Selamat datang kembali.
Nama saya David Bumble s. c. saya sebelas ribu dua puluh tiga.
Dan di bagian ini kita akan melihat daftar X-ists.
Saya ingin menunjukkan kepada Anda bagaimana menerapkan keamanan menggunakan daftar Kontrol Akses
yang merupakan salah satu blok bangunan paling mendasar untuk menerapkan keamanan di jaringan Cisco.
Saat ini ada beberapa cara untuk mengimplementasikan keamanan tetapi daftar akses adalah salah satu yang paling mendasar
dan banyak teknologi baru yang didasarkan padanya.
Jadi, penting bagi Anda untuk memiliki pemahaman yang baik tentang cara kerja daftar akses dan cara mengimplementasikannya.
Jadi kita bisa melihat tujuan daftar kontrol akses.
Saya ingin menunjukkan kepada Anda bagaimana mereka terikat pada antarmuka.
Entah itu terikat masuk atau keluar.
Saya ingin menunjukkan kepada Anda berbagai puncak daftar akses termasuk daftar X-ists bernomor bernama daftar
X-ists serta berada dalam daftar kontrol akses yang diperluas atau ACLC.
Saya ingin menjelaskan apa yang dilakukan masjid kartu liar dan bagaimana Anda dapat mencocokkan host individu
men-subnet semua host dengan mengubah masjid wildcard
Saya juga ingin menjelaskan ACTC reflektif dan dinamis berbasis htan Sekarang sebelum masuk ke diskusi tentang daftar
kontrol akses atau ACLC.
Mari kita tinjau beberapa informasi yang tercakup dalam es dalam kursus D1.
Anda tidak akan dapat mengimplementasikan ACL tanpa pemahaman yang baik tentang protokol.
Nomor port dan opsi lain tersedia di tumpukan protokol TCAP Ah-Q dan protokol lainnya.
Jika Anda menjalankannya di jaringan Anda, lihat sebagai contoh jika kita memiliki PC yang terhubung
ke server dan PC terhubung menggunakan HGP dan lalu lintas yang sama di seluruh router jaringan, seseorang akan melihat sebuah
paket dengan alamat sumber 10 1 1 1 dengan nomor port sumber lebih besar dari 1023.
Jadi, dalam contoh ini katakanlah 1024.
Dalam hal ini karena Anda menggunakan UDP, itu akan menjadi nomor port yang terkenal 80 sehingga alamat IP
tujuan adalah 10 1 hingga 1 dan nomor port tujuan adalah 80.
Sekarang dengan daftar akses, arah sangat penting pada antarmuka ini.
Tikus menerima paket masuk tetapi pada antarmuka ini paket sedang dikirim keluar.
Penting bagi Anda untuk melihat ini dari sudut pandang paling awal.
Paket tiba masuk dan dikirim keluar.
Jadi dengan kata lain jika Anda mengkonfigurasi daftar akses keluar pada wajah tampaknya itu tidak akan
mempengaruhi lalu lintas dari PC ke server.
Karena saya keluar dari daftar akses hanya memeriksa lalu lintas keluar dari sudut pandang Buddha.
Jadi jika Anda mengkonfigurasi Daftar Kontrol Akses masuk pada paket sisi kiri harus melewati
daftar kontrol keluar sebelum diizinkan dan sekali lagi jika Anda mengonfigurasinya daftar Kontrol
Akses pada antarmuka ini lalu lintas yang sama harus melewati daftar akses akan diizinkan oleh daftar
akses.
Kalau tidak, lalu lintas akan dijatuhkan.
Ketika layanan sejak lalu lintas dibalas, alamat sumber sekarang akan menjadi 10:59
dengan port sumber 80 dan alamat IP tujuan adalah 10 1 1 1 dan nomor port tujuan adalah 1024.
Dalam hal ini daftar akses keluar pada antarmuka ini akan mulai berlaku semua lalu lintas dari server
ke PC karena lalu lintas keluar dari sudut pandang router.
Jadi outbound yang dikonfigurasi dengan sangat baik dan antarmuka ini akan memperbaiki lalu lintas ini dan lalu
lintas ini harus melewati kriteria yang ditetapkan dalam daftar akses sebelum diizinkan oleh token yang sama dengan daftar akses masuk pada
antarmuka ini akan mempengaruhi lalu lintas dan lalu lintas akan untuk lulus kriteria yang ditetapkan dalam
Daftar Kontrol Akses tersebut.
Ya, contoh lain.
MacBook ini melakukan telnetting untuk beralih satu melalui router.
