້າມາຫຼືອອກຈາກສ່ວນຕິດຕໍ່ f0/1 ຈະບໍ່ໄດ້ຮັບຜົນກະທົບຈາກລາຍຊື່.

ດັ່ງນັ້ນ, ຢ່າສັບສົນກັບທິດທາງຂາເຂົ້າຫຼືຂາອອກຂອງການໂຕ້ຕອບ, ມັນຂຶ້ນກັບທິດທາງຂອງການຈະລາຈອນສະເພາະ. ດັ່ງນັ້ນ, ຫຼັງຈາກ router ໄດ້ກວດເບິ່ງການຈະລາຈອນສໍາລັບການຈັບຄູ່ເງື່ອນໄຂ ACL, ມັນສາມາດຕັດສິນໃຈພຽງແຕ່ສອງຢ່າງ: ອະນຸຍາດໃຫ້ການຈະລາຈອນຫຼືປະຕິເສດມັນ. ຕົວຢ່າງ, ທ່ານສາມາດອະນຸຍາດໃຫ້ການຈະລາຈອນ destined ສໍາລັບ 180.160.1.30 ແລະປະຕິເສດການຈະລາຈອນ destined ສໍາລັບ 192.168.1.10. ແຕ່ລະບັນຊີລາຍຊື່ສາມາດປະກອບມີຫຼາຍເງື່ອນໄຂ, ແຕ່ແຕ່ລະເງື່ອນໄຂເຫຼົ່ານີ້ຕ້ອງອະນຸຍາດໃຫ້ຫຼືປະຕິເສດ.

ໃຫ້ເວົ້າວ່າພວກເຮົາມີບັນຊີລາຍຊື່:

ຫ້າມ _______
ອະນຸຍາດ ________
ອະນຸຍາດ ________
ຫ້າມ _________.

ທໍາອິດ, router ຈະກວດສອບການຈະລາຈອນເພື່ອເບິ່ງວ່າມັນກົງກັບເງື່ອນໄຂທໍາອິດ, ຖ້າມັນບໍ່ກົງກັນ, ມັນຈະກວດເບິ່ງເງື່ອນໄຂທີສອງ. ຖ້າການຈະລາຈອນກົງກັບເງື່ອນໄຂທີສາມ, router ຈະຢຸດການກວດສອບແລະຈະບໍ່ປຽບທຽບກັບເງື່ອນໄຂທີ່ເຫລືອຂອງລາຍຊື່. ມັນຈະປະຕິບັດການ "ອະນຸຍາດ" ແລະກ້າວໄປສູ່ການກວດສອບສ່ວນຕໍ່ໄປຂອງການຈະລາຈອນ.

ໃນກໍລະນີທີ່ທ່ານບໍ່ໄດ້ກໍານົດກົດລະບຽບສໍາລັບແພັກເກັດໃດໆແລະການຈະລາຈອນຈະຜ່ານທຸກເສັ້ນຂອງບັນຊີລາຍຊື່ໂດຍບໍ່ໄດ້ກົດດັນເງື່ອນໄຂໃດໆ, ມັນຖືກທໍາລາຍ, ເພາະວ່າແຕ່ລະລາຍການ ACL ໂດຍຄ່າເລີ່ມຕົ້ນສິ້ນສຸດລົງດ້ວຍການປະຕິເສດຄໍາສັ່ງໃດໆ - ນັ້ນແມ່ນ, ຍົກເລີກ. packet ໃດ, ບໍ່ຕົກຢູ່ພາຍໃຕ້ກົດລະບຽບໃດໆ. ເງື່ອນໄຂນີ້ມີຜົນບັງຄັບໃຊ້ຖ້າມີຢ່າງຫນ້ອຍຫນຶ່ງກົດລະບຽບໃນບັນຊີລາຍຊື່, ຖ້າບໍ່ດັ່ງນັ້ນມັນບໍ່ມີຜົນ. ແຕ່ຖ້າແຖວທໍາອິດປະກອບດ້ວຍການປະຕິເສດ 192.168.1.30 ແລະບັນຊີລາຍຊື່ບໍ່ມີເງື່ອນໄຂໃດໆ, ຫຼັງຈາກນັ້ນ, ໃນຕອນທ້າຍຄວນຈະມີຄໍາສັ່ງອະນຸຍາດໃຫ້ໃດກໍ່ຕາມ, ອະນຸຍາດໃຫ້ການຈະລາຈອນໃດໆຍົກເວັ້ນທີ່ຫ້າມໂດຍກົດລະບຽບ. ທ່ານຕ້ອງພິຈາລະນານີ້ເພື່ອຫຼີກເວັ້ນການຜິດພາດໃນເວລາທີ່ config ACL.

