Bine ai revenit.
Numele meu este David Bumble s. c. i unsprezece mii douăzeci și trei.
Și în această secțiune vom examina listele X-urilor.
Aș dori să vă arăt cum să implementați securitatea utilizând listele de control al accesului,
care sunt una dintre cele mai elementare elemente de construcție pentru implementarea securității în rețeaua Cisco.
Aceste zile există mai multe moduri de implementare a securității, dar listele de acces sunt una dintre cele mai fundamentale și
o mulțime de tehnologii noi se bazează pe ele.
Deci, este important să înțelegeți cum funcționează listele de acces și cum să le implementați.
Așadar, ne putem uita la scopul listelor de control al accesului.
Aș vrea să vă arăt cum sunt legați de interfețe.
Ele sunt fie legat de intrare sau de ieșire.
Aș dori să vă arăt diferite topuri de liste de acces, inclusiv liste numite X-uri, numite liste
X-uri, precum și stații într-o listă de control extins de acces sau ACLC.
Aș vrea să vă explic ceea ce face o moschee cu cărți sălbatice și cum puteți potrivi subnetwork-urile individuale
ale tuturor gazdelor, schimbând moscheea cu machete.
Aș dori, de asemenea, să vă explic ACLC reflexiv și dinamic bazat pe htan Acum, înainte de a intra într-o discuție despre listele
de control al accesului sau ACLC.
Să examinăm unele informații acoperite cu gheață în cursul D1.
Nu veți putea implementa ACL fără o bună înțelegere a protocoalelor.
Numerele porturilor și alte opțiuni sunt disponibile în stiva de protocoale TCAP Ah-Q și în alte protocoale.
Dacă le rulați în rețeaua dvs. vedeți ca exemplu dacă avem un PC conectat la un
server și PC-ul se conectează folosind HGP și că traficul este același pe întreaga rețea de router se va vedea un
pachet cu o adresă sursă de 10 1 1 1 cu numărul portului sursă mai mare de 1023.
Deci, în acest exemplu să spunem 1024.
În acest caz, deoarece utilizați UDP, mergeți la numărul de port bine-cunoscut 80, astfel încât adresa IP de
destinație este 10 1 la 1, iar numărul portului de destinație este 80.
Acum, cu direcția listelor de acces este foarte importantă această interfață.
Șobolanul recepționează pachetul de intrare, dar pe această interfață pachetul este transmis în exterior.
Este important să vă uitați la acest lucru din punctul de vedere cel mai rău.
Pachetul sosește și este expediat.
Deci, cu alte cuvinte, dacă configurați o listă de accesuri pe care se pare că o va face, nu ar avea
niciun efect asupra traficului de la PC la server.
Pentru că am ieșit din lista de acces doar verifică traficul din punct de vedere budist.
Așadar, dacă ați configurat o listă de control de acces primită pe pachetele de pe partea stângă, ar trebui
să treacă lista de control de ieșire înainte de a fi autorizată și din nou, dacă o configurați
pe lista de control acces pe această interfață, samed ar trebui să treacă lista de acces va fi permisă de lista
de acces.
În caz contrar, traficul va fi abandonat.
Când serviciul de trafic din replică, adresa sursă va avea acum zece la unu cu un
port sursă de 80 și adresa IP de destinație va fi 10 1 1 1, iar numărul portului de destinație va fi 1024.
În acest caz, o listă de acces de ieșire pe această interfață va intra în vigoare tot traficul de la
server la PC, deoarece traficul va ieși din punctul de vedere al routerului.
Deci, un excelent configurat de ieșire și această interfață ar fi fixat acest trafic și acest trafic ar
trebui să treacă criteriile stabilite în lista de acces înainte de a fi permis de același token, o listă de acces
pe această interfață ar afecta traficul și traficul ar fi să treacă criteriile stabilite în respectiva
listă de control al accesului.
Da un alt exemplu.
Acest MacBook este telnetting pentru a schimba unul prin router.