Jadi demi argumen, mari kita asumsikan MacBook memilih port 50000.
Sumber alamat semua frame dari MacBook ke switch akan menjadi 10 satu lawan satu
dengan port sumber 50.000.
Tujuannya adalah 10 1 hingga 1 dengan nomor port tujuan 23.
Jadi sekali lagi dari sudut pandangnya itu menerima bingkai pada antarmuka ini dengan semacam satu jinak pada
satu sumber untuk lima puluh ribu dan mengirimkan paket-paket itu keluar dari antarmuka ini dengan detail
yang sama.
Paket yang dikirim sebagai balasan dari saklar alamat sumber 10 1 ke 1 port sumber 23 dan
alamat IP tujuan 10 1 1 1 port tujuan 50.000.
Sekali lagi penting bahwa Anda memahami protokol dan nomor port Anda karena tanpa
pemahaman itu Anda tidak akan dapat mengkonfigurasi ACLC selalu melihat arah lalu lintas untuk
menentukan apakah kelebihan harus dilarang masuk atau keluar pada antarmuka tertentu.
Anda adalah beberapa contoh dari beberapa protokol TZP yang terkenal dengan nomor port yang relevan.
Jika DP menggunakan port 21 untuk kontrol dan 24 data telnet menggunakan port 23 shell shell menggunakan port 22.
Ini kosong.
Gunakan port 25 port HVD Pease 80.
POP 3 menggunakan port 1 1 0.
Port SS Elissa 443.
Jadi itu adalah contoh dari beberapa nomor port TZP terkenal yang harus Anda ingat untuk dunia nyata.
Cukup google nomor port saya untuk melihat daftar nomor penetapan Internet dari 30 nomor port.
I on bertanggung jawab atas nomor port dan menentukan alokasi.
Sebagai contoh cukup ketik nomor port dan
hit pertama Anda akan menjadi daftar nomor pengadilan dan mereka menjelaskan dengan cukup baik.
Tentang nomor port terkenal nomor port terdaftar dan nomor port dinamis dan pribadi.
Jadi sebagai contoh jika Anda hanya melakukan pencarian atau telnet Anda akan melihat nomor port yang digunakan telnet.
Ia memiliki daftar yang bagus jika Anda tidak yakin nomor port mana yang digunakan oleh protokol tertentu.
Berikut adalah contoh protokol yang menggunakan UDP dan mereka bergantung pada nomor port.
Jadi sebagai contoh DHP menggunakan port nomor 67 dan 68 port TFT Pease 69 dan sebagai MP menggunakan port 161.
Sekali lagi pada daftar yang sama di Ayana Anda dapat melakukan pencarian protokol tertentu
dan ada contoh DNS DNS adalah kasus khusus.
Itu hanya bagian nomor 53 yang menggunakan TCAP dan UDP.
Jadi baik untuk tujuan belajar dan dunia nyata.
Ingatlah bahwa protokol seperti telnet menggunakan port 23 dan memberi tahu pengguna TZP.
Sedangkan misalnya DFT menggunakan port 69 menggunakan UDP.
Sekarang mengapa Anda menggunakan ACLC hingga saat ini dalam kursus kami telah memungkinkan akses
antara berbagai bagian jaringan tanpa ada antarmuka yang ditutup dengan perutean Bil'in yang mengatur protokol perutean
seperti pekerjaan Anda, SPF akan memungkinkan akses di seluruh jaringan .
Namun Anda mungkin tidak ingin semua orang dapat mengakses setiap bagian dari jaringan.
Ini terutama benar ketika Anda terhubung ke Internet.
Anda tidak perlu ingin semua orang di Internet dapat mengakses server perusahaan atau jaringan
perusahaan Anda.
Jadi daftar akses adalah salah satu garis pertahanan pertama untuk menghentikan atau menolak lalu lintas dari satu bagian jaringan ke
yang lain sehingga mereka dapat digunakan untuk mengizinkan atau menolak lalu lintas yang bergerak melalui router.
Jadi sebagai contoh, kami mungkin mengizinkan MacBook ini untuk mendapatkan akses ke Internet sehingga kami mungkin menolak
lalu lintas dari internet ke lingkungan perusahaan kami.
Jadi kami akan mengizinkan atau menolak lalu lintas pada basis per antarmuka dan dengan demikian menolak lalu lintas yang
bergerak melalui router.
Anda bisa memasukkan kata sandi pada wireline Viti di router untuk memaksa tingkat keamanan.
