Bem vindo de volta.
Meu nome é David Bumble s. c. onze mil e vinte e três.
E nesta seção vamos ver as listas de X-ists.
Gostaria de mostrar a você como implementar segurança usando listas de controle de acesso, que
são um dos blocos de construção mais básicos para implementar a segurança na rede Cisco.
Hoje em dia existem várias maneiras de implementar a segurança, mas as listas de acesso são uma das mais
fundamentais e muitas das novas tecnologias são baseadas nelas.
Portanto, é importante que você tenha uma boa compreensão de como as listas de acesso funcionam e como implementá-las.
Então, podemos olhar para o propósito das listas de controle de acesso.
Eu gostaria de mostrar como eles estão ligados a interfaces.
Eles estão ligados ou recebidos.
Gostaria de mostrar a você vários topos de listas de acesso, incluindo listas numeradas de X-ists,
listas de X-ists, bem como listas de controle de acesso estendidas ou ACLC.
Eu gostaria de explicar o que uma mesquita de cartão selvagem faz e como você pode combinar sub-redes de
hosts individuais todos os hosts alterando a mesquita curinga.
Eu também gostaria de explicar ACLC reflexivo e dinâmico baseado em htan Agora antes de entrar em uma discussão de listas
de controle de acesso ou ACLC.
Vamos rever algumas das informações cobertas no gelo no curso D1.
Você não poderá implementar o ACL sem um bom entendimento dos protocolos.
Números de porta e outras opções estão disponíveis na pilha do protocolo TCAP Ah-Q e em outros protocolos.
Se você tê-los em execução em sua rede, veja como um exemplo, se temos um PC conectado a um
servidor e o PC se conecta usando HGP e que o tráfego é o mesmo através do roteador de rede, verá um pacote com
um endereço de origem de 10 1 1 1 com o número da porta de origem maior que 1023.
Então, neste exemplo digamos 1024.
Neste caso, porque você está usando o UDP, ele vai para o número de porta 80, portanto, o endereço IP de
destino é 10 1 para 1 e o número da porta de destino é 80.
Agora, com a direção das listas de acesso, é de grande importância nesta interface.
O rato está recebendo o pacote de entrada, mas nesta interface o pacote está sendo transmitido de saída.
É importante que você olhe para isso do ponto de vista mais desordenado.
O pacote chega de entrada e é enviado de saída.
Então, em outras palavras, se você configurar uma lista de acesso de saída na aparência, isso não
afetaria o tráfego do PC para o servidor.
Porque eu estou na lista de acesso só verifica o tráfego de saída do ponto de vista budista.
Portanto, se você configurou uma Lista de Controle de Acesso de entrada no lado esquerdo, os pacotes teriam
que passar pela lista de controle de saída antes de serem permitidos e, novamente, se você configurá-la
na lista de Controle de Acesso nessa interface, o tráfego teria que passar pela lista de acesso será permitido pela
lista de acesso.
Caso contrário, o tráfego será descartado.
Quando o serviço desde o tráfego em resposta, o endereço de origem será agora dez um para um com
uma porta de origem de 80 e o endereço IP de destino será 10 1 1 1 e o número de porta de destino será 1024.
Neste caso, uma lista de acesso de saída nesta interface entrará em vigor todo o tráfego do servidor para
o PC, porque o tráfego está saindo do ponto de vista do roteador.
Portanto, uma saída configurada excelente e essa interface teriam corrigido esse tráfego e esse tráfego teria que
passar pelo critério definido na lista de acesso antes de ser permitido pelo mesmo token. Uma lista de acesso de
entrada nessa interface afetaria o tráfego e o tráfego teria para passar os critérios definidos nessa
lista de controle de acesso.
Sim outro exemplo.
Este MacBook está telnetting para mudar um através do roteador.
Então, para argumentar, vamos supor que o MacBook escolha a porta 50000.
O endereço de origem de todos os quadros do MacBook para o switch seria 10 um a um com
a porta de origem de 50000.
O destino seria 10 1 para 1 com o número de porta de destino 23.
Então, mais uma vez, do ponto de vista dele, ele está recebendo quadros nesta interface com uma espécie
de fonte em uma fonte para cinquenta mil e está transmitindo esses pacotes para fora dessa interface com
os mesmos detalhes.
Pacotes enviados em resposta a partir do switch de um endereço de origem de 10 1 para 1 porta de origem de 23 e um
endereço IP de destino de 10 1 1 1 a porta de destino de 50000.
Mais uma vez, é importante que você entenda seus protocolos e números de portas, pois
sem esse entendimento, você não conseguirá configurar o ACLC e sempre verificar a direção do tráfego
para determinar se um excesso deve ser proibido de entrar ou sair em interfaces específicas.
Você é alguns exemplos de alguns protocolos TZP conhecidos com os números de porta relevantes.
Se o DP usa a porta 21 para controle e 24 dados telnet usa a porta 23, o shell doentio usa a porta 22.
Está vazio.
Use a porta 25 HVD Pease da porta 80.
O POP 3 usa a porta 1 1 0.
Porta de SS Elissa, 443.
