Willkommen zurück.
Ich heiße David Bumble s. c. ich elf tausend dreiundzwanzig.
In diesem Abschnitt werden wir uns die X-ists-Listen ansehen.
Ich möchte Ihnen zeigen, wie Sie die Sicherheit mithilfe von Access Control-Listen
implementieren, die einer der grundlegendsten Bausteine für die Implementierung der Sicherheit im Cisco-Netzwerk sind.
Heutzutage gibt es mehrere Möglichkeiten, Sicherheit zu implementieren, aber Zugriffslisten sind eine der grundlegendsten und
viele der neuen Technologien basieren darauf.
Daher ist es wichtig, dass Sie ein gutes Verständnis für die Funktionsweise von Zugriffslisten und deren Implementierung haben.
Wir können uns also den Zweck von Zugriffskontrolllisten anschauen.
Ich möchte Ihnen zeigen, wie sie an Schnittstellen gebunden sind.
Sie sind entweder nach innen oder nach außen gebunden.
Ich möchte Ihnen verschiedene Spitzen von Zugriffslisten zeigen, einschließlich nummerierter X-ists-Listen mit
Namen X-ists-Listen sowie in einer erweiterten Zugriffssteuerungsliste oder ACLC.
Ich möchte erklären, was eine Wildcard-Moschee macht und wie Sie die einzelnen Host-Subnetze aller Hosts anpassen
können, indem Sie die Wildcard-Moschee ändern.
Ich möchte auch htan-basierte, reflexive und dynamische ACLC Now erläutern, bevor ich mich mit
Zugriffssteuerungslisten oder ACLC beschäftige.
Sehen wir uns einige der Informationen an, die im D1-Kurs mit Eis bedeckt sind.
Sie können keine ACL ohne ein gutes Verständnis der Protokolle implementieren.
Portnummern und andere Optionen sind im Ah-Q-Protokollstapel von TCAP und anderen Protokollen verfügbar.
Wenn Sie sie in Ihrem Netzwerk ausführen, sehen Sie als Beispiel, wenn ein PC mit
einem Server verbunden ist und der PC über HGP verbunden ist und der Datenverkehr über den Netzwerkrouter gleich ist, wird
ein Paket mit der Quelladresse 10 1 1 1 angezeigt mit der Quellportnummer größer als 1023.
In diesem Beispiel sagen wir 1024.
Da Sie UDP verwenden, wird in diesem Fall die bekannte Portnummer 80 verwendet. Daher ist
die Ziel-IP-Adresse 10 1 zu 1 und die Zielportnummer 80.
Nun ist die Richtung mit Zugriffslisten auf dieser Schnittstelle von großer Bedeutung.
Die Ratte empfängt das eingehende Paket, aber auf dieser Schnittstelle wird das Paket nach außen gesendet.
Es ist wichtig, dass Sie dies aus der gerissensten Sicht betrachten.
Das Paket kommt an und wird nach außen gesendet.
Mit anderen Worten, wenn Sie eine ausgehende Liste für den Zugriff auf das Netzwerk konfigurieren, hat dies keine
Auswirkungen auf den Datenverkehr vom PC zum Server.
Weil ich mich in der Zugriffsliste befinde, wird nur der aus dem buddhistischen Standpunkt ausgehende Verkehr geprüft.
Wenn Sie also eine eingehende Zugriffssteuerungsliste auf der linken Seite konfigurieren, müssen Pakete diese
Exit-Steuerungsliste passieren lassen, bevor sie zugelassen werden. Wenn Sie sie erneut konfigurieren, müsste
eine auf der Zugriffssteuerungsliste auf dieser Schnittstelle erfasste Daten die Zugriffsliste passieren wird von der Zugriffsliste
zugelassen.
Andernfalls wird der Verkehr gesperrt.
Wenn der Dienst seit dem Verkehr in Antwort ist, wird die Quelladresse jetzt zehn
zu eins mit einem Quellport von 80 sein und die Ziel-IP-Adresse wird 10 1 1 1 sein, und die Zielportnummer ist 1024.
