ການຝຶກອົບຮົມ Cisco 200-125 CCNA v3.0. ວັນທີ 27. ແນະນໍາ ACL. ພາກທີ 2

ສິ່ງຫນຶ່ງທີ່ຂ້ອຍລືມທີ່ຈະກ່າວເຖິງແມ່ນວ່າ ACL ບໍ່ພຽງແຕ່ການກັ່ນຕອງການຈະລາຈອນບົນພື້ນຖານການອະນຸຍາດ / ປະຕິເສດ, ມັນປະຕິບັດຫນ້າທີ່ຫຼາຍ. ຕົວຢ່າງ, ACL ຖືກນໍາໃຊ້ເພື່ອເຂົ້າລະຫັດການຈະລາຈອນ VPN, ແຕ່ເພື່ອຜ່ານການສອບເສັງ CCNA, ທ່ານພຽງແຕ່ຕ້ອງການຮູ້ວ່າມັນຖືກນໍາໃຊ້ເພື່ອການກັ່ນຕອງການຈະລາຈອນ. ໃຫ້ກັບຄືນໄປຫາບັນຫາທີ 1.

ພວກເຮົາໄດ້ພົບເຫັນວ່າການຈະລາຈອນຂອງພະແນກບັນຊີແລະການຂາຍສາມາດຖືກສະກັດຢູ່ໃນການໂຕ້ຕອບຜົນຜະລິດ R2 ໂດຍໃຊ້ບັນຊີລາຍຊື່ ACL ຕໍ່ໄປນີ້.

ຢ່າກັງວົນກ່ຽວກັບຮູບແບບຂອງບັນຊີລາຍຊື່ນີ້, ມັນພຽງແຕ່ຫມາຍເຖິງຕົວຢ່າງທີ່ຈະຊ່ວຍໃຫ້ທ່ານເຂົ້າໃຈວ່າ ACL ແມ່ນຫຍັງ. ພວກເຮົາຈະໄປຫາຮູບແບບທີ່ຖືກຕ້ອງເມື່ອພວກເຮົາເລີ່ມຕົ້ນດ້ວຍ Packet Tracer.

ວຽກງານທີ 2 ຟັງຄືດັ່ງນີ້: ຫ້ອງເຊີຟເວີສາມາດຕິດຕໍ່ສື່ສານກັບໂຮສຕ່າງໆ, ຍົກເວັ້ນເຈົ້າພາບຂອງພະແນກຄຸ້ມຄອງ. ນັ້ນແມ່ນ, ຄອມພິວເຕີໃນຫ້ອງເຊີຟເວີສາມາດເຂົ້າຫາຄອມພິວເຕີໃດໆໃນພະແນກການຂາຍແລະບັນຊີ, ແຕ່ບໍ່ຄວນເຂົ້າເຖິງຄອມພິວເຕີໃນພະແນກຄຸ້ມຄອງ. ນີ້ຫມາຍຄວາມວ່າພະນັກງານ IT ຂອງຫ້ອງເຊີຟເວີບໍ່ຄວນມີການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກຂອງຄອມພິວເຕີຂອງຫົວຫນ້າພະແນກບໍລິຫານ, ແຕ່ໃນກໍລະນີມີບັນຫາ, ມາຫ້ອງການຂອງຕົນແລະແກ້ໄຂບັນຫາຢູ່ຈຸດ. ໃຫ້ສັງເກດວ່າວຽກງານນີ້ບໍ່ແມ່ນການປະຕິບັດເພາະວ່າຂ້ອຍບໍ່ຮູ້ເຫດຜົນໃດໆທີ່ຫ້ອງເຊີຟເວີບໍ່ສາມາດສື່ສານຜ່ານເຄືອຂ່າຍກັບພະແນກຄຸ້ມຄອງ, ດັ່ງນັ້ນໃນກໍລະນີນີ້ພວກເຮົາພຽງແຕ່ເບິ່ງກໍລະນີສຶກສາ.

ເພື່ອແກ້ໄຂບັນຫານີ້, ທໍາອິດທ່ານຈໍາເປັນຕ້ອງກໍານົດເສັ້ນທາງການຈະລາຈອນ. ຂໍ້ມູນຈາກຫ້ອງເຊີຟເວີມາຮອດອິນເຕີເຟດປ້ອນຂໍ້ມູນ G0/1 ຂອງເຣົາເຕີ R1 ແລະຖືກສົ່ງໄປຫາພະແນກບໍລິຫານຜ່ານສ່ວນຕິດຕໍ່ຜົນໄດ້ຮັບ G0/0.

ຖ້າພວກເຮົານໍາໃຊ້ເງື່ອນໄຂການປະຕິເສດ 192.168.1.192/27 ກັບອິນເຕີເຟດ input G0/1, ແລະຕາມທີ່ທ່ານຈື່, ACL ມາດຕະຖານຖືກວາງໄວ້ໃກ້ກັບແຫຼ່ງການຈະລາຈອນ, ພວກເຮົາຈະປິດການຈະລາຈອນທັງຫມົດ, ລວມທັງພະແນກການຂາຍແລະບັນຊີ.