ຂ້າພະເຈົ້າຕ້ອງການໃຫ້ທ່ານຈື່ຈໍາກົດລະບຽບພື້ນຖານຂອງການສ້າງບັນຊີລາຍຊື່ ASL: ວາງ ASL ມາດຕະຖານໃຫ້ໃກ້ທີ່ສຸດເທົ່າທີ່ເປັນໄປໄດ້ກັບຈຸດຫມາຍປາຍທາງ, ນັ້ນແມ່ນ, ໄປຫາຜູ້ຮັບການຈະລາຈອນ, ແລະວາງ ASL ທີ່ຂະຫຍາຍອອກໄປໃກ້ກັບແຫຼ່ງ, ນັ້ນແມ່ນ, ກັບຜູ້ສົ່ງການຈະລາຈອນ. ເຫຼົ່ານີ້ແມ່ນຄໍາແນະນໍາ Cisco, ແຕ່ໃນການປະຕິບັດມີສະຖານະການທີ່ມັນເຮັດໃຫ້ຄວາມຮູ້ສຶກຫຼາຍທີ່ຈະວາງ ACL ມາດຕະຖານໃກ້ກັບແຫຼ່ງການຈະລາຈອນ. ແຕ່ຖ້າທ່ານພົບຄໍາຖາມກ່ຽວກັບກົດລະບຽບການບັນຈຸ ACL ໃນລະຫວ່າງການສອບເສັງ, ປະຕິບັດຕາມຄໍາແນະນໍາຂອງ Cisco ແລະຕອບຢ່າງບໍ່ຊັດເຈນ: ມາດຕະຖານແມ່ນໃກ້ຊິດກັບຈຸດຫມາຍປາຍທາງ, ການຂະຫຍາຍແມ່ນໃກ້ຊິດກັບແຫຼ່ງ.

ຕອນນີ້ໃຫ້ເບິ່ງ syntax ຂອງ ACL ມາດຕະຖານ. ມີສອງປະເພດຂອງ syntax ຄໍາສັ່ງຢູ່ໃນໂຫມດການຕັ້ງຄ່າທົ່ວໂລກຂອງ router: syntax ຄລາສສິກແລະ syntax ທີ່ທັນສະໄຫມ.

ປະເພດຄຳສັ່ງຄລາສສິກແມ່ນ access-list <ACL number> <deny/allow> <criteria>. ຖ້າທ່ານຕັ້ງ <ACL number> ຈາກ 1 ຫາ 99, ອຸປະກອນຈະເຂົ້າໃຈອັດຕະໂນມັດວ່ານີ້ແມ່ນ ACL ມາດຕະຖານ, ແລະຖ້າມັນມາຈາກ 100 ຫາ 199, ມັນແມ່ນການຂະຫຍາຍອັນໜຶ່ງ. ນັບຕັ້ງແຕ່ໃນບົດຮຽນຂອງມື້ນີ້ພວກເຮົາກໍາລັງຊອກຫາຢູ່ໃນບັນຊີລາຍຊື່ມາດຕະຖານ, ພວກເຮົາສາມາດນໍາໃຊ້ຕົວເລກໃດໆຈາກ 1 ຫາ 99. ຫຼັງຈາກນັ້ນ, ພວກເຮົາຊີ້ໃຫ້ເຫັນເຖິງການປະຕິບັດທີ່ຕ້ອງໃຊ້ຖ້າພາລາມິເຕີທີ່ກົງກັບເງື່ອນໄຂຕໍ່ໄປນີ້ - ອະນຸຍາດໃຫ້ຫຼືປະຕິເສດການຈະລາຈອນ. ພວກເຮົາຈະພິຈາລະນາເງື່ອນໄຂຕໍ່ມາ, ເນື່ອງຈາກວ່າມັນຍັງຖືກນໍາໃຊ້ໃນ syntax ທີ່ທັນສະໄຫມ.

