Nous saluons le retour.
Je m'appelle David Bumble s. c. J'ai onze mille vingt trois.
Et dans cette section, nous allons examiner les listes X-ists.
J'aimerais vous montrer comment implémenter la sécurité à l'aide de listes de contrôle d'accès, qui
sont l'un des éléments de base les plus élémentaires de la sécurité dans le réseau Cisco.
De nos jours, il existe de nombreuses façons de mettre en œuvre la sécurité, mais les listes d'accès sont parmi les plus fondamentales
et bon nombre des nouvelles technologies sont basées sur celles-ci.
Il est donc important que vous compreniez bien le fonctionnement des listes d’accès et leur mise en œuvre.
Nous pouvons donc examiner l’utilité des listes de contrôle d’accès.
Je voudrais vous montrer comment ils sont liés aux interfaces.
Ils sont liés entrants ou sortants.
J'aimerais vous montrer divers sommets de listes d'accès, y compris des listes numérotées nommés listes
X-ists, ainsi que des listes de contrôle d'accès étendues ou ACLC.
J'aimerais expliquer ce que fait une mosquée avec carte générique et comment vous pouvez faire correspondre des hôtes individuels à
des sous-réseaux hôtes en modifiant la mosquée générique.
Je voudrais également expliquer la méthode ACLC réfléchie et dynamique basée sur htan avant d’aborder maintenant la discussion sur les listes
de contrôle d’accès ou ACLC.
Passons en revue certaines des informations couvertes de glace dans le cours D1.
Vous ne pourrez pas implémenter ACL sans une bonne compréhension des protocoles.
Des numéros de port et d'autres options sont disponibles dans la pile de protocoles TCAP Ah-Q et dans d'autres protocoles.
Si vous les faites fonctionner sur votre réseau, voyez, par exemple, si un PC est connecté
à un serveur et que le PC se connecte via HGP et que le trafic est identique sur le routeur du réseau.
Un paquet avec une adresse source de 10 1 avec le numéro de port source supérieur à 1023.
Donc, dans cet exemple, disons 1024.
Dans ce cas, étant donné que vous utilisez UDP, le numéro de port 80 est connu. L'adresse IP de destination est
donc 10 1 à 1 et le numéro de port de destination est 80.
Maintenant, avec les listes d'accès, la direction est d'une grande importance pour cette interface.
Le rat reçoit le paquet entrant mais sur cette interface, le paquet est transmis en sortie.
Il est important que vous envisagiez cela du point de vue le plus discret.
Le paquet arrive en entrée et est envoyé en sortie.
En d’autres termes, si vous configurez une liste d’accès sortante apparemment, elle n’aura aucun effet sur le
trafic entre le PC et le serveur.
Parce que je suis sur la liste d'accès, seul le trafic sortant est contrôlé du point de vue bouddhiste.
Donc, si vous avez configuré une liste de contrôle d'accès entrante sur le côté gauche, les paquets doivent passer
par cette liste de contrôle de sortie avant d'être autorisés et une fois de plus, si vous
la configurez, une liste de contrôle d'accès sur cette interface doit traiter avec la liste d'accès. sera autorisé par la
liste d'accès.
Sinon, le trafic sera abandonné.
Lorsque le service depuis le trafic en réponse, l’adresse source sera maintenant de 10 à 13
avec un port source de 80 et l’adresse IP de destination sera 10 1 1 1 et le numéro de port de destination sera 1024.
Dans ce cas, une liste d'accès sortant sur cette interface entrera en vigueur pour tout le trafic du serveur vers
le PC car le trafic sort du point de vue du routeur.
Donc, une excellente configuration sortante configurée par cette interface aurait corrigé ce trafic
et ce trafic devrait respecter les critères définis dans la liste d'accès avant d'être autorisé
par le même jeton. passer les critères définis dans cette liste
de contrôle d'accès.
Oui un autre exemple.
Ce MacBook est en ligne pour en changer un via le routeur.
Par conséquent, supposons que le MacBook choisisse le port 50000.
L'adresse source de toutes les trames du MacBook au commutateur serait de 10 sur une avec le
port source de 50000.
La destination serait 10 1 à 1 avec le numéro de port de destination 23.