ເນື່ອງຈາກພວກເຮົາຕ້ອງການສະກັດພຽງແຕ່ການຈະລາຈອນທີ່ມຸ້ງໄປຫາພະແນກຄຸ້ມຄອງ, ພວກເຮົາຕ້ອງໃຊ້ ACL ກັບສ່ວນຕິດຕໍ່ຜົນໄດ້ຮັບ G0/0. ບັນຫານີ້ສາມາດແກ້ໄຂໄດ້ໂດຍການວາງ ACL ໃກ້ກັບປາຍທາງເທົ່ານັ້ນ. ໃນຂະນະດຽວກັນ, ການຈາລະຈອນຈາກເຄືອຂ່າຍພະແນກບັນຊີແລະການຂາຍຕ້ອງເຂົ້າຫາພະແນກຄຸ້ມຄອງຢ່າງເສລີ, ດັ່ງນັ້ນເສັ້ນສຸດທ້າຍຂອງບັນຊີລາຍຊື່ຈະເປັນຄໍາສັ່ງ Permit - ອະນຸຍາດໃຫ້ການຈະລາຈອນໃດໆ, ຍົກເວັ້ນການຈະລາຈອນທີ່ລະບຸໄວ້ໃນເງື່ອນໄຂທີ່ຜ່ານມາ.

ຂໍໃຫ້ກ້າວໄປສູ່ວຽກງານທີ 3: ຄອມພິວເຕີແລັບທັອບ 3 ຈາກພະແນກການຂາຍບໍ່ຄວນມີການເຂົ້າເຖິງອຸປະກອນໃດໆນອກເຫນືອຈາກອຸປະກອນທີ່ຕັ້ງຢູ່ໃນເຄືອຂ່າຍທ້ອງຖິ່ນຂອງພະແນກການຂາຍ. ໃຫ້ສົມມຸດວ່າຜູ້ຝຶກຫັດກໍາລັງເຮັດວຽກຢູ່ໃນຄອມພິວເຕີນີ້ແລະບໍ່ຄວນໄປເກີນ LAN ຂອງລາວ.
ໃນກໍລະນີນີ້, ທ່ານຈໍາເປັນຕ້ອງໃຊ້ ACL ໃນການໂຕ້ຕອບການປ້ອນຂໍ້ມູນ G0/1 ຂອງ router R2. ຖ້າພວກເຮົາມອບຫມາຍທີ່ຢູ່ IP 192.168.1.3/25 ໃຫ້ກັບຄອມພິວເຕີເຄື່ອງນີ້, ເງື່ອນໄຂການປະຕິເສດ 192.168.1.3/25 ຕ້ອງໄດ້ຮັບການຕອບສະຫນອງ, ແລະການຈະລາຈອນຈາກທີ່ຢູ່ IP ອື່ນຕ້ອງບໍ່ຖືກບລັອກ, ດັ່ງນັ້ນແຖວສຸດທ້າຍຂອງບັນຊີລາຍຊື່ຈະຖືກອະນຸຍາດ. ໃດ.

ຢ່າງໃດກໍ່ຕາມ, ການຂັດຂວາງການຈະລາຈອນຈະບໍ່ມີຜົນກະທົບໃດໆກັບ Laptop2.

ວຽກງານຕໍ່ໄປຈະເປັນວຽກງານທີ 4: ພຽງແຕ່ຄອມພິວເຕີ PC0 ຂອງພະແນກການເງິນສາມາດເຂົ້າຫາເຄືອຂ່າຍເຊີຟເວີ, ແຕ່ບໍ່ແມ່ນພະແນກຄຸ້ມຄອງ.

ຖ້າທ່ານຈື່, ACL ຈາກ Task #1 ຂັດຂວາງການຈະລາຈອນຂາອອກທັງຫມົດໃນການໂຕ້ຕອບ S0/1/0 ຂອງ router R2, ແຕ່ Task #4 ບອກວ່າພວກເຮົາຕ້ອງການໃຫ້ແນ່ໃຈວ່າພຽງແຕ່ການຈະລາຈອນ PC0 ຜ່ານ, ດັ່ງນັ້ນພວກເຮົາຕ້ອງເຮັດຂໍ້ຍົກເວັ້ນ.

ວຽກງານທັງຫມົດທີ່ພວກເຮົາກໍາລັງແກ້ໄຂໃນປັດຈຸບັນຄວນຊ່ວຍທ່ານໃນສະຖານະການທີ່ແທ້ຈິງໃນເວລາທີ່ຕັ້ງ ACLs ສໍາລັບເຄືອຂ່າຍຫ້ອງການ. ເພື່ອຄວາມສະດວກສະບາຍ, ຂ້ອຍໄດ້ໃຊ້ການເຂົ້າປະເພດຄລາສສິກ, ແຕ່ຂ້ອຍແນະນໍາໃຫ້ເຈົ້າຂຽນເສັ້ນທັງຫມົດດ້ວຍຕົນເອງໃສ່ເຈ້ຍຫຼືພິມໃສ່ໃນຄອມພິວເຕີ້ເພື່ອໃຫ້ເຈົ້າສາມາດແກ້ໄຂລາຍການໄດ້. ໃນກໍລະນີຂອງພວກເຮົາ, ອີງຕາມເງື່ອນໄຂຂອງວຽກງານທີ 1, ບັນຊີລາຍຊື່ ACL ຄລາສສິກໄດ້ຖືກລວບລວມ. ຖ້າພວກເຮົາຕ້ອງການເພີ່ມຂໍ້ຍົກເວັ້ນໃຫ້ກັບມັນສໍາລັບ PC0 ຂອງປະເພດ Permit , ຫຼັງຈາກນັ້ນພວກເຮົາສາມາດຈັດວາງເສັ້ນນີ້ພຽງແຕ່ສີ່ໃນບັນຊີລາຍຊື່, ຫຼັງຈາກ Permit ເສັ້ນໃດ. ຢ່າງໃດກໍຕາມ, ນັບຕັ້ງແຕ່ທີ່ຢູ່ຂອງຄອມພິວເຕີນີ້ແມ່ນລວມຢູ່ໃນຂອບເຂດຂອງທີ່ຢູ່ສໍາລັບການກວດສອບເງື່ອນໄຂການປະຕິເສດ 0/192.168.1.128, ການຈະລາຈອນຂອງມັນຈະຖືກສະກັດທັນທີຫຼັງຈາກເງື່ອນໄຂນີ້ຖືກພົບແລະ router ຈະບໍ່ເຂົ້າເຖິງການກວດສອບແຖວທີສີ່, ອະນຸຍາດໃຫ້. ການຈະລາຈອນຈາກທີ່ຢູ່ IP ນີ້.
ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າຈະຕ້ອງໄດ້ເຮັດຄືນໃຫມ່ບັນຊີລາຍຊື່ ACL ຂອງ Task No. 1, ລົບເສັ້ນທໍາອິດແລະປ່ຽນມັນດ້ວຍ Line Permit 192.168.1.130/26, ເຊິ່ງອະນຸຍາດໃຫ້ການຈະລາຈອນຈາກ PC0, ແລະຫຼັງຈາກນັ້ນເຂົ້າໄປໃນເສັ້ນໃຫມ່ທີ່ຫ້າມການຈະລາຈອນທັງຫມົດ. ຈາກພະແນກບັນຊີ ແລະການຂາຍ.