ປະເພດຄໍາສັ່ງທີ່ທັນສະໄຫມຍັງຖືກນໍາໃຊ້ໃນ Rx (config) ຮູບແບບການຕັ້ງຄ່າທົ່ວໂລກແລະມີລັກສະນະນີ້: ip access-list standard <ACL number/name>. ໃນທີ່ນີ້ທ່ານສາມາດໃຊ້ຕົວເລກຈາກ 1 ຫາ 99 ຫຼືຊື່ຂອງບັນຊີລາຍຊື່ ACL, ຕົວຢ່າງ, ACL_Networking. ຄໍາສັ່ງນີ້ທັນທີເຮັດໃຫ້ລະບົບເຂົ້າໄປໃນຮູບແບບຄໍາສັ່ງຍ່ອຍ Rx standard mode (config-std-nacl), ບ່ອນທີ່ທ່ານຕ້ອງໃສ່ <deny/enable> <criteria>. ປະເພດທີມທີ່ທັນສະໄຫມມີຂໍ້ໄດ້ປຽບຫຼາຍກວ່າເມື່ອທຽບກັບຄລາສສິກ.

ໃນບັນຊີລາຍຊື່ຄລາສສິກ, ຖ້າທ່ານພິມ access-list 10 ປະຕິເສດ ______, ຫຼັງຈາກນັ້ນພິມຄໍາສັ່ງຕໍ່ໄປຂອງປະເພດດຽວກັນສໍາລັບເງື່ອນໄຂອື່ນ, ແລະທ່ານສິ້ນສຸດດ້ວຍ 100 ຄໍາສັ່ງດັ່ງກ່າວ, ຫຼັງຈາກນັ້ນເພື່ອປ່ຽນຄໍາສັ່ງໃດໆທີ່ເຂົ້າມາ, ທ່ານຈະຕ້ອງໄດ້. ລຶບບັນຊີລາຍການການເຂົ້າເຖິງທັງໝົດ 10 ດ້ວຍຄຳສັ່ງ no access-list 10. ນີ້ຈະລຶບທັງໝົດ 100 ຄຳສັ່ງ ເພາະວ່າບໍ່ມີທາງທີ່ຈະແກ້ໄຂຄຳສັ່ງແຕ່ລະອັນໃນລາຍຊື່ນີ້.

ໃນ syntax ທີ່ທັນສະໄຫມ, ຄໍາສັ່ງຖືກແບ່ງອອກເປັນສອງສາຍ, ທໍາອິດທີ່ມີຈໍານວນບັນຊີລາຍຊື່. ສົມມຸດວ່າທ່ານມີມາດຕະຖານການເຂົ້າເຖິງບັນຊີລາຍຊື່ 10 ປະຕິເສດ ________, ມາດຕະຖານການເຂົ້າເຖິງບັນຊີລາຍຊື່ 20 ປະຕິເສດ ________ ແລະອື່ນໆ, ຫຼັງຈາກນັ້ນທ່ານມີໂອກາດທີ່ຈະໃສ່ບັນຊີລາຍຊື່ລະດັບກາງທີ່ມີເງື່ອນໄຂອື່ນໆລະຫວ່າງພວກເຂົາ, ຕົວຢ່າງເຊັ່ນມາດຕະຖານການເຂົ້າເຖິງບັນຊີລາຍຊື່ 15 ປະຕິເສດ ________. .

