Witamy spowrotem.
Nazywam się David Bumble. do. ja jedenaście tysięcy dwadzieścia trzy.
W tym dziale zajmiemy się listami X-ists.
Chciałbym pokazać, jak zaimplementować zabezpieczenia za pomocą list kontroli dostępu,
które są jednym z podstawowych elementów do implementacji zabezpieczeń w sieci Cisco.
Obecnie istnieje wiele sposobów wdrażania zabezpieczeń, ale listy dostępu są jednym z najbardziej fundamentalnych i
wiele nowych technologii bazuje na nich.
Dlatego ważne jest, aby dobrze zrozumieć, jak działają listy dostępu i jak je wdrożyć.
Możemy więc przyjrzeć się celom list kontroli dostępu.
Chciałbym wam pokazać, jak są związani z interfejsami.
Obowiązują albo przychodzące, albo wychodzące.
Chciałbym pokazać różne wierzchołki list dostępu, w tym listy z numerami X-ists o nazwach
X-ists, jak również stać na rozszerzonych listach kontroli dostępu lub ACLC.
Chciałbym wyjaśnić, co robi mecz z dziką kartą i jak dopasować poszczególne hosty do
wszystkich hostów przez zmianę meczetu wieloznacznego.
Chciałbym również wyjaśnić odruchowy i dynamiczny ACLC oparty na htan, zanim przejdę do dyskusji na temat list
kontroli dostępu lub ACLC.
Przeanalizujmy niektóre informacje pokryte lodem na kursie D1.
Nie będzie można wdrożyć listy ACL bez dobrego zrozumienia protokołów.
Numery portów i inne opcje są dostępne w stosie protokołu TCAP Ah-Q i innych protokołach.
Jeśli masz je uruchomione w swojej sieci, zobacz jako przykład, jeśli mamy komputer łączący
się z serwerem, a komputer łączy się przy użyciu HGP, a ruch jest taki sam na routerze sieciowym, zobaczysz
pakiet o adresie źródłowym 10 1 1 1 ze źródłowym numerem portu większym niż 1023.
W tym przykładzie powiedzmy 1024.
W tym przypadku, ponieważ korzystasz z protokołu UDP, będzie to dobrze znany numer portu 80, więc docelowy adres
IP to 10 1 do 1, a docelowy numer portu to 80.
Teraz z listą dostępu kierunek ma ogromne znaczenie dla tego interfejsu.
Szczur odbiera pakiet przychodzący, ale na tym interfejsie pakiet jest wysyłany wychodzący.
Ważne jest, aby spojrzeć na to z najdawniejszego punktu widzenia.
Pakiet przychodzi przychodzący i wysyłany jest wychodzący.
Innymi słowy, jeśli skonfigurujesz wychodzącą listę dostępu na pozornym, nie wpłynie to na
ruch z komputera na serwer.
Ponieważ jestem na liście dostępu tylko sprawdza ruch wychodzący z buddyjskiego punktu widzenia.
Więc jeśli skonfigurowałeś Listę Kontroli Dostępu Wejściowego po lewej stronie, pakiety musiałyby przejść tę listę
kontrolną wyjścia, zanim będzie ona dozwolona, i jeszcze raz, jeśli skonfigurujesz ją na
liście Kontroli Dostępu na tym interfejsie, samed musiałby przejść przez listę dostępu będzie dozwolone przez listę
dostępu.
W przeciwnym razie ruch zostanie przerwany.
Gdy usługa, ponieważ ruch w odpowiedzi adres źródłowy będzie teraz dziesięć jeden do
jednego z portem źródłowym 80, docelowy adres IP będzie 10 1 1 1 i docelowy numer portu będzie 1024.
W tym przypadku lista dostępu wychodzącego na tym interfejsie zacznie obowiązywać cały ruch z serwera
na komputer, ponieważ ruch wychodzący z punktu widzenia routera.
Tak więc doskonały skonfigurowany ruch wychodzący i ten interfejs naprawiłby ten ruch, a ten ruch
musiałby przejść kryteria ustawione na liście dostępu, zanim zezwolono na to samo tokenowi, że lista dostępu przychodzącego w
tym interfejsie wpłynęłaby na ruch i ruch miałby do spełnienia kryteriów określonych na
tej liście kontroli dostępu.
Tak, kolejny przykład.
Ten MacBook łączy się, aby przełączyć się przez router.
W związku z tym załóżmy, że MacBook wybrał port 50000.
Adres źródłowy wszystkich klatek z MacBooka do przełącznika będzie wynosił 10 jeden na jeden
z portem źródłowym 50000.