ດັ່ງນັ້ນ, ໃນແຖວທໍາອິດພວກເຮົາມີຄໍາສັ່ງສໍາລັບທີ່ຢູ່ສະເພາະ, ແລະໃນທີສອງ - ທົ່ວໄປສໍາລັບເຄືອຂ່າຍທັງຫມົດທີ່ທີ່ຢູ່ນີ້ຕັ້ງຢູ່. ຖ້າທ່ານກໍາລັງໃຊ້ປະເພດ ACL ທີ່ທັນສະໄຫມ, ທ່ານສາມາດເຮັດການປ່ຽນແປງໄດ້ງ່າຍໂດຍການວາງເສັ້ນ Permit 192.168.1.130/26 ເປັນຄໍາສັ່ງທໍາອິດ. ຖ້າທ່ານມີ ACL ຄລາສສິກ, ທ່ານຈະຕ້ອງເອົາມັນອອກຫມົດແລ້ວໃສ່ຄໍາສັ່ງໃຫມ່ໃນຄໍາສັ່ງທີ່ຖືກຕ້ອງ.

ການແກ້ໄຂບັນຫາສະບັບເລກທີ 4 ແມ່ນການວາງສາຍ Permit 192.168.1.130/26 ໃນຕອນຕົ້ນຂອງບັນຊີລາຍຊື່ ACL ຈາກບັນຫາທີ 1, ເພາະວ່າພຽງແຕ່ໃນກໍລະນີນີ້ຈະຈາລະຈອນຈາກ PC0 ໄດ້ຢ່າງເສລີອອກຈາກການໂຕ້ຕອບຜົນຜະລິດຂອງ router R2. ການຈະລາຈອນຂອງ PC1 ຈະຖືກສະກັດກັ້ນຢ່າງສົມບູນເພາະວ່າທີ່ຢູ່ IP ຂອງມັນແມ່ນຂຶ້ນກັບການຫ້າມທີ່ມີຢູ່ໃນແຖວທີສອງຂອງບັນຊີລາຍຊື່.

ຕອນນີ້ພວກເຮົາຈະຍ້າຍໄປທີ່ Packet Tracer ເພື່ອເຮັດໃຫ້ການຕັ້ງຄ່າທີ່ຈໍາເປັນ. ຂ້ອຍໄດ້ກຳນົດຄ່າທີ່ຢູ່ IP ຂອງອຸປະກອນທັງໝົດແລ້ວ ເພາະວ່າແຜນວາດກ່ອນໜ້ານີ້ງ່າຍໜ້ອຍໜຶ່ງທີ່ຈະເຂົ້າໃຈໄດ້. ນອກຈາກນັ້ນ, ຂ້າພະເຈົ້າໄດ້ຕັ້ງຄ່າ RIP ລະຫວ່າງສອງ routers. ໃນ topology ເຄືອຂ່າຍທີ່ໃຫ້, ການສື່ສານລະຫວ່າງອຸປະກອນທັງຫມົດຂອງ 4 subnets ແມ່ນເປັນໄປໄດ້ໂດຍບໍ່ມີຂໍ້ຈໍາກັດໃດໆ. ແຕ່ທັນທີທີ່ພວກເຮົານໍາໃຊ້ ACL, ການຈະລາຈອນຈະເລີ່ມຖືກກັ່ນຕອງ.

ຂ້ອຍຈະເລີ່ມຕົ້ນກັບພະແນກການເງິນ PC1 ແລະພະຍາຍາມ ping ທີ່ຢູ່ IP 192.168.1.194, ເຊິ່ງເປັນຂອງ Server0, ທີ່ຕັ້ງຢູ່ໃນຫ້ອງເຊີຟເວີ. ດັ່ງທີ່ທ່ານສາມາດເຫັນໄດ້, ping ແມ່ນປະສົບຜົນສໍາເລັດໂດຍບໍ່ມີບັນຫາໃດໆ. ຂ້າພະເຈົ້າຍັງປະສົບຜົນສໍາເລັດ ping Laptop0 ຈາກພະແນກບໍລິຫານ. ແພັກເກັດທໍາອິດຖືກຍົກເລີກເນື່ອງຈາກ ARP, ສ່ວນທີ່ຍັງເຫຼືອ 3 ແມ່ນຖືກ pinged ຢ່າງເສລີ.