Namun Anda dapat mengatakan bahwa hanya subnet administratif Wayne karena mesin ini pada
subnet administratif diizinkan untuk mengakses jalur Viti sedangkan mesin ini tidak diizinkan untuk mengakses jalur
kawat BT.
Dalam hal ini daftar akses bahkan tidak akan mengizinkan lalu lintas telnet atau S-sh ke jalur Viti Why
di router.
Jadi, alih-alih hanya memiliki satu baris kata sandi pertahanan, Anda menerapkan dua garis pertahanan hanya mengizinkan
subnet tertentu ke baris Etowah serta menempatkan kata sandi pada garis BTY setiap kali menyangkut
keamanan.
Anda harus memikirkan risiko yang tergantung pada risiko Anda akan menerapkan lebih banyak keamanan.
Dalam hal ini Anda mungkin menganggap risiko pengguna mengakses peralatan jaringan menjadi tinggi.
Jadi Anda hanya mengizinkan subnet tertentu untuk terhubung ke jalur BT y atau router atau switch.
Jadi sekali lagi dengan ACL kami semua paket bisa dikirim ke semua bagian jaringan.
Dan itu mungkin tidak diinginkan.
Jadi, Anda mungkin ingin menolak bagian tertentu dari jaringan untuk mendapatkan akses ke bagian lain dari jaringan.
Seluruh ide di sini adalah bahwa Anda mulai menerapkan keamanan mengunci bagian-bagian
jaringan sehingga tidak dapat diakses oleh semua individu di dalam dan di luar organisasi Anda.
ACLC Bagaimana saya tidak hanya digunakan untuk mengizinkan atau menolak lalu lintas mereka juga dapat digunakan untuk
klasifikasi ketika mengatur VPN dasar atau jaringan pribadi virtual antara dua situs.
Anda perlu memberi tahu router tentang lalu lintas mana yang perlu dienkripsi.
Anda mungkin tidak ingin semua lalu lintas dienkripsi dari LAN lokal Anda karena Anda mungkin
ingin lalu lintas dari LAN lokal Anda ke server Internet untuk dikirim tidak terenkripsi tetapi lalu lintas dari LAN lokal Anda ke
tanah di sisi lain dari terowongan VPN perlu dienkripsi sehingga Anda membuat daftar akses menentukan lalu lintas
apa yang menarik.
Dengan kata lain perlu dienkripsi.
Lalu lintas apa yang tidak menarik dengan kata lain tidak perlu dienkripsi ACL juga dapat
digunakan dalam redistribusi di mana Anda mengambil rute dari satu protokol routing dan mendistribusikannya atau
memompanya ke protokol routing lain.
Jadi Anda mungkin tidak ingin OSPF mempelajari semua rute GOP Anda dan oleh karena itu Anda dapat
menggunakan daftar Kontrol Akses untuk membatasi atau hanya mengizinkan rute tertentu untuk didistribusikan daftar akses juga digunakan dengan terjemahan jaringan
atau alamat jaringan, daftar akses akan menentukan paket mana yang perlu paket untuk diterjemahkan dan paket
mana yang tidak perlu diterjemahkan.
Jadi Anda akan membuat daftar berlebih yang hanya mengizinkan subnet tertentu
yang akan memungkinkan paket-paket itu untuk diterjemahkan paket-paket yang ditolak oleh daftar akses tidak ditolak akses atau
dijatuhkan tetapi mereka tidak diterjemahkan menggunakan terjemahan alamat jaringan atau internet saat menggunakan ACLC untuk mengizinkan atau menolak paket bergerak
melalui router.
Ada dua langkah utama.
Jadi pertama-tama dalam mode konfigurasi global Anda membuat daftar akses menggunakan daftar akses umum dan
kemudian mengisi berbagai opsi.
Jadi perintah akses digunakan untuk membuat daftar akses dan kemudian Anda menerapkan daftar akses baik masuk
dan keluar pada antarmuka dengan menggunakan Grup Akses.
Ayo.
Jadi akses perintah ini membuat daftar Access Group yang berlebihan.
Ayo mengikat daftar akses.
Dan ketika Anda mengikatnya tentukan inbound atau outbound.
Dengan kata lain menentukan arah bahwa daftar akses terikat.
Penting untuk dicatat bahwa ACL tidak berlaku sampai diterapkan di suatu tempat.
Jadi, jika Anda memiliki daftar akses dalam menjalankan konfigurasi router dan belum diterapkan,
tidak ada efeknya.
Ada dua langkah Anda membuat daftar akses dan kemudian Anda menerapkannya beberapa cara misalnya masuk ke Fosset.