Donc, encore une fois, de son point de vue, il reçoit des trames sur cette interface avec une sorte d'apprivoisé
sur une source pour cinquante mille personnes et il transmet ces paquets avec les mêmes détails à partir
de cette interface.
Paquets envoyés en réponse du commutateur d’une adresse source de 10 1 à un port source de 23 et d’une adresse IP
de destination de 10 1 1 1 au port de destination de 50000.
Encore une fois, il est important que vous compreniez vos protocoles et vos numéros de port,
car sans cette compréhension, vous ne pourrez pas configurer ACLC, vérifiez toujours la direction du trafic pour
déterminer si un excès doit être interdit d'entrée ou de sortie sur des interfaces spécifiques.
Vous êtes quelques exemples de protocoles TZP bien connus avec les numéros de port correspondants.
Si DP utilise le port 21 pour le contrôle et 24 données, Telnet utilise le port 23 et le shell sickish utilise le port 22.
C'est vide.
Utilisez le port 80 de HVD Pease sur le port 25.
POP 3 utilise le port 1 1 0.
Le port de SS Elissa 443.
Voilà donc quelques exemples de numéros de ports TZP bien connus que vous devriez vous rappeler dans le monde réel.
Il suffit de google mes numéros de port pour voir une liste des numéros d’assignation Internet de 30 numéros de port.
L'I on est en charge des numéros de port et détermine l'allocation.
Par exemple, il vous suffit de taper sur les
numéros de port et votre tout premier résultat sera une liste de numéros de tribunaux, expliquant très bien.
À propos des numéros de port connus Les numéros de port enregistrés et les numéros de port dynamiques et privés.
Ainsi, par exemple, si vous effectuez simplement une recherche ou telnet, vous verrez le numéro de port utilisé par telnet.
Il a une belle liste si vous n'êtes pas sûr des numéros de port utilisés par des protocoles spécifiques.
Voici un exemple de protocoles qui utilisent UDP et qui reposent sur des numéros de port.
Ainsi, à titre d'exemple, DHP utilise les ports 67 et 68 du port 69 de Tease Pease et, en tant que MP, le port 161.
Une fois de plus sur la même liste sur Ayana, vous pouvez rechercher des protocoles spécifiques.
Un exemple de DNS TFT constitue un cas particulier.
C'est juste la pièce numéro 53 qui utilise à la fois TCAP et UDP.
Donc, à des fins d'étude et dans le monde réel.
Rappelez-vous que les protocoles tels que telnet utilisent le port 23 et indiquent aux utilisateurs TZP.
Considérant que, par exemple, DFT utilise le port 69 en utilisant UDP.
Maintenant, pourquoi voudriez-vous utiliser ACLC jusqu’à présent dans le cours où nous permettons l’accès
entre différentes parties du réseau, sans fermeture d’interfaces, passant au routage Bil'in en configurant des protocoles de
routage comme vous le savez, SPF autorisera l’accès au réseau .
Cependant, vous ne voudrez peut-être pas que tout le monde puisse accéder à toutes les parties du réseau.
Cela est particulièrement vrai lorsque vous vous connectez à Internet.
Vous ne voulez pas forcément que tout le monde sur Internet puisse accéder à vos serveurs d'entreprise ou à
votre réseau d'entreprise.
Les listes d’accès sont donc l’une des premières lignes de défense à arrêter ou à refuser le trafic d’une partie
du réseau à l’autre, de manière à pouvoir autoriser ou interdire le trafic transitant par un routeur.
Ainsi, à titre d'exemple, nous pourrions autoriser ce MacBook à accéder à Internet, ce qui pourrait empêcher le
trafic Internet de pénétrer dans notre environnement d'entreprise.
Nous autorisons ou interdisons donc le trafic interface par interface, ce qui empêche le trafic transiter
par le routeur.
Vous pouvez définir un mot de passe sur un réseau filaire Viti sur un routeur pour forcer un niveau de sécurité.
Cependant, vous pourriez dire que seuls les sous-réseaux administratifs Wayne, étant donné que cette machine d’un sous-réseau administratif,
sont autorisés à accéder au Viti alors que des lignes sont disponibles, alors que cette machine n’est pas autorisée à accéder aux
lignes filaires BT.