In diesem Fall würde eine ausgehende Zugriffsliste auf dieser Schnittstelle den gesamten Verkehr vom Server zum
PC ausführen, da der Verkehr aus Sicht des Routers ausgeht.
Ein ausgezeichnet konfigurierter Ausgang und diese Schnittstelle hätte diesen Verkehr behoben, und dieser Verkehr müsste
die in der Zugriffsliste festgelegten Kriterien bestehen, bevor er mit demselben Token zugelassen wird, das eine eingehende Zugriffsliste
auf dieser Schnittstelle den Verkehr beeinflussen würde und den Verkehr hätte die in dieser
Zugriffssteuerungsliste festgelegten Kriterien übergeben.
Ja, noch ein Beispiel.
Dieses MacBook wechselt über den Router.
Nehmen wir einmal an, das MacBook wählt den Port 50000.
Die Quelladresse aller Frames vom MacBook zum Switch wäre 10 Eins zu Eins mit
dem Quellport 50000.
Das Ziel wäre 10 1 zu 1 mit der Zielportnummer 23.
Aus seiner Sicht empfängt er also erneut Frames auf dieser Schnittstelle mit einer Art zahmem
auf einer Quelle für fünfzigtausend und überträgt diese Pakete mit denselben Details aus
dieser Schnittstelle.
Pakete, die als Antwort von der Vermittlung einer Quelladresse von 10 1 zu 1 Quellport 23 und einer
Ziel-IP-Adresse 10 1 1 1 des Zielports 50000 gesendet wurden.
Wieder ist es wichtig, dass Sie Ihre Protokolle und Portnummern verstehen, denn ohne dieses
Verständnis können Sie ACLC nicht immer konfigurieren, um die Richtung des Datenverkehrs zu überprüfen, um
zu bestimmen, ob ein Überschuss für bestimmte Schnittstellen ein- oder ausgehängt werden soll.
Sie sind einige Beispiele einiger bekannter TZP-Protokolle mit den entsprechenden Portnummern.
Wenn DP Port 21 für die Steuerung und 24 Daten verwendet, verwendet Telnet Port 23.
Es ist leer.
Verwenden Sie den Port 80 von HVD Pease.
POP 3 verwendet Port 1 1 0.
SS Elissas Hafen 443.
Dies sind Beispiele einiger bekannter TZP-Portnummern, an die Sie sich für die reale Welt erinnern sollten.
Durchsuchen Sie einfach meine Portnummern, um eine Liste der Internet-Zuweisungsnummern von 30 Portnummern anzuzeigen.
Das I on ist für die Portnummern zuständig und legt die Belegung fest.
Als Beispiel geben Sie einfach die Portnummern
ein und der allererste Treffer wird eine Liste von Gerichtsnummern sein, die recht gut erklärt werden.
Über die bekannten Portnummern registrierte Portnummern sowie dynamische und private Portnummern.
Wenn Sie beispielsweise nur eine Suche oder ein Telnet durchführen, sehen Sie, welche Portnummer Telnet verwendet.
Er hat eine nette Liste, wenn Sie nicht sicher sind, welche Portnummern von bestimmten Protokollen verwendet werden.
Hier ist ein Beispiel für Protokolle, die UDP verwenden, und sie sind auf Portnummern angewiesen.
DHP verwendet als Beispiel die Portnummer 67 und 68 des TFT Pease-Port 69 und als MP den Port 161.
Wieder einmal auf der gleichen Liste im Ayana können Sie nach bestimmten Protokollen
suchen. Ein Beispiel für TFT-DNS ist ein Sonderfall.
Es ist nur die Teilenummer 53, die sowohl TCAP als auch UDP verwendet.
Also sowohl für Studienzwecke als auch für die reale Welt.
Denken Sie daran, dass Protokolle wie Telnet den Port 23 verwenden und den Benutzern TZP mitteilen.
Während DFT beispielsweise den Port 69 mit UDP verwendet.