Miejsce docelowe będzie wynosić 10 1 do 1 z portem docelowym nr 23.
Tak więc po raz kolejny z jego punktu widzenia odbiera ramki na tym interfejsie z pewnego rodzaju
oswajaniem jednego na jednym źródłu za pięćdziesiąt tysięcy i transmituje te pakiety z tego interfejsu z tymi
samymi szczegółami.
Pakiety wysłane w odpowiedzi z powodu zmiany adresu źródłowego portu źródłowego od 10 1 do 1 na 23 i
docelowego adresu IP 10 1 1 1 portu docelowego na 50000.
Ponownie ważne jest, abyś zrozumiał swoje protokoły i numery portów, ponieważ bez tego zrozumienia
nie będziesz w stanie skonfigurować ACLC, zawsze spoglądaj w kierunku ruchu, aby ustalić, czy nadmiar
nie powinien być blokowany w ruchu przychodzącym czy wychodzącym na określonych interfejsach.
Oto kilka przykładów dobrze znanych protokołów TZP z odpowiednimi numerami portów.
Jeśli DP używa portu 21 do kontroli, a 24 dane telnet używa portu 23, to znaczy, że używa portu 22.
To jest puste.
Użyj portu 25 HVD Pease'a portu 80.
POP 3 używa portu 1 1 0.
Port SS Elissa 443.
Oto przykłady dobrze znanych numerów portów TZP, które należy zapamiętać w prawdziwym świecie.
Po prostu wyśledź moje numery portów, aby wyświetlić listę numerów internetowych przypisanych do 30 numerów portów.
Kod I odpowiada za numery portów i określa przydział.
Jako przykład wystarczy wpisać numery portów,
a twoje pierwsze trafienie będzie listą numerów sądowych i wyjaśnią całkiem ładnie.
O znanych numerach portów zarejestrowano numery portów oraz numery portów dynamicznych i prywatnych.
Na przykład, jeśli wykonasz wyszukiwanie lub telnet, zobaczysz, który numer portu używa telnet.
Ma niezłą listę, jeśli nie masz pewności, które numery portów są używane przez określone protokoły.
Oto przykład protokołów wykorzystujących protokół UDP i bazujących na numerach portów.
Na przykład, DHP używa portu numer 67 i 68 portu TFT Pease'a 69, a MP używa portu 161.
Po raz kolejny na tej samej liście w Ayanie można wyszukiwać określone protokoły
i jest przykład TFT DNS jest szczególnym przypadkiem.
Jest to tylko numer części 53, który używa zarówno TCAP, jak i UDP.
Tak więc zarówno dla celów studyjnych, jak i dla świata rzeczywistego.
Pamiętaj, że protokoły takie jak telnet użyj portu 23 i powiedz użytkownikom TZP.
Podczas gdy na przykład DFT używa portu 69 przy użyciu UDP.
Dlaczego do tej pory używałeś ACLC w ramach kursu, w którym umożliwiamy dostęp
pomiędzy różnymi częściami sieci, bez blokowania interfejsów przechodzących w routing Bil'in, ustawiając protokoły routingu, takie jak
praca, którą znasz SPF umożliwi dostęp w całej sieci .
Jednak możesz nie chcieć, aby wszyscy mieli dostęp do każdej części sieci.
Jest to szczególnie ważne, gdy łączysz się z Internetem.
Niekoniecznie wszyscy użytkownicy Internetu muszą mieć dostęp do serwerów firmowych lub sieci
korporacyjnej.
Listy dostępu są więc jedną z pierwszych linii obrony, która zatrzymuje lub blokuje ruch z jednej części sieci
do drugiej, aby można było ich używać do zezwolenia lub odmowy ruchu w ruterze.
Jako przykład możemy pozwolić temu MacBookowi na uzyskanie dostępu do Internetu, ponieważ możemy odmówić ruchu
z Internetu do naszego środowiska korporacyjnego.
Więc pozwolilibyśmy lub odmawiali ruchu na podstawie interfejsu i tym samym odmawiali ruchu przechodzącego
przez router.
Możesz umieścić hasło na linii przewodowej Viti na routerze, aby wymusić poziom bezpieczeństwa.
Można jednak powiedzieć, że tylko podsieci administracyjne Wayne, ponieważ ten komputer w podsieci administracyjnej
może uzyskać dostęp do Viti podczas linii, podczas gdy ta maszyna nie ma dostępu do linii
przewodowych BT.
W takim przypadku lista dostępu nie zezwoli nawet na ruch telnet lub S-sz na liniach Viti Why
na routerze.
