Ben tornato.
Mi chiamo David Bumble. c. Io undicimilanovantatre.
E in questa sezione esamineremo le liste di X-ists.
Mi piacerebbe mostrarti come implementare la sicurezza utilizzando gli elenchi di controllo di
accesso, che sono uno dei blocchi di base per l'implementazione della sicurezza nella rete Cisco.
In questi giorni ci sono diversi modi per implementare la sicurezza, ma gli elenchi di accesso sono una delle più fondamentali e
molte delle nuove tecnologie si basano su di essi.
Quindi è importante avere una buona comprensione di come funzionano le liste di accesso e come implementarle.
Quindi possiamo esaminare lo scopo delle liste di controllo degli accessi.
Mi piacerebbe mostrarti come sono legati alle interfacce.
Sono legati sia in entrata che in uscita.
Mi piacerebbe mostrarti varie cime degli elenchi di accesso inclusi elenchi di X-numerati numerati denominati elenchi
X-ists e stare in un elenco di controllo di accesso esteso o ACLC.
Mi piacerebbe spiegare cosa fa una moschea jolly e come abbinare i singoli host a tutti
gli host modificando la moschea jolly.
Mi piacerebbe anche spiegare l'ACLC riflessivo e dinamico basato su htan ora prima di entrare in una discussione sugli elenchi di
controllo di accesso o ACLC.
Esaminiamo alcune delle informazioni trattate nel ghiaccio nel corso D1.
Non sarai in grado di implementare ACL senza una buona conoscenza dei protocolli.
I numeri di porta e altre opzioni sono disponibili nello stack del protocollo Ah-Q TCAP e in altri protocolli.
Se li hai in esecuzione sulla tua rete vedi un esempio se abbiamo un PC che si connette a
un server e il PC si connette usando HGP e che il traffico è lo stesso attraverso il router di rete si vedrà un pacchetto
con un indirizzo di origine di 10 1 1 1 con il numero di porta di origine maggiore di 1023.
Quindi in questo esempio diciamo 1024.
In questo caso, poiché si utilizza UDP, il numero di porta noto 80 sarà quindi l'indirizzo IP di destinazione
da 10 1 a 1 e il numero di porta di destinazione è 80.
Ora con la direzione delle liste di accesso è di grande importanza su questa interfaccia.
Il ratto sta ricevendo il pacchetto in ingresso ma su questa interfaccia il pacchetto viene trasmesso in uscita.
È importante guardarlo dal punto di vista più ombreggiato.
Il pacchetto arriva in entrata e viene inviato in uscita.
Quindi, in altre parole, se si configura un elenco di accessi in uscita sul lato apparente non avrebbe
alcun effetto sul traffico dal PC al server.
Perché sono in lista di accesso controlla solo il traffico in uscita dal punto di vista buddista.
Quindi, se si configurava un elenco di controllo di accesso in ingresso sul lato sinistro, i pacchetti dovevano passare
tale elenco di controllo di uscita prima di essere autorizzato e ancora una volta se lo si configura
in un elenco di controllo di accesso su questa interfaccia il traffico dovrebbe passare l'elenco di accesso sarà consentito dalla lista
di accesso.
Altrimenti il traffico verrà eliminato.
Quando il servizio dal traffico in risposta l'indirizzo di origine sarà ora dieci uno a uno con
una porta di origine di 80 e l'indirizzo IP di destinazione sarà 10 1 1 1 e il numero di porta di destinazione sarà 1024.
In questo caso, un elenco di accesso in uscita su questa interfaccia entrerebbe in vigore tutto il traffico dal server
al PC perché il traffico sta uscendo dal punto di vista del router.
Quindi un eccellente outbound configurato e questa interfaccia avrebbero risolto questo traffico e questo traffico avrebbe dovuto passare i
criteri impostati nella lista di accesso prima di essere autorizzato dallo stesso token che un elenco di accesso in ingresso su questa
interfaccia avrebbe influenzato il traffico e il traffico avrebbe avuto per passare i criteri impostati in tale
elenco di controllo di accesso.
Sì, un altro esempio.
Questo MacBook sta trasmettendo telnet per uno tramite il router.