Warum sollten Sie ACLC bis zu diesem Zeitpunkt in diesem Kurs verwenden? Wir haben den Zugriff zwischen
verschiedenen Teilen des Netzwerks ermöglicht, ohne Schnittstellen zu schließen, die sich auf das Bil'in-Routing stützen, indem Sie Routing-Protokolle einrichten, wie Sie
es von Ihrer Arbeit wissen, mit der SPF den Zugriff über das Netzwerk ermöglicht .
Möglicherweise möchten Sie jedoch nicht, dass jeder auf jeden Teil des Netzwerks zugreifen kann.
Dies gilt insbesondere, wenn Sie sich mit dem Internet verbinden.
Sie möchten nicht unbedingt, dass jeder im Internet auf Ihre Unternehmensserver oder Ihr Unternehmensnetzwerk
zugreifen kann.
Daher sind Zugriffslisten eine der ersten Verteidigungslinien, um den Verkehr von einem Teil des Netzwerks zu einem anderen zu stoppen oder
zu verweigern, sodass sie verwendet werden können, um den Datenverkehr durch einen Router zuzulassen oder zu verweigern.
So können wir beispielsweise diesem MacBook den Zugriff auf das Internet ermöglichen, um den Datenverkehr
aus dem Internet in unsere Unternehmensumgebung abzulehnen.
Wir würden also den Datenverkehr pro Schnittstelle zulassen oder ablehnen und somit den Datenverkehr durch
den Router verhindern.
Sie können ein Kennwort auf einer Viti-Drahtleitung auf einem Router eingeben, um eine Sicherheitsstufe zu erzwingen.
Sie können jedoch sagen, dass nur die administrativen Subnetze von Wayne aus erlaubt sind, da
dieser Computer in einem administrativen Subnetz auf die Viti zugreifen darf, während der Computer auf die BT-Drahtleitungen
zugreifen darf.
In diesem Fall lässt die Zugriffsliste nicht einmal Telnet- oder S-sh-Verkehr zu den Viti Why-Leitungen des
Routers zu.
Anstatt nur eine Verteidigungslinie für ein Kennwort zu haben, implementieren Sie zwei Verteidigungslinien, die nur bestimmte
Subnetze für die Etowah-Leitungen zulassen und bei den Sicherheitsanweisungen ein Kennwort für die BT y-Leitungen
angeben.
Sie müssen an das Risiko denken, abhängig von dem Risiko, dass Sie mehr Sicherheit implementieren.
In diesem Fall könnte das Risiko des Zugriffs von Benutzern auf Netzwerkgeräte hoch sein.
Sie erlauben also nur bestimmte Subnetze, sich mit den BT y-Leitungen oder dem Router oder Switch zu verbinden.
Mit unserer ACL können also wieder alle Pakete an alle Teile des Netzwerks übertragen werden.
Und das ist vielleicht nicht wünschenswert.
Daher möchten Sie möglicherweise bestimmten Teilen des Netzwerks den Zugriff auf andere Teile des Netzwerks verweigern.
Der Grundgedanke dabei ist, dass Sie mit der Implementierung von Sicherheitsfunktionen beginnen, die
Teile des Netzwerks blockieren, sodass nicht alle Personen innerhalb und außerhalb Ihres Unternehmens darauf zugreifen können.
ACLC Wie ich nicht nur zum Zulassen oder Abweisen von Datenverkehr verwendet wurde, kann ich sie auch für die Klassifizierung
verwenden, wenn Sie ein einfaches VPN oder ein virtuelles privates Netzwerk zwischen zwei Standorten einrichten.
Sie müssen dem Router mitteilen, welcher Datenverkehr verschlüsselt werden muss.
Möglicherweise möchten Sie nicht, dass der gesamte Datenverkehr aus Ihrem lokalen LAN verschlüsselt wird, da
der Datenverkehr von Ihrem lokalen LAN zu einem Internet-Server unverschlüsselt gesendet werden soll. Der Datenverkehr von Ihrem lokalen LAN in das Land
auf der anderen Seite des VPN-Tunnels muss also verschlüsselt werden Sie erstellen eine Zugriffsliste, die bestimmt, welcher
Verkehr interessant ist.
