Dar una buena acogida.
Mi nombre es David Bumble s. do. yo once mil veintitrés.
Y en esta sección vamos a ver las listas de X-ists.
Me gustaría mostrarle cómo implementar la seguridad utilizando listas de control de acceso que
son uno de los componentes básicos para implementar la seguridad en la red de Cisco.
Actualmente existen múltiples formas de implementar la seguridad, pero las listas de acceso son una de las más fundamentales y
muchas de las nuevas tecnologías se basan en ellas.
Por lo tanto, es importante que comprenda cómo funcionan las listas de acceso y cómo implementarlas.
Entonces podemos ver el propósito de las listas de control de acceso.
Me gustaría mostrarte cómo están vinculados a las interfaces.
Están vinculados dentro o fuera.
Me gustaría mostrarle varias tapas de listas de acceso que incluyen listas de X-ists numeradas llamadas
listas de X-ists, así como una lista de control de acceso extendido o ACLC.
Me gustaría explicar qué es lo que hace una mezquita comodín y cómo puedes unir hosts individuales con subredes
a todos los hosts cambiando la mezquita comodín.
También me gustaría explicar ACLC dinámico y reflexivo basado ahora antes de entrar en una discusión de listas
de control de acceso o ACLC.
Repasemos parte de la información cubierta en hielo en el curso D1.
No podrá implementar ACL sin una buena comprensión de los protocolos.
Los números de puerto y otras opciones están disponibles en la pila de protocolos TCAP Ah-Q y otros protocolos.
Si los tiene funcionando en su red, vea como ejemplo si tenemos una PC conectada a un servidor
y la PC se conecta utilizando HGP y ese tráfico es el mismo en el enrutador de la red, verá un paquete con
una dirección de origen de 10 1 1 1 con el número de puerto de origen mayor que 1023.
Entonces en este ejemplo, digamos 1024.
En este caso, debido a que está utilizando UDP, va al conocido número de puerto 80, por lo que la dirección IP
de destino es 10 1 a 1 y el número de puerto de destino es 80.
Ahora con las listas de acceso, la dirección es de gran importancia en esta interfaz.
La rata está recibiendo el paquete entrante, pero en esta interfaz el paquete se está transmitiendo de salida.
Es importante que mires esto desde el punto de vista más asqueroso.
El paquete llega entrante y se envía saliente.
Por lo tanto, en otras palabras, si configura una lista de acceso saliente en la pantalla parece que no tendría ningún
efecto en el tráfico desde la PC al servidor.
Porque estoy fuera de la lista de acceso solo comprueba el tráfico saliente desde el punto de vista budista.
Entonces, si configuró una Lista de control de acceso entrante en el lado izquierdo, los paquetes tendrían que pasar
esa lista de control de salida antes de permitirse y una vez más si la configura una
lista de Control de acceso en esta interfaz, el tráfico debería pasar la lista de acceso será permitido por la
lista de acceso.
De lo contrario, el tráfico se eliminará.
Cuando el servicio desde el tráfico en respuesta, la dirección de origen ahora será diez uno a uno con
un puerto de origen de 80 y la dirección IP de destino será 10 1 1 1 y el número de puerto de destino será 1024.
En este caso, una lista de acceso saliente en esta interfaz entraría en vigor todo el tráfico desde el servidor a
la PC porque el tráfico está saliendo desde el punto de vista del enrutador.
Así que un excelente outbound configurado y esta interfaz habrían arreglado este tráfico y este tráfico tendría que
pasar los criterios establecidos en la lista de acceso antes de ser permitido por el mismo token. Una lista de acceso entrante
en esta interfaz afectaría el tráfico y el tráfico tendría para pasar los criterios establecidos en esa
lista de control de acceso.
Sí, otro ejemplo.
Esta MacBook está telnetizando para cambiar uno a través del enrutador.
Entonces, por el bien de los argumentos, supongamos que la MacBook elige el puerto 50000.