Quindi, per motivi di discussione, supponiamo che il MacBook scelga la porta 50000.
L'indirizzo di origine di tutti i frame dal MacBook allo switch sarebbe 10 uno su uno con la
porta di origine di 50000.
La destinazione sarà 10 1 a 1 con il numero di porta di destinazione 23.
Quindi, ancora una volta dal suo punto di vista riceve frame su questa interfaccia con una sorta
di addomesticamento su una fonte per cinquantamila e sta trasmettendo quei pacchetti da questa interfaccia con gli
stessi dettagli.
Pacchetti inviati in risposta dallo switch di un indirizzo sorgente di 10 1 a 1 porta sorgente di 23 e un indirizzo IP
di destinazione di 10 1 1 1 la porta di destinazione di 50000.
Ancora una volta è importante comprendere i protocolli e i numeri di porta, perché senza
quella comprensione non sarà possibile configurare ACLC sempre guardando la direzione del traffico per determinare se
un eccesso deve essere vietato in entrata o in uscita su interfacce specifiche.
Sei alcuni esempi di alcuni ben noti protocolli TZP con i numeri di porta rilevanti.
Se DP utilizza la porta 21 per il controllo e 24 dati telnet utilizza la porta 23, la shell malata utilizza la porta 22.
È vuoto.
Usa porta 25 HVD Porta Pease 80.
POP 3 utilizza la porta 1 1 0.
Porto di SS Elissa 443.
Quindi questi sono esempi di alcuni numeri di porta TZP noti che dovresti ricordare per il mondo reale.
Basta google my sui numeri di porta per vedere un elenco di Internet che assegna numeri di 30 numeri di porta.
L'on è responsabile dei numeri di porta e determina l'assegnazione.
Ad esempio, digita i numeri di porta
e il tuo primo colpo sarà un elenco di numeri di tribunale e spiegheranno molto bene.
Informazioni sui noti numeri di porta registrati numeri di porta e numeri di porte dinamici e privati.
Quindi, ad esempio, se esegui una ricerca o un telnet, vedrai quale numero di porta utilizza telnet.
Ha una bella lista se non sei sicuro di quali numeri di porta sono usati da protocolli specifici.
Ecco un esempio di protocolli che utilizzano UDP e si basano sui numeri di porta.
Quindi, ad esempio, DHP usa la porta numero 67 e 68 della porta PFT di TFT 69 e come MP usa la porta 161.
Ancora una volta su quella stessa lista sull'Ayana si potrebbe fare una ricerca di protocolli specifici e
c'è un esempio di TFT DNS è un caso speciale.
È solo il numero di parte 53 che utilizza sia TCAP che UDP.
Quindi sia per scopi di studio che per il mondo reale.
Ricorda che i protocolli come telnet usano la porta 23 e dicono agli utenti TZP.
Mentre per esempio DFT usa la porta 69 usando UDP.
Ora perché dovresti usare ACLC fino a questo punto nel corso che stiamo abilitando l'accesso
tra le diverse parti della rete senza chiudere le interfacce nel routing Bil'in impostando i protocolli di routing
come il tuo lavoro che sai SPF abiliterà l'accesso attraverso la rete .
Tuttavia potresti non voler che tutti siano in grado di accedere ad ogni parte della rete.
Questo è particolarmente vero quando ti connetti a Internet.
Non è necessario che tutti in Internet siano in grado di accedere ai server aziendali o alla
rete aziendale.
Quindi gli elenchi di accesso sono una delle prime linee di difesa per arrestare o negare il traffico da una parte della rete a
un'altra in modo che possano essere utilizzate per consentire o negare il traffico che si muove attraverso un router.
Quindi, ad esempio, potremmo consentire a questo MacBook di accedere a Internet per negare il
traffico da Internet al nostro ambiente aziendale.
Quindi permetteremo o negheremo il traffico su base per interfaccia e quindi negheremo il traffico che si muove
attraverso il router.
È possibile inserire una password su un router Witi su un router per forzare un livello di sicurezza.
Tuttavia si potrebbe dire che solo le sottoreti amministrative Wayne dal momento che questa macchina
su una sottorete amministrativa è autorizzata ad accedere a Viti mentre le linee non consentono l'accesso alle
linee BT.