ເພື່ອຈັດລະບຽບການກັ່ນຕອງການຈະລາຈອນ, ຂ້ອຍເຂົ້າໄປໃນການຕັ້ງຄ່າຂອງ R2 router, ເປີດໃຊ້ໂຫມດການຕັ້ງຄ່າທົ່ວໂລກແລະຂ້ອຍຈະສ້າງບັນຊີລາຍຊື່ ACL ທີ່ທັນສະໄຫມ. ພວກເຮົາຍັງມີ ACL 10 ທີ່ເບິ່ງແບບຄລາສສິກ. ເພື່ອສ້າງບັນຊີລາຍຊື່ທໍາອິດ, ຂ້ອຍໃສ່ຄໍາສັ່ງທີ່ທ່ານຈໍາເປັນຕ້ອງລະບຸຊື່ລາຍຊື່ດຽວກັນທີ່ພວກເຮົາຂຽນໄວ້ໃນເຈ້ຍ: ip access-list standard ACL Secure_Ma_And_Se. ຫຼັງຈາກນັ້ນ, ລະບົບຈະເຕືອນສໍາລັບພາລາມິເຕີທີ່ເປັນໄປໄດ້: ຂ້ອຍສາມາດເລືອກການປະຕິເສດ, ອອກ, ບໍ່, ອະນຸຍາດຫຼືຂໍ້ສັງເກດ, ແລະຍັງໃສ່ເລກລໍາດັບຈາກ 1 ຫາ 2147483647. ຖ້າຂ້ອຍບໍ່ເຮັດແນວນີ້, ລະບົບຈະມອບຫມາຍອັດຕະໂນມັດ.

ດັ່ງນັ້ນ, ຂ້ອຍບໍ່ໃສ່ຕົວເລກນີ້, ແຕ່ທັນທີທັນໃດໄປຫາ host ໃບອະນຸຍາດ 192.168.1.130 ຄໍາສັ່ງ, ເນື່ອງຈາກວ່າການອະນຸຍາດນີ້ແມ່ນຖືກຕ້ອງສໍາລັບອຸປະກອນ PC0 ສະເພາະ. ຂ້ອຍຍັງສາມາດໃຊ້ຜ້າອັດດັງ Wildcard ແບບປີ້ນກັບກັນໄດ້, ຕອນນີ້ຂ້ອຍຈະສະແດງວິທີເຮັດມັນ.

ຕໍ່ໄປ, ຂ້າພະເຈົ້າເຂົ້າໄປໃນຄໍາສັ່ງປະຕິເສດ 192.168.1.128. ນັບຕັ້ງແຕ່ພວກເຮົາມີ /26, ຂ້ອຍໃຊ້ຫນ້າກາກປີ້ນກັບກັນແລະເສີມຄໍາສັ່ງກັບມັນ: ປະຕິເສດ 192.168.1.128 0.0.0.63. ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າປະຕິເສດການຈະລາຈອນກັບເຄືອຂ່າຍ 192.168.1.128/26.

ເຊັ່ນດຽວກັນ, ຂ້ອຍຕັນການຈະລາຈອນຈາກເຄືອຂ່າຍຕໍ່ໄປນີ້: ປະຕິເສດ 192.168.1.0 0.0.0.127. ການຈະລາຈອນອື່ນໆທັງຫມົດແມ່ນອະນຸຍາດໃຫ້, ສະນັ້ນຂ້າພະເຈົ້າເຂົ້າໄປໃນຄໍາສັ່ງອະນຸຍາດໃຫ້ໃດ. ຕໍ່ໄປຂ້ອຍຕ້ອງໃຊ້ບັນຊີລາຍຊື່ນີ້ກັບການໂຕ້ຕອບ, ດັ່ງນັ້ນຂ້ອຍໃຊ້ຄໍາສັ່ງ int s0/1/0. ຫຼັງຈາກນັ້ນ, ຂ້ອຍພິມ ip access-group Secure_Ma_And_Se, ແລະລະບົບຈະເຕືອນຂ້ອຍໃຫ້ເລືອກອິນເຕີເຟດ - ໃນສໍາລັບແພັກເກັດຂາເຂົ້າແລະຂາອອກ. ພວກເຮົາຈໍາເປັນຕ້ອງໃຊ້ ACL ກັບການໂຕ້ຕອບຜົນໄດ້ຮັບ, ດັ່ງນັ້ນຂ້ອຍໃຊ້ຄໍາສັ່ງ ip access-group Secure_Ma_And_Se out.

ໃຫ້ໄປທີ່ເສັ້ນຄໍາສັ່ງ PC0 ແລະ ping ທີ່ຢູ່ IP 192.168.1.194, ເຊິ່ງຂຶ້ນກັບເຄື່ອງແມ່ຂ່າຍຂອງ Server0. ping ແມ່ນປະສົບຜົນສໍາເລັດເພາະວ່າພວກເຮົາໄດ້ໃຊ້ເງື່ອນໄຂ ACL ພິເສດສໍາລັບການຈະລາຈອນ PC0. ຖ້າຂ້ອຍເຮັດເຊັ່ນດຽວກັນຈາກ PC1, ລະບົບຈະສ້າງຂໍ້ຜິດພາດ: "ເຈົ້າພາບປາຍທາງບໍ່ສາມາດໃຊ້ໄດ້", ເພາະວ່າການຈະລາຈອນຈາກທີ່ຢູ່ IP ທີ່ຍັງເຫຼືອຂອງພະແນກບັນຊີຖືກບລັອກຈາກການເຂົ້າເຖິງຫ້ອງເຊີຟເວີ.