Então, esses são exemplos de alguns números de porta TZP bem conhecidos que você deve lembrar para o mundo real.
Apenas google meus números de porta para ver uma lista da Internet atribuir números de 30 números de porta.
O I on é responsável pelos números das portas e determina a alocação.
Como exemplo, basta digitar os números de porta
e seu primeiro hit será uma lista de números de tribunal e eles explicam muito bem.
Sobre os números de porta bem conhecidos, números de porta registrados e números de porta dinâmicos e privados.
Então, como um exemplo, se você simplesmente fizer uma pesquisa ou um telnet, verá o número de porta que o telnet usa.
Ele tem uma boa lista se você não tiver certeza de quais números de porta são usados ​​por protocolos específicos.
Aqui está um exemplo de protocolos que usam o UDP e eles contam com números de porta.
Então, como um exemplo, o DHP usa o número de porta 67 e 68 da porta Tease Pease 69 e como um MP usa a porta 161.
Mais uma vez na mesma lista no Ayana você poderia fazer uma busca por protocolos específicos e
há um exemplo de DNS TFT é um caso especial.
É apenas a parte número 53 que usa o TCAP e o UDP.
Então, tanto para fins de estudo quanto para o mundo real.
Lembre-se de que protocolos como o telnet usam a porta 23 e dizem aos usuários o TZP.
Considerando que, por exemplo, a DFT usa a porta 69 usando o UDP.
Agora, por que você usaria o ACLC até o momento em que estivéssemos habilitando o acesso entre diferentes
partes da rede? Nenhuma interface de shutting está se classificando no roteamento do Bil'in configurando protocolos de roteamento como o seu
trabalho que você sabe que o SPF permitirá o acesso em toda a rede .
No entanto, talvez você não queira que todos possam acessar todas as partes da rede.
Isso é especialmente verdadeiro quando você se conecta à Internet.
Você não quer necessariamente que todos na Internet possam acessar seus servidores corporativos ou sua
rede corporativa.
Portanto, as listas de acesso são uma das primeiras linhas de defesa a impedir ou negar o tráfego de uma parte da rede para
outra, de modo que elas possam ser usadas para permitir ou negar o tráfego em movimento por meio de um roteador.
Então, como um exemplo, podemos permitir que este MacBook tenha acesso à Internet, que podemos negar o
tráfego da Internet para o nosso ambiente corporativo.
Assim, permitiríamos ou negaríamos o tráfego por interface e, assim, negaríamos o tráfego em movimento
através do roteador.
Você poderia colocar uma senha em uma linha telefônica Viti em um roteador para forçar um nível de segurança.
No entanto, você pode dizer que somente as sub-redes administrativas Wayne, uma vez que esta máquina em
uma sub-rede administrativa, tem permissão para acessar as linhas Viti enquanto esta máquina não tem permissão para acessar as linhas
de cabo BT.
Neste caso, a lista de acesso não permitirá o tráfego telnet ou S-sh para as linhas Viti Why
no roteador.
Portanto, em vez de ter apenas uma linha de defesa, você implementa duas linhas de defesa, permitindo apenas certas
sub-redes para as linhas Etowah, além de colocar uma senha nas linhas da BT sempre que se trata
de segurança.
Você tem que pensar no risco dependente do risco de implementar mais segurança.
Nesse caso, você pode considerar alto o risco de os usuários acessarem o equipamento de rede.
Assim, você permite que apenas algumas sub-redes se conectem às linhas BT ou ao roteador ou switch.
Então, mais uma vez com a nossa ACL, todos os pacotes podem ser transmitidos para todas as partes da rede.
E isso pode não ser desejável.
Então você pode querer impedir que certas partes da rede tenham acesso a outras partes da rede.
A ideia aqui é que você está começando a implementar a segurança bloqueando partes da
rede para que elas não possam ser acessadas por todos os indivíduos dentro e fora de sua organização.
ACLC Como não usei apenas para permitir ou negar tráfego, eles também podem ser usados ​​para
classificação ao configurar uma VPN básica ou rede privada virtual entre dois sites.
Você precisa informar ao roteador qual tráfego precisa ser criptografado.
Talvez você não queira que todo o tráfego criptografado de sua LAN local, porque você pode
querer tráfego da sua LAN local para um servidor da Internet para ser enviado sem criptografia, mas o tráfego de sua LAN local para
o terreno do outro lado do túnel VPN precisa ser criptografado você cria uma lista de acesso determinando
qual tráfego é interessante.
Em outras palavras, precisa ser criptografado.
O que o tráfego não é interessante em outras palavras, não precisa ser criptografado O ACL também
pode ser usado na redistribuição onde você está tomando rotas de um protocolo de roteamento e redistribuindo-as
ou bombeando-as para outro protocolo de roteamento.
Então você pode não querer que o OSPF aprenda sobre todas as suas
rotas GOP e, portanto, você pode usar listas de controle de acesso para limitar ou
permitir que determinadas rotas sejam redistribuídas. para ser traduzido e quais pacotes
não precisam ser traduzidos.