Więc zamiast mieć tylko jedną linię obrony hasło, implementujesz dwie linie obrony, zezwalając tylko na pewne
podsieci na linie Etowah, a także umieszczając hasło na liniach BT, jeśli chodzi o
bezpieczeństwo.
Musisz myśleć o ryzyku zależnym od ryzyka, w które wprowadzisz więcej zabezpieczeń.
W takim przypadku można uznać, że użytkownicy mają zbyt wysoki dostęp do sprzętu sieciowego.
Dzięki temu możesz tylko zezwalać niektórym podsieciom na łączenie się z liniami BT y lub routerem lub przełącznikiem.
Tak więc po raz kolejny z naszą listą ACL wszystkie pakiety mogą być przesyłane do wszystkich części sieci.
A to może nie być pożądane.
Więc możesz chcieć odmówić niektórym częściom sieci dostępu do innych części sieci.
Cała idea polega na tym, że zaczynasz wdrażać zabezpieczenia blokujące części
sieci, aby nie były dostępne dla wszystkich osób wewnątrz i na zewnątrz organizacji.
ACLC Jak nie tylko wykorzystałem do zezwolenia lub odmowy ruchu, mogą być również używane do klasyfikacji
podczas konfigurowania podstawowej sieci VPN lub wirtualnej sieci prywatnej między dwiema witrynami.
Musisz poinformować router, który ruch należy zaszyfrować.
Możesz nie chcieć, aby cały ruch był szyfrowany z lokalnej sieci LAN, ponieważ możesz
chcieć, aby ruch z lokalnej sieci LAN na serwer internetowy był wysyłany w sposób niezaszyfrowany, ale ruch z lokalnej sieci LAN
do lądu po drugiej stronie tunelu VPN musi być zaszyfrowany, aby tworzysz listę dostępu określającą, jaki
ruch jest interesujący.
Innymi słowy należy zaszyfrować.
Jaki ruch nie jest interesujący, innymi słowy, nie musi być szyfrowany ACL może być również
użyty w redystrybucji, w której przechodzisz trasy z jednego protokołu routingu i redystrybuujesz je lub
pompujesz do innego protokołu routingu.
Więc możesz nie chcieć, aby protokół OSPF dowiadywał się o wszystkich twoich trasach GOP i dlatego możesz
używać list kontroli dostępu do ograniczania lub zezwalania tylko na przekierowywanie określonych tras Listy dostępu są również używane z
translacją adresów sieciowych lub sieciowych lista dostępu określi, które pakiety potrzebują do przetłumaczenia i które
pakiety nie muszą być tłumaczone.
Tak więc utworzysz nadmiarową listę zezwalającą tylko na określone podsieci, które
pozwolą na translację tych pakietów, a pakiety odrzucone przez listę dostępu nie zostaną odmówione dostępu lub zostaną
odrzucone, ale nie zostaną przetłumaczone przy użyciu translatora adresów sieciowych lub sieci, gdy używasz ACLC do zezwolenia lub odmowy pakiety przechodzące
przez router.
Są dwa główne kroki.
Tak więc, po pierwsze, w trybie konfiguracji globalnej tworzysz listę dostępu za pomocą wspólnej listy dostępu, a
następnie wypełniając różne opcje.
Komenda dostępu służy do utworzenia listy dostępu, a następnie do zastosowania listy dostępu przychodzącej
i wychodzącej w interfejsie za pomocą grupy dostępu.
No chodź.
Tak więc uzyskaj dostęp do tego polecenia, tworząc nadmiarową listę Access Group.
C'mon wiąże listę dostępu.
A kiedy go powiążesz, określ przychodzące lub wychodzące.
Innymi słowy określając kierunek, w którym powiązana jest lista dostępu.
Należy pamiętać, że lista ACL nie działa, dopóki nie zostanie zastosowana gdzieś.
Więc jeśli masz listę dostępu w uruchomionej konfiguracji routera i nie zostały one zastosowane, nie
mają one żadnego efektu.
Istnieją dwa kroki, aby utworzyć listę dostępu, a następnie zastosować ją w pewien sposób, na przykład w ruchu przychodzącym na serwerze
Fosset.
Czy to nie jest poważnie Zera.
Więc po raz kolejny Imraan ACLC są stosowane przychodzące na interfejsie ICL zostaną przetworzone przed
ruchem drogowym.
Innymi słowy, jeśli ICL odrzuca ruch, a ruch jest odrzucany, router nie będzie musiał
przetwarzać pakietów, sprawdzając w swojej tablicy pisania i określając interfejs wychodzący.