Mit anderen Worten muss verschlüsselt werden.
Was für den Verkehr nicht interessant ist, muss also nicht verschlüsselt werden. ACL kann auch bei
der Neuverteilung verwendet werden, wenn Sie Routen von einem Routingprotokoll verwenden und sie umverteilen oder
in ein anderes Routingprotokoll einpumpen.
Daher möchten Sie möglicherweise nicht, dass OSPF alle Ihre GOP-Routen kennenlernt. Daher können
Sie Access Control-Listen verwenden, um die Weitergabe bestimmter Routen einzuschränken oder zuzulassen. Zugriffslisten werden auch
bei der Netz- oder Netzwerkadressenübersetzung verwendet übersetzt werden und welche Pakete
nicht übersetzt werden müssen.
Sie würden also eine Überschussliste erstellen, die nur bestimmte Subnetze zulässt, die zulassen,
dass die Pakete, die von der Zugriffsliste abgelehnt werden, nicht übersetzt werden. Der Zugriff wird jedoch nicht verweigert oder gelöscht,
aber sie werden nicht mithilfe der Netzwerkadressenübersetzung oder des Netzwerks übersetzt, wenn ACLC zum Zulassen oder Ablehnen verwendet wird Pakete, die sich durch einen
Router bewegen.
Es gibt zwei Hauptschritte.
Zuerst erstellen Sie im globalen Konfigurationsmodus die Zugriffsliste mithilfe der allgemeinen Zugriffsliste und geben
dann verschiedene Optionen ein.
Der Zugriffsbefehl wird also zum Erstellen der Zugriffsliste verwendet. Anschließend wenden Sie die Zugriffsliste entweder eingehend
oder ausgehend auf eine Schnittstelle mithilfe der Zugriffsgruppe an.
Komm schon.
Wenn Sie auf diesen Befehl zugreifen, wird die Access Group für die Liste der übergeordneten Listen erstellt.
C'mon bindet die Zugriffsliste.
Und wenn Sie es binden, geben Sie entweder ein- oder ausgehend an.
Mit anderen Worten, Bestimmen der Richtung, in die die Zugriffsliste gebunden ist.
Beachten Sie, dass eine ACL erst wirksam wird, wenn sie irgendwo angewendet wird.
Wenn Sie in der laufenden Konfiguration eines Routers Zugriffslisten haben und diese noch nicht angewendet wurden,
haben diese keine Auswirkungen.
Es gibt zwei Schritte, in denen Sie die Zugriffsliste erstellen und dann auf verschiedene Weise anwenden, beispielsweise für eingehende Anfragen bei
Fosset.
Ist das nicht ernsthaft Zera?
Imraan ACLC wird also erneut auf eine Schnittstelle angewendet, und die ICL wird verarbeitet, bevor der Datenverkehr
weitergeleitet wird.
Mit anderen Worten, wenn die ICL den Datenverkehr ablehnt und der Datenverkehr verworfen wird, muss der Router die
Pakete nicht verarbeiten, indem er in seiner Schreibtabelle nachschaut und die Outbound-Schnittstelle bestimmt.
Das Paket wird verworfen oder fallen gelassen, bevor die Verrottungsmaschine sie verarbeiten muss.
Wenn sie zulässig sind, werden sie zum Schreiben verarbeitet und der Router bestimmt
die ausgehende Schnittstelle.
Wenn er verworfen wird, gibt es keinen zusätzlichen Overhead auf dem Router,
da der Router keine Schreibtabellensuche durchführen muss, um die ordnungsgemäße ausgehende Schnittstelle zu bestimmen, wenn
der Datenverkehr zulässig ist. Der Schreibvorgang führt dann die Schreibtabellensuche aus, um die ausgehende Schnittstelle ohne zu ermitteln
dass ACLC.