ອີກທາງເລືອກ, ທ່ານພຽງແຕ່ສາມາດລຶບມາດຕະຖານການເຂົ້າເຖິງບັນຊີລາຍຊື່ 20 ເສັ້ນແລະພິມຄືນພວກມັນດ້ວຍຕົວກໍານົດການທີ່ແຕກຕ່າງກັນລະຫວ່າງມາດຕະຖານການເຂົ້າເຖິງບັນຊີລາຍຊື່ 10 ແລະມາດຕະຖານການເຂົ້າເຖິງບັນຊີລາຍຊື່ 30. ດັ່ງນັ້ນ, ມີວິທີຕ່າງໆເພື່ອແກ້ໄຂ syntax ACL ທີ່ທັນສະໄຫມ.

ທ່ານຈໍາເປັນຕ້ອງລະມັດລະວັງຫຼາຍໃນເວລາສ້າງ ACLs. ຕາມທີ່ທ່ານຮູ້, ບັນຊີລາຍຊື່ແມ່ນອ່ານຈາກເທິງລົງລຸ່ມ. ຖ້າທ່ານວາງເສັ້ນຢູ່ເທິງສຸດທີ່ອະນຸຍາດໃຫ້ການຈະລາຈອນຈາກເຈົ້າພາບສະເພາະ, ຫຼັງຈາກນັ້ນ, ຂ້າງລຸ່ມນີ້ທ່ານສາມາດວາງເສັ້ນທີ່ຫ້າມການຈະລາຈອນຈາກເຄືອຂ່າຍທັງຫມົດທີ່ເຈົ້າພາບນີ້ເປັນສ່ວນຫນຶ່ງຂອງ, ແລະທັງສອງເງື່ອນໄຂຈະຖືກກວດສອບ - ການຈະລາຈອນໄປຫາເຈົ້າພາບສະເພາະໃດຫນຶ່ງຈະ ໄດ້ຮັບການອະນຸຍາດໃຫ້ຜ່ານ, ແລະການຈະລາຈອນຈາກເຈົ້າພາບອື່ນໆທັງຫມົດເຄືອຂ່າຍນີ້ຈະຖືກສະກັດ. ດັ່ງນັ້ນ, ຈົ່ງວາງລາຍການສະເພາະຢູ່ເທິງສຸດຂອງລາຍຊື່ ແລະລາຍການທົ່ວໄປຢູ່ລຸ່ມສຸດສະເໝີ.

ດັ່ງນັ້ນ, ຫຼັງຈາກທີ່ເຈົ້າໄດ້ສ້າງ ACL ແບບຄລາສສິກຫຼືທີ່ທັນສະໄຫມ, ທ່ານຕ້ອງໃຊ້ມັນ. ເພື່ອເຮັດສິ່ງນີ້, ທ່ານຈໍາເປັນຕ້ອງໄປທີ່ການຕັ້ງຄ່າຂອງການໂຕ້ຕອບສະເພາະ, ສໍາລັບຕົວຢ່າງ, f0/0 ໂດຍໃຊ້ການໂຕ້ຕອບຄໍາສັ່ງ <ປະເພດແລະຊ່ອງ>, ໄປທີ່ໂຫມດຄໍາສັ່ງຍ່ອຍຂອງການໂຕ້ຕອບແລະໃສ່ຄໍາສັ່ງ ip access-group <ACL number/. ຊື່> . ກະລຸນາສັງເກດຄວາມແຕກຕ່າງ: ເມື່ອລວບລວມບັນຊີລາຍຊື່, ບັນຊີລາຍຊື່ການເຂົ້າເຖິງຖືກນໍາໃຊ້, ແລະເມື່ອນໍາໃຊ້ມັນ, ກຸ່ມການເຂົ້າເຖິງແມ່ນຖືກນໍາໃຊ້. ທ່ານ​ຕ້ອງ​ກໍາ​ນົດ​ວ່າ​ການ​ໂຕ້​ຕອບ​ທີ່​ບັນ​ຊີ​ລາຍ​ການ​ນີ້​ຈະ​ໄດ້​ຮັບ​ການ​ນໍາ​ໃຊ້ - ອິນ​ເຕີ​ເຟດ​ຂາ​ເຂົ້າ​ຫຼື​ການ​ໂຕ້​ຕອບ​ອອກ​. ຖ້າລາຍຊື່ມີຊື່, ຕົວຢ່າງ, ເຄືອຂ່າຍ, ຊື່ດຽວກັນຖືກຊ້ໍາໃນຄໍາສັ່ງເພື່ອນໍາໃຊ້ບັນຊີລາຍຊື່ໃນການໂຕ້ຕອບນີ້.