Pakiet zostanie odrzucony lub upuszczony, zanim gnijący silnik będzie musiał je przetworzyć.
Jeśli są one dozwolone, zostaną przetworzone do zapisu, a router określi
interfejs wychodzący.
Jeśli zostanie odrzucony, nie ma dodatkowego obciążenia na routerze, ponieważ router nie
musi wykonywać przeszukiwania tablicy pisarskiej, aby określić wdzięczny interfejs wychodzący, jeśli dozwolony jest
ruch, proces zapisu będzie następnie wykonywał wyszukiwanie tablicy pisanej w celu określenia interfejsu wychodzącego bez że
ACLC.
Gnicie jest wykonywane najpierw, a następnie pakiet jest kierowany do interfejsu wychodzącego, a następnie na podstawie
listy ACL pakiety będą dozwolone.
Innymi słowy, przesyłanie lub odmawianie jest skuteczniejsze w wiązaniu listy wejściowej listy dostępu w
interfejsie, ponieważ pakiety odrzucane lub odrzucane nie muszą być przetwarzane.
Podczas pisania na routerze.
Jeśli ACL jest stosowana wychodząca, Rada nadal musi przetworzyć wszystkie pakiety, które mogą następnie zostać odrzucone
lub odrzucone na interfejsie wychodzącym.
Jeśli to możliwe, powiąż przychodzące ACLC na interfejsach zamiast wychodzących.
Lub bardziej wydajne przetwarzanie listy dostępu jest sekwencyjną listą instrukcji, w której pakiety są oceniane
od pierwszej do ostatniej.
Innymi słowy, istnieje przetwarzanie z góry.
Jeśli pakiet jest dopasowany przez indywidualną instrukcję na liście dostępu, to pakiet będzie dozwolony lub zabroniony w
zależności od tego, czy słowo kluczowe zezwolenie lub odmowa zostało użyte w tym konkretnym oświadczeniu.
Wszystkie pozostałe wiersze listy dostępu są ignorowane dla tego konkretnego pakietu.
Innymi słowy, gdy tylko linia zostanie dopasowana, wszystkie pozostałe linie są ignorowane, jeśli
ruch nie pasuje do konkretnej linii lub instrukcji, wtedy następna linia w liście ACL jest sprawdzana.
Tak więc lista Nexxus jest sekwencyjną listą zdań, a Rada sprawdzi od pierwszej do ostatniej
linii, dopóki nie zostanie dopasowana.
Jak tylko pojawi się mecz.
Wszystkie kolejne wiersze są ignorowane.
Jeśli nie pasuje do żadnej instrukcji w liście ACL, pakiet jest usuwany z powodu czegoś,
co nazywa się niejawnym denie na końcu każdej listy dostępu.
Istnieje domniemana odmowa, która oznacza, że jeśli nie jesteś wyraźnie dozwolona przez listę dostępu, niejawnie
odmawiasz dostępu do wszystkich ruchu, a nie jest to dozwolone gdzieś na tej liście dostępu przy użyciu oświadczenia o
zezwoleniu zostanie usunięte.
Oznacza to, że musisz mieć co najmniej jedno zezwolenie w jakiś sposób na liście praktyk.
W przeciwnym razie możesz równie dobrze odłączyć kabel.
Teraz są dwa główne wierzchołki list dostępu, na których koncentrujemy się w tym kursie.
Pierwsza to standardowa lista ACL, a druga to rozszerzona kontrola ACLJ tylko na źródłowych adresach
IP.
Nie sprawdzają indywidualnych numerów portów ani pojedynczych protokołów, które zezwalają lub odmawiają całego
zestawu protokołów na podstawie źródłowego adresu IP lub sieci źródłowej.
Nic innego w źródłowym adresie IP lub sieci źródłowej nie może być określone rozszerzone ACLC
sprawdzanie zarówno adres źródłowy i docelowy i pozwala na zezwalanie lub odmawianie określonych protokołów i aplikacji.
Innymi słowy, możesz zezwolić lub odmówić na podstawie protokołu IP TZP UDP ICMP i wielu innych protokołów, a także możesz zezwalać lub
odmawiać na podstawie numerów portów źródłowych i numerów portów docelowych Rozszerzone listy dostępu są dla nich o wiele
bardziej szczegółowe i mają tendencję do używania w realny świat.
Jednak aby uzyskać kompletność, musimy uwzględnić zarówno standardowe, jak i rozszerzone listy dostępu w tym kursie.