Assim, você criaria uma lista em excesso permitindo que apenas certas sub-redes permitissem
que pacotes fossem traduzidos. Os pacotes negados pela lista de acesso não teriam acesso negado ou descartados, mas não
seriam traduzidos usando a tradução ou a rede do endereço de rede ao usar o ACLC para permitir ou negar pacotes movendo-se através
de um roteador.
Existem dois passos principais.
Então, primeiramente, no modo de configuração global, você cria a lista de acesso usando a lista de acesso
comum e depois preenchendo várias opções.
Portanto, o comando de acesso é usado para criar a lista de acesso e, em seguida, você aplica a lista de
acesso de entrada e saída em uma interface usando o Grupo de Acesso.
Vamos lá.
Então, acesse esse comando para criar o grupo de acesso da lista em excesso.
Vamos ligar a lista de acesso.
E quando você liga, especifica entrada ou saída.
Em outras palavras, determinar a direção que a lista de acesso está vinculada.
É importante observar que uma ACL não entra em vigor até ser aplicada em algum lugar.
Portanto, se você tiver listas de acesso na configuração em execução de um roteador e elas não tiverem
sido aplicadas, não haverá efeito.
Existem duas etapas para criar a lista de acesso e, em seguida, aplicá-la de alguma forma, por exemplo, no
Fosset.
Não é sério Zera.
Então mais uma vez o Imraan ACLC é aplicado de entrada em uma interface que o ICL será processado antes que
o tráfego seja roteado.
Em outras palavras, se o ICL negar o tráfego e o tráfego for descartado, o roteador não terá que
processar os pacotes procurando em sua tabela de escrita e determinando a interface de saída.
O pacote será descartado ou descartado antes que o mecanismo de apodrecimento precise processá-los.
Se eles forem permitidos, eles serão processados ​​para gravação e o roteador determinará a
interface de saída.
Se descartado, não há sobrecarga adicional no roteador porque o roteador não precisa fazer
uma pesquisa na tabela de escrita para determinar a interface de saída normal, se o tráfego
for permitido. O processo de gravação fará a consulta da tabela de escrita para determinar a interface de saída sem
que ACLC.
O apodrecimento é executado primeiro e, em seguida, o pacote é direcionado para uma interface de saída e, em seguida, com
base na ACL, os pacotes serão permitidos.
Em outras palavras, transmitida ou negada, é mais eficiente vincular uma lista de acesso a
uma interface, porque os pacotes descartados ou negados não precisarão ser processados.
Enquanto o processo de escrita no roteador.
Se uma ACL é aplicada de saída, o Rada ainda tem que processar todos os pacotes que podem então ser
negados ou descartados na interface de saída.
Então, quando possível, vincule a entrada do ACLC nas interfaces, e não na saída.
Ou o processamento mais eficiente de uma lista de acesso é uma lista sequencial de instruções em que os pacotes são avaliados
desde a primeira instrução até a última.
Em outras palavras, há o processamento descendente.
Se um pacote for correspondido por uma instrução individual na lista de acesso, esse pacote será
permitido ou negado, dependendo de a palavra-chave de permissão ou negação ser usada nessa instrução específica.
Todas as linhas restantes da lista de acesso são ignoradas para esse pacote específico.
Portanto, em outras palavras, assim que houver uma correspondência em uma linha, todas as linhas restantes serão ignoradas
se o tráfego não corresponder a essa linha ou instrução específica e, em seguida, a próxima linha na ACL será verificada.
Então Nexxus list é uma lista sequencial de declarações e o Rada irá checar desde a primeira linha
até a última até obter uma correspondência.
Assim que houver uma partida.
Todas as linhas subseqüentes são ignoradas.
Se não houver correspondência para nenhuma instrução na ACL, o pacote é descartado devido ao que é chamado
de denie implícito no final, no final de cada lista de acesso.
Há uma negação implícita, o que significa que, se você não for explicitamente permitido por uma lista de acesso,
estará implicitamente negado que todo o tráfego não permitido em algum lugar dessa lista de acesso com o uso de uma instrução
de permissão será descartado.
Isso significa, portanto, que você deve ter pelo menos uma declaração de permissão de alguma forma na lista de prática.
Caso contrário, você também pode desconectar o cabo.
Agora existem dois topos principais de listas de acesso nos quais nos concentramos neste curso.
A primeira é uma ACL padrão e a segunda é uma ACL padrão ACL estendida, apenas verifica os endereços
IP de origem.
Eles não verificam números de portas individuais ou protocolos individuais que permitem ou negam todo o conjunto
de protocolos com base no endereço IP de origem ou na rede de origem.
Nada mais no endereço IP de origem ou na rede de origem pode ser especificado. A verificação ACLC
estendida no endereço de origem e de destino permite que você permita ou negue protocolos e aplicativos específicos.
Em outras palavras, você pode permitir ou negar com base em IP TZP UDP ICMP e muitos outros protocolos e também pode permitir ou negar
com base nos números de porta de origem e nas listas de acesso estendidas de números de porta de destino, eles
são muito mais granulares e tendem a ser usados ​​em o mundo real.
Mas, para completar, precisamos cobrir as listas de acesso padrão e estendido neste curso.