In questo caso, la lista di accesso non consente nemmeno il traffico telnet o S-sh verso le linee Viti Why
sul router.
Quindi, piuttosto che avere una sola linea di difesa, una password implementa due linee di difesa che consentono solo alcune
sottoreti alle linee Etowah, oltre a mettere una password sulle linee BT y ogni volta che si tratta di
sicurezza.
Devi pensare al rischio che dipende dal rischio che applichi più sicurezza.
In questo caso, si potrebbe ritenere che gli utenti che accedono alle apparecchiature di rete siano ad alto rischio.
Pertanto, si consente solo a determinate subnet di connettersi alle linee BT y o al router o allo switch.
Quindi, ancora una volta con il nostro ACL, tutti i pacchetti potrebbero essere trasmessi a tutte le parti della rete.
E questo potrebbe non essere desiderabile.
Quindi potresti voler negare alcune parti della rete dall'accesso ad altre parti della rete.
L'idea qui è che stai iniziando a implementare la sicurezza bloccando le parti della rete
in modo che non possano essere accessibili da tutti gli individui all'interno e all'esterno della tua organizzazione.
ACLC Come non ho appena usato per consentire o negare il traffico possono essere utilizzati anche per la classificazione quando
si imposta una VPN di base o una rete privata virtuale tra due siti.
Devi dire al router quale traffico deve essere crittografato.
Potresti non volere tutto il traffico crittografato dalla tua LAN locale perché potresti voler
inviare il traffico dalla tua LAN locale a un server Internet non crittografato, ma il traffico dalla tua LAN locale alla
terra sull'altro lato del tunnel VPN deve essere crittografato crei un elenco di accesso che determina quale
traffico è interessante.
In altre parole, deve essere crittografato.
Che traffico non è interessante in altre parole non ha bisogno di essere criptato ACL può anche
essere usato in ridistribuzione dove stai prendendo percorsi da un protocollo di routing e ridistribuendoli o pompandoli
in un altro protocollo di routing.
Quindi potresti non volere che OSPF impari a conoscere tutti i tuoi percorsi GOP e quindi puoi usare gli elenchi
di controllo di accesso per limitare o solo permettere che alcune rotte vengano ridistribuite. Gli elenchi di accesso sono anche usati con la
traduzione degli indirizzi di rete o di rete la lista degli accessi determinerà quali pacchetti necessitano da tradurre
e quali pacchetti non devono essere tradotti.
Quindi dovresti creare una lista in eccesso che permetta solo certe sottoreti che consentirebbero
la traduzione dei pacchetti negati dall'accesso alla lista di accesso a cui non viene negato l'accesso o che non vengono trasferiti
ma non vengono tradotti usando la conversione degli indirizzi di rete o rete quando si usa ACLC per consentire o negare pacchetti che si muovono attraverso
un router.
Ci sono due passaggi principali.
Quindi, in primo luogo nella modalità di configurazione globale, si crea l'elenco di accesso utilizzando l'elenco di accesso comune e
quindi si riempiono varie opzioni.
Pertanto, il comando di accesso viene utilizzato per creare l'elenco di accesso e successivamente si applica l'elenco di accesso in
ingresso e in uscita su un'interfaccia utilizzando il gruppo di accesso.
Andiamo, forza.
Quindi accedere a questo comando crea l'elenco in eccesso Gruppo di accesso.
Dai si lega la lista di accesso.
E quando lo si lega, specificare in entrata o in uscita.
In altre parole, determina la direzione in cui la lista di accesso è vincolata.
È importante notare che un ACL non ha effetto fino a quando non viene applicato da qualche parte.
Pertanto, se si dispone di elenchi di accesso nella configurazione di esecuzione di un router e non sono stati
applicati, non vi sono effetti.
Esistono due passaggi per creare l'elenco di accesso e quindi applicarlo in qualche modo, ad esempio in entrata su
Fosset.
Non è seriamente Zera.
Quindi, ancora una volta, ACR di Imraan viene applicato in ingresso su un'interfaccia che verrà elaborata dall'ICL prima che il
traffico venga instradato.