ຕອນນີ້ໃຫ້ພວກເຮົາເອົາບັນຫາສະເພາະແລະພະຍາຍາມແກ້ໄຂມັນໂດຍໃຊ້ຕົວຢ່າງຂອງແຜນວາດເຄືອຂ່າຍຂອງພວກເຮົາໂດຍໃຊ້ Packet Tracer. ດັ່ງນັ້ນ, ພວກເຮົາມີ 4 ເຄືອຂ່າຍ: ພະແນກການຂາຍ, ພະແນກບັນຊີ, ການຄຸ້ມຄອງແລະຫ້ອງເຄື່ອງແມ່ຂ່າຍ.

ວຽກງານທີ 1: ການຈະລາຈອນທັງໝົດທີ່ສົ່ງມາຈາກພະແນກການຂາຍ ແລະ ການເງິນໄປຫາພະແນກຄຸ້ມຄອງ ແລະ ຫ້ອງເຊີບເວີຕ້ອງຖືກສະກັດກັ້ນ. ສະຖານທີ່ສະກັດແມ່ນການໂຕ້ຕອບ S0/1/0 ຂອງ router R2. ກ່ອນອື່ນ ໝົດ ພວກເຮົາຕ້ອງສ້າງບັນຊີລາຍຊື່ທີ່ມີລາຍການຕໍ່ໄປນີ້:

ໃຫ້ໂທຫາບັນຊີລາຍຊື່ "ການຄຸ້ມຄອງແລະຄວາມປອດໄພຂອງເຄື່ອງແມ່ຂ່າຍ ACL", ຫຍໍ້ເປັນ ACL Secure_Ma_And_Se. ນີ້ແມ່ນປະຕິບັດຕາມໂດຍການຫ້າມການຈະລາຈອນຈາກເຄືອຂ່າຍພະແນກການເງິນ 192.168.1.128/26, ຫ້າມການຈະລາຈອນຈາກເຄືອຂ່າຍພະແນກການຂາຍ 192.168.1.0/25, ແລະອະນຸຍາດໃຫ້ການຈະລາຈອນອື່ນໆ. ໃນຕອນທ້າຍຂອງບັນຊີລາຍຊື່ມັນໄດ້ຖືກຊີ້ໃຫ້ເຫັນວ່າມັນຖືກນໍາໃຊ້ສໍາລັບການໂຕ້ຕອບຂາອອກ S0/1/0 ຂອງ router R2. ຖ້າພວກເຮົາບໍ່ມີໃບອະນຸຍາດໃດໆຢູ່ໃນຕອນທ້າຍຂອງບັນຊີລາຍຊື່, ການຈະລາຈອນອື່ນໆທັງຫມົດຈະຖືກບລັອກເພາະວ່າ ACL ເລີ່ມຕົ້ນຖືກຕັ້ງຄ່າສະເຫມີເປັນການປະຕິເສດການເຂົ້າໃດໆໃນຕອນທ້າຍຂອງບັນຊີລາຍຊື່.