ໂດຍການເຂົ້າສູ່ລະບົບ CLI ຂອງ R2 router ແລະພິມຄໍາສັ່ງ show ip address-lists, ທ່ານສາມາດເບິ່ງວິທີການສົ່ງຕໍ່ເຄືອຂ່າຍຂອງພະແນກການເງິນ - ມັນສະແດງໃຫ້ເຫັນວ່າຈໍານວນ ping ຖືກສົ່ງຜ່ານຕາມການອະນຸຍາດແລະຈໍານວນຄັ້ງທີ່ມັນແມ່ນ. ຖືກສະກັດຕາມຂໍ້ຫ້າມ.

ພວກເຮົາສາມາດໄປຫາການຕັ້ງຄ່າ router ແລະເບິ່ງລາຍຊື່ການເຂົ້າເຖິງ. ສະ​ນັ້ນ, ເງື່ອນ​ໄຂ​ຂອງ​ວຽກ​ງານ​ເລກ 1 ​ແລະ ​ເລກ 4 ​ແມ່ນ​ບັນລຸ​ໄດ້. ຂ້າພະເຈົ້າຂໍສະແດງໃຫ້ທ່ານເຫັນອີກຢ່າງຫນຶ່ງ. ຖ້າຂ້ອຍຕ້ອງການແກ້ໄຂບາງສິ່ງບາງຢ່າງ, ຂ້ອຍສາມາດເຂົ້າໄປໃນໂຫມດການຕັ້ງຄ່າທົ່ວໂລກຂອງການຕັ້ງຄ່າ R2, ໃສ່ຄໍາສັ່ງ ip access-list standard Secure_Ma_And_Se ແລະຫຼັງຈາກນັ້ນຄໍາສັ່ງ “host 192.168.1.130 is not allow” - no permit host 192.168.1.130.

ຖ້າພວກເຮົາເບິ່ງລາຍຊື່ການເຂົ້າເຖິງອີກເທື່ອຫນຶ່ງ, ພວກເຮົາຈະເຫັນວ່າເສັ້ນ 10 ໄດ້ຫາຍໄປ, ພວກເຮົາມີພຽງແຕ່ເສັ້ນ 20,30, 40 ແລະ XNUMX ເທົ່ານັ້ນທີ່ຍັງເຫຼືອ, ດັ່ງນັ້ນ, ທ່ານສາມາດແກ້ໄຂບັນຊີລາຍຊື່ການເຂົ້າເຖິງ ACL ໃນການຕັ້ງຄ່າ router, ແຕ່ພຽງແຕ່ຖ້າມັນບໍ່ໄດ້ຖືກລວບລວມ ໃນຮູບແບບຄລາສສິກ.

ຕອນນີ້ໃຫ້ຍ້າຍໄປທີ່ ACL ທີສາມ, ເພາະວ່າມັນຍັງກ່ຽວຂ້ອງກັບ router R2. ມັນບອກວ່າການຈະລາຈອນໃດໆຈາກ Laptop3 ບໍ່ຄວນອອກຈາກເຄືອຂ່າຍຂອງພະແນກການຂາຍ. ໃນກໍລະນີນີ້, Laptop2 ຄວນຕິດຕໍ່ສື່ສານໂດຍບໍ່ມີບັນຫາກັບຄອມພິວເຕີຂອງພະແນກການເງິນ. ເພື່ອທົດສອບນີ້, ຂ້າພະເຈົ້າ ping ທີ່ຢູ່ IP 192.168.1.130 ຈາກຄອມພິວເຕີໂນດບຸກນີ້ແລະໃຫ້ແນ່ໃຈວ່າທຸກສິ່ງທຸກຢ່າງເຮັດວຽກ.

ຕອນນີ້ຂ້ອຍຈະໄປທີ່ເສັ້ນຄໍາສັ່ງຂອງ Laptop3 ແລະ ping ທີ່ຢູ່ 192.168.1.130. Pinging ແມ່ນປະສົບຜົນສໍາເລັດ, ແຕ່ພວກເຮົາບໍ່ຕ້ອງການມັນ, ເພາະວ່າຕາມເງື່ອນໄຂຂອງຫນ້າວຽກ, Laptop3 ສາມາດຕິດຕໍ່ກັບ Laptop2 ເທົ່ານັ້ນ, ເຊິ່ງຕັ້ງຢູ່ໃນເຄືອຂ່າຍຂອງພະແນກການຂາຍດຽວກັນ. ເພື່ອເຮັດສິ່ງນີ້, ທ່ານຈໍາເປັນຕ້ອງສ້າງ ACL ອື່ນໂດຍໃຊ້ວິທີການຄລາສສິກ.