Bukankah ini benar-benar Zera?
Jadi sekali lagi ACLC Imraan diterapkan inbound pada antarmuka ICL akan diproses sebelum lalu lintas
akan dialihkan.
Dengan kata lain jika ICL menolak lalu lintas dan lalu lintas dibuang, router tidak akan
harus memproses paket dengan melihat pada tabel penulisan dan menentukan antarmuka keluar.
Paket akan dibuang atau dibuang sebelum mesin yang membusuk perlu memprosesnya.
Jika mereka diizinkan mereka akan diproses untuk menulis dan router akan menentukan
antarmuka keluar.
Jika dibuang tidak ada overhead tambahan pada router karena router tidak
perlu melakukan lookup table menulis untuk menentukan antarmuka keluar yang anggun jika lalu
lintas diijinkan, proses penulisan kemudian akan melakukan lookup table penulisan untuk menentukan interface keluar tanpa ACLC
itu.
Pembusukan dilakukan pertama dan kemudian paket diarahkan ke antarmuka keluar dan kemudian berdasarkan pada
ACL paket akan diizinkan.
Dengan kata lain yang dikirimkan atau ditolak, oleh karena itu lebih efisien untuk mengikat daftar akses masuk
pada antarmuka karena paket yang dijatuhkan atau ditolak tidak perlu diproses.
Sedangkan proses penulisan pada router.
Jika ACL diterapkan keluar, Rada masih harus memproses semua paket yang kemudian dapat ditolak atau
dijatuhkan pada antarmuka keluar.
Jadi, jika mungkin, mengikat ACLC inbound pada antarmuka daripada outbound.
Atau pemrosesan daftar akses yang lebih efisien adalah daftar pernyataan berurutan tempat paket dievaluasi dari
pernyataan pertama hingga terakhir.
Dengan kata lain ada pemrosesan dari atas ke bawah.
Jika suatu paket dicocokkan dengan pernyataan individual dalam daftar akses, paket tersebut akan diizinkan atau
ditolak tergantung pada apakah izin atau penolakan kata kunci digunakan dalam pernyataan spesifik tersebut.
Semua baris daftar akses yang tersisa diabaikan untuk paket tertentu.
Jadi dengan kata lain segera setelah ada kecocokan pada satu baris semua baris yang tersisa
diabaikan jika lalu lintas tidak cocok dengan baris atau pernyataan tertentu maka baris berikutnya di ACL diperiksa.
Jadi daftar Nexxus adalah daftar pernyataan berurutan dan Rada akan memeriksa dari baris pertama
hingga terakhir hingga mendapat kecocokan.
Begitu ada kecocokan.
Semua baris selanjutnya diabaikan.
Jika tidak ada kecocokan untuk pernyataan apa pun di ACL, paket dijatuhkan karena apa yang
disebut deni implisit di akhir setiap akhir daftar akses.
Ada penolakan implisit yang berarti jika Anda tidak secara eksplisit diizinkan oleh daftar akses, Anda
secara implisit menolak semua lalu lintas yang tidak diizinkan di suatu tempat dalam daftar akses dengan penggunaan pernyataan
izin akan dihapus.
Karena itu, berarti Anda harus memiliki setidaknya satu pernyataan izin dalam daftar praktik.
Kalau tidak, Anda mungkin mencabut kabelnya.
Sekarang ada dua daftar akses utama yang kami fokuskan dalam kursus ini.
Yang pertama adalah ACL standar dan yang kedua adalah ACL standar ACLJ diperpanjang hanya memeriksa alamat
IP Sumber.
Mereka tidak memeriksa nomor port individual atau protokol individual yang mengizinkan atau menolak
seluruh paket protokol berdasarkan alamat IP sumber atau jaringan sumber.
Tidak ada hal lain dalam alamat IP sumber atau jaringan sumber yang dapat ditentukan pemeriksaan ACLC
diperpanjang pada sumber dan alamat tujuan dan memungkinkan Anda untuk mengizinkan atau menolak protokol dan aplikasi tertentu.
Dengan kata lain Anda dapat mengizinkan atau menolak berdasarkan IP TZP UDP ICMP dan banyak protokol lainnya dan Anda juga
dapat mengizinkan atau menolak berdasarkan nomor port sumber dan nomor port tujuan daftar akses diperpanjang apakah mereka
untuk lebih granular dan cenderung digunakan dalam dunia nyata.
Tetapi untuk kelengkapan kita perlu membahas daftar akses standar dan diperpanjang dalam kursus ini.