Dans ce cas, la liste d'accès n'autorisera même pas le trafic telnet ou S-sh vers les lignes Viti Why sur
le routeur.
Ainsi, plutôt que d'avoir un seul mot de passe et une ligne de défense, vous implémentez deux lignes de défense permettant uniquement à certains
sous-réseaux des lignes d'Etowah, ainsi que de mettre un mot de passe sur les lignes BT y chaque fois qu'il est question
de sécurité.
Vous devez penser au risque dépendant du risque que vous implémenterez plus de sécurité.
Dans ce cas, vous pouvez estimer que le risque que les utilisateurs accédant à un équipement réseau soient exposés est élevé.
Ainsi, vous autorisez uniquement la connexion de certains sous-réseaux aux lignes BT y, au routeur ou au commutateur.
Donc, encore une fois avec notre liste de contrôle d'accès, tous les paquets peuvent être transmis à toutes les parties du réseau.
Et cela pourrait ne pas être souhaitable.
Donc, vous voudrez peut-être empêcher certaines parties du réseau d’avoir accès à d’autres parties du réseau.
L'idée ici est que vous commencez à mettre en place une sécurité qui verrouille certaines parties
du réseau afin qu'elles ne soient pas accessibles à toutes les personnes, tant à l'intérieur qu'à l'extérieur de votre entreprise.
ACLC Comment puis-je non seulement utiliser pour autoriser ou refuser le trafic, ils peuvent également être utilisés pour la classification
lors de la configuration d'un réseau privé virtuel de base ou virtuel entre deux sites.
Vous devez indiquer au routeur le trafic à chiffrer.
Vous souhaiterez peut-être que tout le trafic ne soit pas chiffré à partir de votre réseau local,
car vous voudrez peut-être que le trafic de votre réseau local vers un serveur Internet soit envoyé non chiffré, mais le trafic de votre réseau local
local vers le territoire situé de l'autre côté du tunnel VPN doit être chiffré. vous créez une liste d'accès déterminant
quel trafic est intéressant.
En d'autres termes, doit être crypté.
En d'autres termes, le trafic qui n'a pas d'intérêt n'a pas besoin d'être crypté. ACL peut également être utilisé
pour la redistribution lorsque vous prenez des itinéraires d'un protocole de routage et les redistribuez ou les pompez
dans un autre protocole de routage.
Donc, vous ne voudrez peut-être pas qu'OSPF connaisse toutes vos routes GOP et
vous pouvez donc utiliser les listes de contrôle d'accès pour limiter ou permettre seulement
la redistribution de certaines routes être traduits et quels paquets ne
doivent pas être traduits.
Ainsi, vous créeriez une liste excédentaire ne permettant pas
l'accès, ni l'abandon mais la traduction des paquets refusés par la liste d'accès, mais permettant
la traduction de ces paquets à l'aide de la traduction d'adresse ou du réseau paquets se déplaçant dans
un routeur.
Il y a deux étapes principales.
Donc, tout d’abord en mode de configuration globale, vous créez la liste d’accès à l’aide de la liste d’accès commune,
puis vous définissez diverses options.
Ainsi, la commande access est utilisée pour créer la liste d'accès, puis vous appliquez la liste d'accès en entrée
et en sortie sur une interface à l'aide du groupe d'accès.
Allons y.
Donc, accéder à cette commande crée le groupe d'accès en liste excédentaire.
C'mon lie la liste d'accès.
Et lorsque vous le liez, spécifiez entrant ou sortant.
En d'autres termes, déterminer la direction dans laquelle la liste d'accès est liée.
Il est important de noter qu'une liste de contrôle d'accès ne prend effet que si elle est appliquée quelque part.
Ainsi, si vous avez des listes d'accès dans la configuration en cours d'un routeur et qu'elles n'ont pas été
appliquées, cela n'a aucun effet.
La liste d’accès est créée en deux étapes puis vous l’appliquez d’une manière ou d’une autre, par exemple, en entrée sur
Fosset.
N'est-ce pas sérieusement Zera?
Donc, encore une fois, les ACLC Imraan sont appliqués en entrée sur une interface; le fichier ICL sera traité avant le
routage du trafic.