ຂ້ອຍຈະກັບໄປທີ່ການຕັ້ງຄ່າ R2 ແລະພະຍາຍາມກູ້ຂໍ້ມູນທີ່ຖືກລົບອອກ 10 ໂດຍໃຊ້ຄໍາສັ່ງອະນຸຍາດ host 192.168.1.130. ທ່ານເຫັນວ່າລາຍການນີ້ປາກົດຢູ່ໃນຕອນທ້າຍຂອງບັນຊີລາຍຊື່ທີ່ເລກ 50. ຢ່າງໃດກໍຕາມ, ການເຂົ້າເຖິງຈະບໍ່ເຮັດວຽກ, ເພາະວ່າເສັ້ນທີ່ອະນຸຍາດໃຫ້ເຈົ້າພາບສະເພາະແມ່ນຢູ່ໃນຕອນທ້າຍຂອງບັນຊີລາຍຊື່, ແລະເສັ້ນຫ້າມການຈະລາຈອນເຄືອຂ່າຍທັງຫມົດແມ່ນຢູ່ເທິງສຸດ. ຂອງບັນຊີລາຍຊື່. ຖ້າພວກເຮົາພະຍາຍາມ ping Laptop0 ຂອງພະແນກບໍລິຫານຈາກ PC0, ພວກເຮົາຈະໄດ້ຮັບຂໍ້ຄວາມວ່າ "ເຈົ້າພາບປາຍທາງບໍ່ສາມາດເຂົ້າເຖິງໄດ້," ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າມີການອະນຸຍາດໃຫ້ເຂົ້າຢູ່ໃນເລກ 50 ໃນ ACL.

ດັ່ງນັ້ນ, ຖ້າທ່ານຕ້ອງການແກ້ໄຂ ACL ທີ່ມີຢູ່ແລ້ວ, ທ່ານຈໍາເປັນຕ້ອງໃສ່ຄໍາສັ່ງ no permit host 2 ໃນ R192.168.1.130 mode (config-std-nacl), ກວດເບິ່ງວ່າເສັ້ນ 50 ໄດ້ຫາຍໄປຈາກບັນຊີລາຍຊື່, ແລະໃສ່ຄໍາສັ່ງ 10 permit. ເຈົ້າພາບ 192.168.1.130. ພວກເຮົາເຫັນວ່າບັນຊີລາຍຊື່ດັ່ງກ່າວໄດ້ກັບຄືນສູ່ຮູບແບບຕົ້ນສະບັບຂອງມັນ, ດ້ວຍລາຍການນີ້ຢູ່ໃນອັນດັບທໍາອິດ. ຕົວເລກລໍາດັບຊ່ວຍແກ້ໄຂບັນຊີລາຍຊື່ໃນຮູບແບບໃດກໍ່ຕາມ, ດັ່ງນັ້ນຮູບແບບທີ່ທັນສະໄຫມຂອງ ACL ແມ່ນສະດວກກວ່າແບບຄລາສສິກ.

ຕອນນີ້ຂ້ອຍຈະສະແດງວິທີການແບບຄລາສສິກຂອງບັນຊີລາຍຊື່ ACL 10 ເຮັດວຽກເພື່ອໃຊ້ບັນຊີລາຍຊື່ຄລາສສິກ, ທ່ານຈໍາເປັນຕ້ອງໃສ່ຄໍາສັ່ງ access-list 10?, ແລະ, ປະຕິບັດຕາມການເຕືອນ, ເລືອກການປະຕິບັດທີ່ຕ້ອງການ: ປະຕິເສດ, ອະນຸຍາດຫຼືຂໍ້ສັງເກດ. ຫຼັງຈາກນັ້ນ, ຂ້າພະເຈົ້າເຂົ້າໄປໃນ line access-list 10 deny host, ຫຼັງຈາກນັ້ນຂ້າພະເຈົ້າພິມຄໍາສັ່ງ access-list 10 ປະຕິເສດ 192.168.1.3 ແລະເພີ່ມຫນ້າກາກ reverse. ເນື່ອງຈາກພວກເຮົາມີເຈົ້າພາບ, ຫນ້າກາກຍ່ອຍຕໍ່ຫນ້າແມ່ນ 255.255.255.255, ແລະປີ້ນກັບກັນແມ່ນ 0.0.0.0. ດັ່ງນັ້ນ, ເພື່ອປະຕິເສດການຈາລະຈອນຂອງເຈົ້າພາບ, ຂ້ອຍຕ້ອງເຂົ້າໄປໃນຄໍາສັ່ງ access-list 10 ປະຕິເສດ 192.168.1.3 0.0.0.0. ຫຼັງຈາກນີ້, ທ່ານຈໍາເປັນຕ້ອງລະບຸການອະນຸຍາດ, ທີ່ຂ້ອຍພິມຄໍາສັ່ງ access-list 10 ອະນຸຍາດໃຫ້ໃດໆ. ບັນຊີລາຍຊື່ນີ້ຕ້ອງການທີ່ຈະຖືກນໍາໃຊ້ກັບການໂຕ້ຕອບ G0/1 ຂອງ router R2, ສະນັ້ນຂ້າພະເຈົ້າຕາມລໍາດັບໃສ່ຄໍາສັ່ງໃນ g0/1, ip access-group 10 in. ບໍ່ວ່າບັນຊີລາຍຊື່ໃດຖືກນໍາໃຊ້, ຄລາສສິກຫຼືທີ່ທັນສະໄຫມ, ຄໍາສັ່ງດຽວກັນຖືກນໍາໃຊ້ເພື່ອນໍາໃຊ້ບັນຊີລາຍຊື່ນີ້ໃນການໂຕ້ຕອບ.

ເພື່ອກວດເບິ່ງວ່າການຕັ້ງຄ່າຖືກຕ້ອງ, ຂ້ອຍໄປທີ່ Terminal ເສັ້ນຄໍາສັ່ງຂອງ Laptop3 ແລະພະຍາຍາມ ping ທີ່ຢູ່ IP 192.168.1.130 - ດັ່ງທີ່ເຈົ້າເຫັນ, ລະບົບລາຍງານວ່າ host ປາຍທາງແມ່ນບໍ່ສາມາດຕິດຕໍ່ໄດ້.