ຂ້ອຍສາມາດນຳໃຊ້ ACL ນີ້ເຂົ້າໃນການໂຕ້ຕອບ G0/0 ໄດ້ບໍ? ແນ່ນອນ, ຂ້ອຍສາມາດເຮັດໄດ້, ແຕ່ໃນກໍລະນີນີ້ພຽງແຕ່ການຈະລາຈອນຈາກພະແນກບັນຊີຈະຖືກສະກັດ, ແລະການຈະລາຈອນຈາກພະແນກການຂາຍຈະບໍ່ຖືກຈໍາກັດໃນທາງໃດກໍ່ຕາມ. ໃນທາງດຽວກັນ, ທ່ານສາມາດນໍາໃຊ້ ACL ກັບການໂຕ້ຕອບ G0/1, ແຕ່ໃນກໍລະນີນີ້, ການຈະລາຈອນຂອງພະແນກການເງິນຈະບໍ່ຖືກສະກັດ. ແນ່ນອນ, ພວກເຮົາສາມາດສ້າງສອງລາຍການບລັອກແຍກຕ່າງຫາກສໍາລັບການໂຕ້ຕອບເຫຼົ່ານີ້, ແຕ່ມັນມີປະສິດທິພາບຫຼາຍທີ່ຈະລວມພວກມັນເຂົ້າໄປໃນບັນຊີລາຍຊື່ດຽວແລະນໍາໃຊ້ມັນກັບການໂຕ້ຕອບຜົນຜະລິດຂອງ router R2 ຫຼືການໂຕ້ຕອບການປ້ອນຂໍ້ມູນ S0/1/0 ຂອງ router R1.

ເຖິງແມ່ນວ່າກົດລະບຽບຂອງ Cisco ລະບຸວ່າ ACL ມາດຕະຖານຄວນຈະຖືກວາງໄວ້ໃກ້ກັບຈຸດຫມາຍປາຍທາງທີ່ເປັນໄປໄດ້, ຂ້ອຍຈະວາງມັນໄວ້ໃກ້ກັບແຫຼ່ງຂອງການຈະລາຈອນຫຼາຍກວ່າເກົ່າເພາະວ່າຂ້ອຍຕ້ອງການສະກັດການຈະລາຈອນຂາອອກທັງຫມົດ, ແລະມັນມີຄວາມຫມາຍຫຼາຍທີ່ຈະເຮັດສິ່ງນີ້ໃກ້ຊິດກັບ. ແຫຼ່ງເພື່ອໃຫ້ການຈະລາຈອນນີ້ບໍ່ສູນເສຍເຄືອຂ່າຍລະຫວ່າງສອງ routers.

ຂ້າພະເຈົ້າລືມບອກທ່ານກ່ຽວກັບເງື່ອນໄຂ, ດັ່ງນັ້ນຂໍໃຫ້ກັບຄືນຢ່າງໄວວາ. ທ່ານສາມາດກໍານົດໃດໆເປັນເງື່ອນໄຂ - ໃນກໍລະນີນີ້, ການຈະລາຈອນໃດໆຈາກອຸປະກອນແລະເຄືອຂ່າຍໃດໆຈະຖືກປະຕິເສດຫຼືອະນຸຍາດ. ນອກນັ້ນທ່ານຍັງສາມາດລະບຸເຈົ້າພາບທີ່ມີຕົວລະບຸຂອງມັນ - ໃນກໍລະນີນີ້, ການເຂົ້າຈະເປັນທີ່ຢູ່ IP ຂອງອຸປະກອນສະເພາະ. ສຸດທ້າຍ, ທ່ານສາມາດກໍານົດເຄືອຂ່າຍທັງຫມົດ, ສໍາລັບການຍົກຕົວຢ່າງ, 192.168.1.10/24. ໃນກໍລະນີນີ້, /24 ຈະຫມາຍເຖິງການມີຫນ້າກາກຍ່ອຍຂອງ 255.255.255.0, ແຕ່ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະລະບຸທີ່ຢູ່ IP ຂອງຫນ້າກາກຍ່ອຍໃນ ACL. ສໍາລັບກໍລະນີນີ້, ACL ມີແນວຄວາມຄິດທີ່ເອີ້ນວ່າ Wildcart Mask, ຫຼື "ຫນ້າກາກດ້ານຫຼັງ". ດັ່ງນັ້ນ, ທ່ານຕ້ອງລະບຸທີ່ຢູ່ IP ແລະກັບຄືນຫນ້າກາກ. ຫນ້າກາກດ້ານຫຼັງມີລັກສະນະນີ້: ທ່ານຕ້ອງລົບຫນ້າກາກຍ່ອຍໂດຍກົງຈາກຫນ້າກາກຍ່ອຍທົ່ວໄປ, ນັ້ນແມ່ນ, ຕົວເລກທີ່ກົງກັບຄ່າ octet ໃນຫນ້າກາກຕໍ່ຫນ້າແມ່ນຫັກອອກຈາກ 255.