En d'autres termes, si l'ICL refuse le trafic et que celui-ci est rejeté, le routeur n'aura pas à
traiter les paquets en consultant sa table d'écriture et en déterminant l'interface sortante.
Le colis sera jeté ou abandonné avant que le moteur en décomposition ait besoin de les traiter.
S'ils sont autorisés, ils seront traités et le routeur déterminera
l'interface sortante.
S'il est ignoré, il n'y a pas de surcharge supplémentaire sur le routeur car
celui-ci n'a pas besoin d'effectuer une recherche dans la table d'écriture pour déterminer l'interface transparente sortante
si le trafic est autorisé. Le processus d'écriture effectue ensuite la recherche dans la table d'écriture pour déterminer l'interface sortante sans
cette ACLC.
La décomposition est effectuée en premier, puis le paquet est dirigé vers une interface sortante, puis, sur la base de la liste
de contrôle d'accès, les paquets sont autorisés.
En d'autres termes, transmis ou refusé, il est donc plus efficace de lier une liste d'accès entrante sur
une interface car les paquets rejetés ou refusés n'ont pas besoin d'être traités.
Pendant le processus d’écriture sur le routeur.
Si une liste de contrôle d'accès est appliquée en sortie, Rada doit encore traiter tous les paquets qui peuvent ensuite
être refusés ou abandonnés sur l'interface sortante.
Donc, dans la mesure du possible, liez les appels entrants d’ACLC aux interfaces plutôt que les appels sortants.
Ou bien, le traitement plus efficace d’une liste d’accès est une liste séquentielle d’énoncés dans lesquels les paquets sont
évalués de premier à dernier.
En d'autres termes, il existe un traitement descendant.
Si un paquet correspond à une déclaration individuelle dans la liste d'accès, ce paquet sera soit autorisé,
soit refusé, selon que le mot-clé permit ou deny est utilisé dans cette déclaration spécifique.
Toutes les lignes restantes de la liste d'accès sont ignorées pour ce paquet spécifique.
Donc, en d'autres termes, dès qu'une correspondance est trouvée sur une ligne, toutes les lignes restantes sont ignorées si
le trafic ne correspond pas à cette ligne ou instruction spécifique, la ligne suivante de la liste de contrôle d'accès est cochée.
La liste Nexxus est donc une liste séquentielle d'instructions et le Rada vérifiera de la première à la dernière
ligne jusqu'à ce qu'il obtienne une correspondance.
Dès qu'il y a un match.
Toutes les lignes suivantes sont ignorées.
S'il n'y a pas de correspondance pour une instruction dans la liste de contrôle d'accès, le paquet est supprimé à cause
de ce qu'on appelle le refus implicite à la fin de chaque liste d'accès.
Il existe un refus implicite, ce qui signifie que si vous n'êtes pas
explicitement autorisé par une liste d'accès, tout le trafic qui n'est pas autorisé ne sera implicitement
pas autorisé.
Cela signifie donc que vous devez avoir au moins une déclaration de permis d’une manière ou d’une autre dans la liste des pratiques.
Sinon, vous pouvez aussi débrancher le câble.
Nous nous concentrons maintenant sur deux principaux sommets de listes d’accès dans ce cours.
Le premier est un ACL standard et le second est un ACL standard étendu. ACLJ ne vérifie que les adresses
IP source.
Ils ne vérifient pas les numéros de port individuels ou les protocoles individuels qui autorisent ou refusent la
suite de protocoles complète en fonction de l'adresse IP source ou du réseau source.
Aucune vérification de l'adresse IP source ou du réseau source ne peut être spécifiée. Contrôle ACLC étendu à la
fois sur l'adresse source et l'adresse de destination et vous permet d'autoriser ou de refuser des protocoles et des applications spécifiques.
Autrement dit, vous pouvez autoriser ou refuser en fonction des numéros de port source et des numéros de port
de destination. Les listes d’accès étendu sont généralement beaucoup plus fines et ont tendance à être
utilisées dans les protocoles de base. le vrai monde.
Mais pour être complet, nous devons couvrir les listes d'accès standard et étendues dans ce cours.