In altre parole, se ICL nega il traffico e il traffico viene scartato, il router non dovrà elaborare
i pacchetti osservando nella sua tabella di scrittura e determinando l'interfaccia in uscita.
Il pacchetto verrà scartato o eliminato prima che il motore di decomposizione debba elaborarli.
Se sono consentiti, verranno elaborati per la scrittura e il router determinerà l'interfaccia
in uscita.
Se scartato non vi è alcun overhead aggiuntivo sul router perché il router non ha
bisogno di fare una ricerca nella tabella di scrittura per determinare l'interfaccia in uscita elegante se il
traffico è consentito il processo di scrittura farà quindi la ricerca della tabella di scrittura per determinare l'interfaccia in uscita senza
questo ACLC.
La decomposizione viene eseguita per prima, quindi il pacchetto viene indirizzato a un'interfaccia in uscita e, in
base all'ACL, i pacchetti saranno consentiti.
In altre parole, trasmesso o negato, è quindi più efficiente associare un elenco di accesso in ingresso
su un'interfaccia, poiché non è necessario elaborare pacchetti rifiutati o rifiutati.
Mentre il processo di scrittura sul router.
Se viene applicato un ACL in uscita, Rada deve ancora elaborare tutti i pacchetti che possono essere negati
o rilasciati sull'interfaccia in uscita.
Quindi, se possibile, collegare ACLC in ingresso su interfacce anziché in uscita.
O più efficiente l'elaborazione di un elenco di accesso è un elenco sequenziale di istruzioni in cui i pacchetti
vengono valutati dalla prima dichiarazione all'ultimo.
In altre parole, l'elaborazione dall'alto verso il basso.
Se un pacchetto è abbinato da una singola dichiarazione nella lista di accesso, quel pacchetto sarà permesso o negato
a seconda che la parola chiave di autorizzazione o di rifiuto sia usata in quella specifica istruzione.
Tutte le restanti linee della lista di accesso vengono ignorate per quel pacchetto specifico.
Quindi, in altre parole, non appena c'è una corrispondenza su una riga, tutte le righe rimanenti
vengono ignorate se il traffico non corrisponde a quella riga o istruzione specifica, quindi viene controllata la riga successiva nell'ACL.
Quindi la lista Nexxus è una lista sequenziale di affermazioni e la Rada controllerà dalla prima alla fine fino
a quando non avrà una corrispondenza.
Non appena c'è una partita.
Tutte le righe successive sono ignorate.
Se non vi è alcuna corrispondenza per alcuna istruzione nell'ACL, il pacchetto viene eliminato a causa di ciò che
viene chiamato il denit. Implicito alla fine di ogni elenco di accesso.
Esiste un diniego implicito che significa che se non sei esplicitamente autorizzato da un elenco di accessi a
cui viene implicitamente negato tutto il traffico non consentito da qualche parte in tale elenco di accesso con l'uso di una dichiarazione
di permesso verrà eliminato.
Ciò significa quindi che devi avere almeno una dichiarazione di permesso in qualche modo nella lista di pratica.
Altrimenti potresti anche scollegare il cavo.
Ora ci sono due principali piani di accesso a cui ci concentriamo in questo corso.
Il primo è un ACL standard e il secondo è un ACLJ standard ACL esteso che verifica solo gli indirizzi IP
di origine.
Non controllano i singoli numeri di porta o singoli protocolli che consentono o negano l'intera suite
di protocolli basata sull'indirizzo IP di origine o sulla rete di origine.
Nient'altro nell'indirizzo IP sorgente o nella rete sorgente può essere specificato un controllo ACLC esteso
sia sull'indirizzo di origine che di destinazione e consente di consentire o negare protocolli e applicazioni specifici.
In altre parole, è possibile consentire o negare in base a IP TZP UDP ICMP e molti altri protocolli e si può anche consentire o negare
in base ai numeri di porta di origine e ai numeri di porta di destinazione gli elenchi di accesso estesi sono
molto più granulari e tendono ad essere utilizzati in Il mondo reale.
Ma per completezza abbiamo bisogno di coprire sia gli elenchi di accesso standard che quelli estesi in questo corso.