La dirección de origen de todos los fotogramas de la MacBook al conmutador sería 10 uno a uno con
el puerto de origen de 50000.
El destino sería 10 1 a 1 con el número de puerto de destino 23.
Así que una vez más desde su punto de vista, recibe marcos en esta interfaz con una especie
de fuente uno a uno por cincuenta mil y está transmitiendo esos paquetes fuera de esta interfaz con
los mismos detalles.
Los paquetes enviados como respuesta del interruptor de una dirección de origen de 10 1 a 1 puerto de origen de 23 y una
dirección IP de destino de 10 1 1 1 el puerto de destino de 50000.
Una vez más, es importante que comprenda sus protocolos y números de puerto porque,
sin esa comprensión, no podrá configurar ACLC. Siempre mire la dirección del tráfico para determinar
si un exceso debe prohibirse dentro o fuera de las interfaces específicas.
Usted es un ejemplo de algunos protocolos conocidos de TZP con los números de puerto relevantes.
Si DP usa el puerto 21 para el control y 24 datos, telnet usa el puerto 23. Shell anómalo usa el puerto 22.
Esta vacio.
Use el puerto 25 HVD Pease's 80.
POP 3 usa el puerto 1 1 0.
Puerto de SS Elissa 443.
Estos son ejemplos de algunos números de puerto TZP bien conocidos que debe recordar para el mundo real.
Simplemente busca mis números de puerto en google para ver una lista de los números de asignación de 30 números de puerto.
El I on está a cargo de los números de puerto y determina la asignación.
Como ejemplo, simplemente escriba en los números de puerto
y su primer golpe será una lista de números de la corte y lo explican muy bien.
Acerca de los números de puerto conocidos números de puerto registrados y números de puertos dinámicos y privados.
Entonces, como ejemplo, si hace una búsqueda o telnet, verá qué número de puerto usa telnet.
Él tiene una buena lista si no está seguro de qué números de puerto son utilizados por protocolos específicos.
Aquí hay un ejemplo de protocolos que usan UDP y se basan en números de puertos.
Entonces, como ejemplo, el DHP usa el puerto número 67 y 68 del puerto TFT Pease 69 y como MP utiliza el puerto 161.
Una vez más, en la misma lista en Ayana, puede buscar protocolos específicos y hay
un ejemplo de DNS TFT que es un caso especial.
Es solo la pieza número 53 que usa tanto TCAP como UDP.
Entonces, tanto para propósitos de estudio como para el mundo real.
Recuerde que los protocolos como Telnet usan el puerto 23 y le dicen a los usuarios TZP.
Mientras que, por ejemplo, DFT usa el puerto 69 usando UDP.
Ahora, ¿por qué usar ACLC hasta este punto en el curso en el que hemos estado habilitando el
acceso entre diferentes partes de la red? No hay interfaces de cierre en el enrutamiento de Bil'in. Configuración de protocolos de
enrutamiento como su trabajo. Sabe que SPF habilitará el acceso a través de la red. .
Sin embargo, es posible que no desee que todos puedan acceder a cada parte de la red.
Esto es especialmente cierto cuando te conectas a Internet.
No necesariamente quiere que todos en Internet puedan acceder a sus servidores corporativos o
red corporativa.
Entonces, las listas de acceso son una de las primeras líneas de defensa para detener o denegar el tráfico de una parte de la red
a otra, de modo que puedan usarse para permitir o denegar el tráfico que se mueve a través de un enrutador.
Así que, como ejemplo, podríamos permitir que esta MacBook tenga acceso a Internet que podríamos denegar
el tráfico de Internet a nuestro entorno corporativo.
Por lo tanto, permitimos o denegamos el tráfico por interfaz y, por lo tanto, denegamos el tráfico que se mueve
a través del enrutador.
Podría poner una contraseña en un cable de Viti en un enrutador para forzar un nivel de seguridad.