Deci, din motive de argument, să presupunem că MacBook alege portul 50000.
Sursa de adrese toate ramele de la MacBook la comutator ar fi 10 unul pe unul cu
portul sursă de 50000.
Destinația ar fi 10 1 la 1 cu numărul portului de destinație 23.
Deci, încă o dată, din punctul său de vedere, recepționează cadre pe această interfață cu un fel
de îmbogățire pe o sursă de cincizeci de mii și transmite acele pachete din această interfață cu
aceleași detalii.
Pachetele trimise în răspuns de la comutarea unei adrese sursă de 10 1 la 1 port sursă de 23 și o adresă
IP de destinație de 10 1 1 1 portul de destinație de 50000.
Încă o dată, este important să înțelegeți protocoalele și numerele de porturi, deoarece fără această
înțelegere nu veți putea configura ACLC întotdeauna să priviți direcția traficului pentru a determina dacă un
exces ar trebui să fie interzis la intrarea sau ieșirea pe interfețe specifice.
Sunteți câteva exemple de câteva protocoale cunoscute TZP cu numerele de porturi relevante.
Dacă DP utilizează portul 21 pentru control și 24 de date telnet folosește portul 23, shell-ul bolnav utilizează portul 22.
E gol.
Utilizați portul 25 al portului HVD Pease 80.
POP 3 utilizează portul 1 1 0.
Portul SS Elissa 443.
Deci, acestea sunt exemple ale unor numere binecunoscute ale porturilor TZP pe care ar trebui să le rețineți pentru lumea reală.
Doar Google meu de pe numerele de port pentru a vedea o listă de Internet atribui numere de 30 de numere de port.
Cei de la mine sunt responsabili de numerele porturilor și determină alocarea.
Ca exemplu, doar tastați pe numerele de port
și prima dvs. lovitură va fi o listă cu numerele de instanță și le explică destul de frumos.
Despre numerele de port bine-cunoscute au înregistrat numere de porturi și numere de porturi dinamice și private.
De exemplu, dacă faceți doar o căutare sau telnet, veți vedea ce număr de port utilizează telnet.
El are o listă drăguță dacă nu sunteți sigur ce numere de port sunt folosite de protocoalele specifice.
Iată un exemplu de protocoale care utilizează UDP și se bazează pe numerele porturilor.
De exemplu, DHP folosește portul 67 și portul 69 TFT Pease 69 și ca MP utilizează portul 161.
Încă o dată pe aceeași listă de pe Ayana ați putea face o căutare pentru protocoale specifice și
există un exemplu de TFT DNS este un caz special.
Numai piesa numărul 53 utilizează atât TCAP, cât și UDP.
Deci atât pentru scopuri de studiu, cât și pentru lumea reală.
Amintiți-vă că protocoalele precum telnet utilizează portul 23 și spuneți utilizatorilor TZP.
DFT, de exemplu, utilizează portul 69 utilizând UDP.
Acum, de ce ați folosi ACLC până în acest moment în cursul în care am permis accesul
între diferite părți ale rețelei fără interfețe de închidere care clasifică în rutare Bil'in configurarea protocoalelor de rutare cum ar
fi serviciul pe care îl cunoașteți SPF va permite accesul în întreaga rețea .
Cu toate acestea, este posibil să nu doriți ca toată lumea să poată accesa fiecare parte a rețelei.
Acest lucru este valabil mai ales atunci când vă conectați la Internet.
Nu doriți neapărat ca toți cei de pe Internet să poată accesa serverele corporative sau
rețeaua companiei.
Deci, listele de acces reprezintă una din primele linii de apărare pentru a opri sau a nega traficul de la o parte a rețelei la
alta, astfel încât acestea să poată fi utilizate pentru a permite sau a refuza traficul care se deplasează printr-un router.
De exemplu, am putea permite ca acest MacBook să aibă acces la Internet, încât să putem nega
traficul de pe internet în mediul nostru corporativ.