ຂ້າພະເຈົ້າຂໍເຕືອນທ່ານວ່າເພື່ອກວດເບິ່ງລາຍການທ່ານສາມາດນໍາໃຊ້ທັງ show ip access-lists ແລະສະແດງຄໍາສັ່ງ access-lists. ພວກເຮົາຕ້ອງແກ້ໄຂບັນຫາຫນຶ່ງ, ເຊິ່ງກ່ຽວຂ້ອງກັບ router R1. ເພື່ອເຮັດສິ່ງນີ້, ຂ້ອຍໄປທີ່ CLI ຂອງ router ນີ້ແລະໄປທີ່ຮູບແບບການຕັ້ງຄ່າທົ່ວໂລກແລະໃສ່ຄໍາສັ່ງ ip access-list standard Secure_Ma_From_Se. ເນື່ອງຈາກພວກເຮົາມີເຄືອຂ່າຍ 192.168.1.192/27, subnet mask ຂອງມັນຈະເປັນ 255.255.255.224, ຊຶ່ງຫມາຍຄວາມວ່າ reverse mask ຈະເປັນ 0.0.0.31 ແລະພວກເຮົາຈໍາເປັນຕ້ອງໃສ່ຄໍາສັ່ງປະຕິເສດ 192.168.1.192 0.0.0.31. ນັບຕັ້ງແຕ່ການຈະລາຈອນອື່ນໆທັງຫມົດໄດ້ຖືກອະນຸຍາດໃຫ້, ບັນຊີລາຍຊື່ສິ້ນສຸດລົງດ້ວຍຄໍາສັ່ງອະນຸຍາດໃຫ້ໃດໆ. ໃນຄໍາສັ່ງທີ່ຈະນໍາໃຊ້ ACL ກັບການໂຕ້ຕອບຜົນໄດ້ຮັບຂອງ router, ໃຊ້ຄໍາສັ່ງ ip access-group Secure_Ma_From_Se out.

ຕອນນີ້ຂ້ອຍຈະໄປທີ່ເສັ້ນຄໍາສັ່ງຂອງ Server0 ແລະພະຍາຍາມ ping Laptop0 ຂອງພະແນກຄຸ້ມຄອງຢູ່ທີ່ IP address 192.168.1.226. ຄວາມພະຍາຍາມດັ່ງກ່າວບໍ່ປະສົບຜົນສໍາເລັດ, ແຕ່ຖ້າຂ້ອຍ pinged 192.168.1.130, ການເຊື່ອມຕໍ່ໄດ້ຖືກສ້າງຕັ້ງຂຶ້ນໂດຍບໍ່ມີບັນຫາ, ນັ້ນແມ່ນ, ພວກເຮົາຫ້າມຄອມພິວເຕີເຊີຟເວີຕິດຕໍ່ສື່ສານກັບພະແນກຄຸ້ມຄອງ, ແຕ່ອະນຸຍາດໃຫ້ຕິດຕໍ່ສື່ສານກັບອຸປະກອນອື່ນໆທັງຫມົດໃນພະແນກອື່ນໆ. ດັ່ງນັ້ນ, ພວກເຮົາໄດ້ແກ້ໄຂ 4 ບັນຫາຢ່າງສໍາເລັດຜົນ.

ໃຫ້ຂ້ອຍສະແດງສິ່ງອື່ນໃຫ້ເຈົ້າເບິ່ງ. ພວກເຮົາເຂົ້າໄປໃນການຕັ້ງຄ່າຂອງ R2 router, ບ່ອນທີ່ພວກເຮົາມີ 2 ປະເພດຂອງ ACL - ຄລາສສິກແລະທັນສະໄຫມ. ໃຫ້ເວົ້າວ່າຂ້ອຍຕ້ອງການແກ້ໄຂ ACL 10, ບັນຊີລາຍຊື່ການເຂົ້າເຖິງ IP ມາດຕະຖານ 10, ເຊິ່ງໃນຮູບແບບຄລາສສິກຂອງມັນປະກອບດ້ວຍສອງລາຍການ 10 ແລະ 20. ຖ້າຂ້ອຍໃຊ້ຄໍາສັ່ງ do show run, ຂ້ອຍສາມາດເຫັນໄດ້ວ່າທໍາອິດພວກເຮົາມີບັນຊີລາຍຊື່ການເຂົ້າເຖິງທີ່ທັນສະໄຫມຂອງ 4. ລາຍການທີ່ບໍ່ມີຕົວເລກພາຍໃຕ້ຫົວຂໍ້ທົ່ວໄປ Secure_Ma_And_Se, ແລະຂ້າງລຸ່ມນີ້ແມ່ນສອງລາຍການ ACL 10 ຂອງແບບຟອມຄລາສສິກທີ່ເຮັດຊ້ໍາຊື່ຂອງລາຍຊື່ການເຂົ້າເຖິງດຽວກັນ 10.