ດັ່ງນັ້ນ, ທ່ານຄວນໃຊ້ພາລາມິເຕີ 192.168.1.10 0.0.0.255 ເປັນເງື່ອນໄຂໃນ ACL.

ມັນເຮັດວຽກແນວໃດ? ຖ້າມີ 0 ໃນ octet ໜ້າກາກກັບຄືນ, ເກນຖືກພິຈາລະນາໃຫ້ກົງກັບ octet ທີ່ສອດຄ້ອງກັນຂອງທີ່ຢູ່ IP ຂອງເຄືອຂ່າຍຍ່ອຍ. ຖ້າມີຕົວເລກຢູ່ໃນ backmask octet, ການຈັບຄູ່ບໍ່ໄດ້ຖືກກວດສອບ. ດັ່ງນັ້ນ, ສໍາລັບເຄືອຂ່າຍຂອງ 192.168.1.0 ແລະຫນ້າກາກກັບຄືນຂອງ 0.0.0.255, ການຈະລາຈອນທັງຫມົດຈາກທີ່ຢູ່ທີ່ມີສາມ octets ທໍາອິດເທົ່າກັບ 192.168.1., ໂດຍບໍ່ຄໍານຶງເຖິງມູນຄ່າຂອງ octet ທີສີ່, ຈະຖືກສະກັດຫຼືອະນຸຍາດໃຫ້ຂຶ້ນກັບ. ການ​ປະ​ຕິ​ບັດ​ທີ່​ລະ​ບຸ​ໄວ້​.

ການໃຊ້ຜ້າອັດດັງແບບປີ້ນກັບກັນແມ່ນງ່າຍ, ແລະພວກເຮົາຈະກັບມາຫາ Wildcart Mask ໃນວິດີໂອຕໍ່ໄປເພື່ອໃຫ້ຂ້ອຍສາມາດອະທິບາຍວິທີການເຮັດວຽກກັບມັນໄດ້.

28:50 ນ

ຂອບໃຈສໍາລັບການຢູ່ກັບພວກເຮົາ. ເຈົ້າມັກບົດຄວາມຂອງພວກເຮົາບໍ? ຕ້ອງການເບິ່ງເນື້ອຫາທີ່ຫນ້າສົນໃຈຫຼາຍບໍ? ສະຫນັບສະຫນູນພວກເຮົາໂດຍການວາງຄໍາສັ່ງຫຼືແນະນໍາໃຫ້ຫມູ່ເພື່ອນ, ສ່ວນຫຼຸດ 30% ສໍາລັບຜູ້ໃຊ້ Habr ໃນການປຽບທຽບທີ່ເປັນເອກະລັກຂອງເຊີບເວີລະດັບເຂົ້າ, ເຊິ່ງຖືກປະດິດໂດຍພວກເຮົາສໍາລັບທ່ານ: ຄວາມຈິງທັງໝົດກ່ຽວກັບ VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps ຈາກ $20 ຫຼືວິທີການແບ່ງປັນເຄື່ອງແມ່ຂ່າຍ? (ສາມາດໃຊ້ໄດ້ກັບ RAID1 ແລະ RAID10, ສູງສຸດ 24 cores ແລະສູງສຸດ 40GB DDR4).

Dell R730xd ລາຄາຖືກກວ່າ 2 ເທົ່າ? ທີ່ນີ້ເທົ່ານັ້ນ 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV ຈາກ $199 ໃນປະເທດເນເທີແລນ! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - ຈາກ $99! ອ່ານກ່ຽວກັບ ວິທີການສ້າງໂຄງສ້າງພື້ນຖານຂອງບໍລິສັດ. ຫ້ອງຮຽນທີ່ມີການນໍາໃຊ້ເຄື່ອງແມ່ຂ່າຍຂອງ Dell R730xd E5-2650 v4 ມູນຄ່າ 9000 ເອີໂຣສໍາລັບເງິນບໍ?

ແຫຼ່ງຂໍ້ມູນ: www.habr.com