Sin embargo, podría decirse que solo las subredes administrativas Wayne desde esta máquina en una subred
administrativa pueden acceder a las líneas de Viti mientras que esta máquina no puede acceder a las líneas de
cableado de BT.
En este caso, la lista de acceso ni siquiera permitirá el tráfico de telnet o S-sh a las líneas de Viti Why
en el enrutador.
Entonces, en lugar de tener una sola línea de defensa, se implementan dos líneas de defensa que solo permiten ciertas subredes
a las líneas de Etowah, así como también se ingresa una contraseña en las líneas Y de BT cuando se trata
de seguridad.
Tienes que pensar que el riesgo depende del riesgo de que implementes más seguridad.
En este caso, puede considerar que el riesgo de que los usuarios accedan a los equipos de red es alto.
Por lo tanto, solo permite que ciertas subredes se conecten a las líneas BT y, o al enrutador o conmutador.
Entonces, una vez más con nuestra ACL, todos los paquetes podrían transmitirse a todas las partes de la red.
Y eso podría no ser deseable.
Por lo tanto, es posible que desee negar que ciertas partes de la red accedan a otras partes de la red.
La idea aquí es que está comenzando a implementar la seguridad bloqueando partes de
la red para que no puedan acceder todas las personas dentro y fuera de su organización.
ACLC ¿Cómo no acabo de utilizar para permitir o denegar el tráfico? También se pueden usar para la
clasificación al configurar una VPN básica o una red privada virtual entre dos sitios.
Necesita decirle al enrutador qué tráfico debe ser encriptado.
Es posible que no desee cifrar todo el tráfico de su LAN local porque puede desear
que el tráfico de su LAN local a un servidor de Internet se envíe sin cifrar, pero el tráfico de su LAN local al
país del otro lado del túnel VPN debe cifrarse para usted crea una lista de acceso que determina
qué tráfico es interesante.
En otras palabras, necesita ser encriptado.
Lo que el tráfico no es interesante, en otras palabras, no necesita ser encriptado. ACL también se
puede usar en la redistribución, donde se toman rutas de un protocolo de enrutamiento y se redistribuyen
o transfieren a otro protocolo de enrutamiento.
Por lo tanto, es posible que no desee que OSPF conozca todas sus rutas GOP y, por lo tanto,
puede usar listas de control de acceso para limitar o permitir que se redistribuyan ciertas rutas. Las listas de acceso también se
usan con traducción de red o red. La lista de acceso determinará qué paquetes necesitan para ser traducido
y qué paquetes no necesitan ser traducidos.
Por lo tanto, crearía una lista de exceso permitiendo solo ciertas subredes que
permitirían que esos paquetes sean traducidos. Los paquetes denegados por la lista de acceso no son negados o eliminados, pero
no se traducen utilizando la traducción de direcciones de red o netas cuando se usa ACLC para permitir o denegar paquetes moviéndose a través
de un enrutador.
Hay dos pasos principales.
Entonces, en primer lugar, en el modo de configuración global, usted crea la lista de acceso usando la lista de acceso
común y luego completa varias opciones.
Por lo tanto, el comando de acceso se usa para crear la lista de acceso y, en segundo lugar, aplica la lista
de acceso entrante y saliente en una interfaz mediante el Grupo de acceso.
Vamos.
Entonces, acceder a este comando crea la lista de exceso de grupos de acceso.
C'mon se une a la lista de acceso.
Y cuando lo enlace, especifique entrante o saliente.
En otras palabras, determinar la dirección en la que se enlaza la lista de acceso.
Es importante tener en cuenta que una ACL no tendrá efecto hasta que se aplique en alguna parte.
Entonces, si tiene listas de acceso en la configuración en ejecución de un enrutador y no se
han aplicado, no tiene efecto.
Hay dos pasos para crear la lista de acceso y luego aplicarla de alguna manera, por ejemplo, entrante en
Fosset.
No es en serio Zera.