ຖ້າຂ້ອຍຕ້ອງການເຮັດການປ່ຽນແປງບາງຢ່າງເຊັ່ນການຖອນການປະຕິເສດ host 192.168.1.3 ແລະແນະນໍາການເຂົ້າສໍາລັບອຸປະກອນໃນເຄືອຂ່າຍທີ່ແຕກຕ່າງກັນ, ຂ້ອຍຈໍາເປັນຕ້ອງໃຊ້ຄໍາສັ່ງລົບສໍາລັບການເຂົ້ານັ້ນເທົ່ານັ້ນ: no access-list 10 deny host 192.168.1.3 .10. ແຕ່ທັນທີທີ່ຂ້ອຍເຂົ້າໄປໃນຄໍາສັ່ງນີ້, ທຸກໆລາຍການ ACL XNUMX ຫາຍໄປຫມົດ, ນີ້ແມ່ນເຫດຜົນທີ່ວ່າມຸມເບິ່ງຄລາສສິກຂອງ ACL ແມ່ນບໍ່ສະດວກຫຼາຍທີ່ຈະແກ້ໄຂ. ວິທີການບັນທຶກທີ່ທັນສະໄຫມແມ່ນສະດວກກວ່າທີ່ຈະນໍາໃຊ້, ຍ້ອນວ່າມັນອະນຸຍາດໃຫ້ແກ້ໄຂໄດ້ຟຣີ.

ເພື່ອຮຽນຮູ້ເອກະສານໃນບົດຮຽນວິດີໂອນີ້, ຂ້າພະເຈົ້າແນະນໍາໃຫ້ທ່ານເບິ່ງມັນອີກເທື່ອຫນຶ່ງແລະພະຍາຍາມແກ້ໄຂບັນຫາທີ່ສົນທະນາດ້ວຍຕົນເອງໂດຍບໍ່ມີຄໍາແນະນໍາໃດໆ. ACL ເປັນຫົວຂໍ້ທີ່ສໍາຄັນໃນຫຼັກສູດ CCNA, ແລະຫຼາຍໆຄົນກໍ່ສັບສົນໂດຍຕົວຢ່າງ, ຂັ້ນຕອນການສ້າງຫນ້າກາກ Wildcard ປີ້ນກັບກັນ. ຂ້າພະເຈົ້າຮັບປະກັນທ່ານ, ພຽງແຕ່ເຂົ້າໃຈແນວຄວາມຄິດຂອງການຫັນຫນ້າກາກ, ແລະທຸກສິ່ງທຸກຢ່າງຈະກາຍເປັນງ່າຍຂຶ້ນຫຼາຍ. ຈົ່ງຈື່ໄວ້ວ່າສິ່ງທີ່ສໍາຄັນທີ່ສຸດໃນການເຂົ້າໃຈຫົວຂໍ້ຫຼັກສູດ CCNA ແມ່ນການຝຶກອົບຮົມພາກປະຕິບັດ, ເພາະວ່າການປະຕິບັດພຽງແຕ່ຈະຊ່ວຍໃຫ້ທ່ານເຂົ້າໃຈແນວຄວາມຄິດຂອງ Cisco ນີ້. ການປະຕິບັດບໍ່ແມ່ນການຄັດລອກ - ວາງທີມງານຂອງຂ້ອຍ, ແຕ່ແກ້ໄຂບັນຫາດ້ວຍວິທີຂອງເຈົ້າເອງ. ຖາມຕົວທ່ານເອງຄໍາຖາມ: ສິ່ງທີ່ຕ້ອງເຮັດເພື່ອສະກັດກັ້ນການໄຫຼວຽນຂອງການຈະລາຈອນຈາກທີ່ນີ້ໄປຫາບ່ອນນັ້ນ, ບ່ອນທີ່ຈະນໍາໃຊ້ເງື່ອນໄຂ, ແລະອື່ນໆ, ແລະພະຍາຍາມຕອບພວກເຂົາ.

ຂອບໃຈສໍາລັບການຢູ່ກັບພວກເຮົາ. ເຈົ້າມັກບົດຄວາມຂອງພວກເຮົາບໍ? ຕ້ອງການເບິ່ງເນື້ອຫາທີ່ຫນ້າສົນໃຈຫຼາຍບໍ? ສະຫນັບສະຫນູນພວກເຮົາໂດຍການວາງຄໍາສັ່ງຫຼືແນະນໍາໃຫ້ຫມູ່ເພື່ອນ, ສ່ວນຫຼຸດ 30% ສໍາລັບຜູ້ໃຊ້ Habr ໃນການປຽບທຽບທີ່ເປັນເອກະລັກຂອງເຊີບເວີລະດັບເຂົ້າ, ເຊິ່ງຖືກປະດິດໂດຍພວກເຮົາສໍາລັບທ່ານ: ຄວາມຈິງທັງໝົດກ່ຽວກັບ VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps ຈາກ $20 ຫຼືວິທີການແບ່ງປັນເຄື່ອງແມ່ຂ່າຍ? (ສາມາດໃຊ້ໄດ້ກັບ RAID1 ແລະ RAID10, ສູງສຸດ 24 cores ແລະສູງສຸດ 40GB DDR4).

Dell R730xd ລາຄາຖືກກວ່າ 2 ເທົ່າ? ທີ່ນີ້ເທົ່ານັ້ນ 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV ຈາກ $199 ໃນປະເທດເນເທີແລນ! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - ຈາກ $99! ອ່ານກ່ຽວກັບ ວິທີການສ້າງໂຄງສ້າງພື້ນຖານຂອງບໍລິສັດ. ຫ້ອງຮຽນທີ່ມີການນໍາໃຊ້ເຄື່ອງແມ່ຂ່າຍຂອງ Dell R730xd E5-2650 v4 ມູນຄ່າ 9000 ເອີໂຣສໍາລັບເງິນບໍ?

ແຫຼ່ງຂໍ້ມູນ: www.habr.com