Zuerst wird das Rotting ausgeführt, dann wird das Paket zu einer ausgehenden Schnittstelle geleitet, und dann werden die
Pakete basierend auf der ACL zugelassen.
Mit anderen Worten übertragen oder abgelehnt ist es daher effizienter, eine auf einer Schnittstelle eingehende Zugriffsliste zu
binden, da Pakete, die verworfen oder abgelehnt werden, nicht verarbeitet werden müssen.
Während des Schreibvorgangs am Router.
Wenn eine ACL ausgehend angewendet wird, muss der Rada noch alle Pakete verarbeiten, die an der Ausgangsschnittstelle
abgelehnt oder verworfen werden können.
Binden Sie nach Möglichkeit ACLC-Inbound-Interfaces anstatt Outbound.
Oder eine effizientere Verarbeitung einer Zugriffsliste ist eine sequentielle Liste von Anweisungen, bei denen Pakete von der ersten bis
zur letzten Anweisung ausgewertet werden.
Mit anderen Worten gibt es eine Verarbeitung von oben nach unten.
Wenn ein Paket von einer einzelnen Anweisung in der Zugriffsliste abgeglichen wird, wird dieses Paket entweder zugelassen
oder abgelehnt, abhängig davon, ob das Schlüsselwort "allow" oder "deny" in dieser bestimmten Anweisung verwendet wird.
Alle verbleibenden Zeilen der Zugriffsliste werden für dieses bestimmte Paket ignoriert.
Wenn also in einer Zeile eine Übereinstimmung gefunden wird, werden alle übrigen Zeilen ignoriert, wenn der
Datenverkehr nicht mit dieser bestimmten Zeile oder Anweisung übereinstimmt. Dann wird die nächste Zeile in der ACL geprüft.
Die Nexxus-Liste ist also eine sequentielle Liste von Anweisungen, und der Rada prüft von der ersten bis zur letzten
Zeile, bis er eine Übereinstimmung findet.
Sobald es ein Spiel gibt.
Alle nachfolgenden Zeilen werden ignoriert.
Wenn für eine Anweisung in der ACL keine Übereinstimmung besteht, wird das Paket aufgrund
der sogenannten impliziten Denie am Ende jeder Zugriffsliste verworfen.
Es gibt eine implizite Ablehnung, dh wenn Sie nicht ausdrücklich von einer Zugriffsliste zugelassen werden, wird
implizit der gesamte Datenverkehr abgelehnt, der an einer beliebigen Stelle in dieser Zugriffsliste nicht zulässig ist. Die Verwendung einer
Genehmigungsanweisung wird gelöscht.
Das bedeutet also, dass Sie mindestens eine Erlaubniserklärung in der Praxisliste haben müssen.
Andernfalls können Sie das Kabel auch entfernen.
Jetzt gibt es zwei Hauptgruppen der Zugriffslisten, auf die wir uns in diesem Kurs konzentrieren.
Die erste ist eine Standard-ACL und die zweite ist eine erweiterte ACL-Standard-ACLJ-Prüfung, die nur auf Quell-IP-Adressen
geprüft wird.
Sie überprüfen nicht einzelne Portnummern oder einzelne Protokolle, die das gesamte Protokollpaket basierend
auf der Quell-IP-Adresse oder dem Quellnetzwerk entweder zulassen oder verbieten.
Nichts anderes in der Quell-IP-Adresse oder im Quellnetzwerk kann angegeben werden, um die ACLC-Prüfung sowohl für die
Quell- als auch für die Zieladresse zu überprüfen. Damit können Sie bestimmte Protokolle und Anwendungen zulassen oder abweisen.
Mit anderen Worten, Sie könnten basierend auf IP TZP UDP ICMP und vielen anderen Protokollen
zulassen oder ablehnen. Sie können auch erweiterte Zugriffslisten zulassen oder ablehnen, die auf
Quellportnummern und Zielportnummern basieren die wahre Welt.
Der Vollständigkeit halber müssen wir jedoch sowohl Standard- als auch erweiterte Zugriffslisten in diesem Kurs abdecken.