Una vez más, Imraan ACLC se aplica de entrada en una interfaz, la ICL se procesará antes de que
se enrute el tráfico.
En otras palabras, si la ICL niega el tráfico y el tráfico se descarta, el enrutador no tendrá que
procesar los paquetes mirando en su tabla de escritura y determinando la interfaz de salida.
El paquete se descartará o se descartará antes de que el motor en descomposición deba procesarlo.
Si se permiten, se procesarán para escritura y el enrutador determinará la
interfaz de salida.
Si se descarta no hay gastos generales adicionales en el enrutador porque el enrutador no
necesita realizar una búsqueda en la tabla de escritura para determinar una interfaz de salida elegante si
el tráfico está permitido, el proceso de escritura hará la búsqueda de tabla de escritura para determinar la interfaz de salida
sin ese ACLC.
La putrefacción se realiza primero y luego el paquete se dirige a una interfaz de salida y luego, en función
de la ACL, se permitirán los paquetes.
En otras palabras, transmitido o denegado, por lo tanto, es más eficiente enlazar una lista de acceso entrante en
una interfaz porque los paquetes que se eliminan o denegan no tendrán que procesarse.
Mientras el proceso de escritura en el enrutador.
Si se aplica una ACL de salida, el Rada aún tiene que procesar todos los paquetes que luego pueden denegarse
o eliminarse en la interfaz de salida.
Entonces, cuando sea posible, enlace ACLC entrante en las interfaces en lugar de saliente.
O un procesamiento más eficiente Una lista de acceso es una lista secuencial de enunciados donde los paquetes se evalúan
desde la primera declaración hasta la última.
En otras palabras, hay un procesamiento de arriba hacia abajo.
Si un paquete se corresponde con una declaración individual en la lista de acceso, ese paquete será permitido
o denegado dependiendo de si la palabra clave permitida o denegada se usa en esa declaración específica.
Todas las líneas restantes de la lista de acceso se ignoran para ese paquete específico.
Entonces, en otras palabras, tan pronto como hay una coincidencia en una línea, todas las líneas restantes se
ignoran si el tráfico no coincide con esa línea o declaración específica, entonces se verifica la siguiente línea en la ACL.
Así que la lista de Nexxus es una lista secuencial de enunciados y el Rada verificará desde la primera línea
hasta la última hasta obtener una coincidencia.
Tan pronto como haya una coincidencia.
Todas las líneas siguientes son ignoradas.
Si no hay coincidencia para ninguna declaración en la ACL, el paquete se descarta debido a lo
que se denomina denie implícito al final de cada lista de acceso.
Hay una denegación implícita, lo que significa que si no está explícitamente permitido por una lista de acceso,
se le niega implícitamente todo el tráfico no permitido, en alguna parte de esa lista de acceso se perderá el uso de
una declaración de permiso.
Eso significa, por lo tanto, que debe tener al menos una declaración de permiso de alguna manera en la lista de práctica.
De lo contrario, también podría desenchufar el cable.
Ahora hay dos principales tapas de listas de acceso en las que nos concentramos en este curso.
La primera es una ACL estándar y la segunda es una ACL estándar extendida. La ACLJ solo verifica las direcciones
IP de origen.
No verifican los números de puerto individuales o los protocolos individuales que permiten o niegan todo el conjunto de
protocolos en función de la dirección IP de origen o la red de origen.
No se puede especificar nada más en la dirección IP de origen o en la red de origen que se puede especificar la
verificación de ACLC extendida tanto en la dirección de origen como de destino y le permite permitir o denegar protocolos y aplicaciones específicos.
En otras palabras, puede permitir o denegar basándose en IP TZP UDP ICMP y muchos otros protocolos, y también puede permitir o denegar en
función de los números de puerto de origen y los números de puerto de destino. Las listas de acceso ampliado
son mucho más granulares y tienden a usarse en el mundo real.
Pero, para completar, debemos cubrir tanto las listas de acceso estándar como las extendidas en este curso.