Așadar, permitem sau respingem traficul pe o bază de interfață și astfel neagă traficul care se
deplasează prin router.
Ai putea pune o parolă pe o linie de fir Viti pe un router pentru a forța un nivel de securitate.
Cu toate acestea, s-ar putea spune că numai subneturile administrative Wayne, deoarece această mașină pe o subrețea administrativă
are permisiunea de a accesa Viti în timp ce linii, în timp ce această mașină nu are permisiunea de a accesa liniile
de sârmă BT.
În acest caz, lista de acces nu va permite nici traficul telnet sau S-sh la liniile Viti Why de
pe router.
Deci, mai degrabă decât să aveți o singură linie de apărare o parolă, implementați două linii de apărare, permițând anumite
subrețele la liniile Etowah, precum și punând o parolă pe liniile BT y ori de câte ori vine vorba de
securitate.
Trebuie să vă gândiți la riscul care depinde de riscul pe care îl veți implementa mai multă siguranță.
În acest caz, puteți considera că riscul accesului utilizatorilor la echipamentele de rețea este ridicat.
Deci, permiteți anumitor subrețele să se conecteze la liniile BT y sau la router sau comutator.
Deci, încă o dată cu ACL-ul nostru, toate pachetele ar putea fi transmise tuturor părților rețelei.
Și asta nu ar fi de dorit.
Așadar, puteți dori să refuzați anumite părți ale rețelei să acceseze alte părți ale rețelei.
Întreaga idee aici este că începeți să implementați blocarea de securitate în anumite părți ale
rețelei, astfel încât acestea să nu poată fi accesate de toți indivizii din interiorul și din afara organizației dvs.
ACLC Cum nu am folosit doar pentru a permite sau a nega traficul pot fi, de asemenea, folosite pentru clasificare atunci
când configurați o rețea VPN de bază sau o rețea virtuală privată între două site-uri.
Trebuie să spuneți ruterului că traficul trebuie criptat.
S-ar putea să nu doriți ca traficul să fie criptat din rețeaua LAN locală, deoarece este
posibil ca traficul de la rețeaua locală la un server Internet să fie trimis necriptat, dar traficul de la rețeaua LAN locală la
terenul din cealaltă parte a tunelului VPN trebuie criptat creați o listă de acces pentru a determina ce
este interesant traficul.
Cu alte cuvinte, trebuie criptat.
Ce trafic nu este interesant cu alte cuvinte nu trebuie să fie criptat ACL poate fi, de asemenea,
utilizat în redistribuire în cazul în care luați rute de la un protocol de rutare și redistribuiți-le sau
pompându-le în alt protocol de rutare.
Așadar, este posibil să nu doriți ca OSPF să învețe despre toate rutele dvs. GOP și, prin urmare, puteți utiliza listele de
control al accesului pentru a limita sau permite doar că anumite rute care urmează să fie liste de acces redistribuite sunt, de asemenea, utilizate
cu traducerea netă sau a adresei de rețea, lista de acces va determina care pachete au nevoie să fie
traduse și care pachete nu trebuie traduse.
Așadar, veți crea o listă în exces, permițând numai anumite subrețele care să
permită ca aceste pachete să fie traduse pachete respinse de lista de acces nu sunt refuzate accesului sau abandonate, dar
nu sunt traduse folosind traducerea adreselor de rețea sau net atunci când folosesc ACLC pentru a permite sau a nega pachete care se deplasează
printr-un router.
Există doi pași principali.
Deci, mai întâi, în modul de configurare globală, creați lista de acces utilizând lista de acces comun
și apoi completarea diferitelor opțiuni.
Deci, comanda de acces este utilizată pentru a crea lista de acces și apoi, în al doilea rând, aplicați lista de acces fie
la intrare, fie la ieșire pe o interfață, utilizând Grupul de Acces.
Hai.
Deci, accesați această comandă creează Grupul de Acces în Exces.
C'mon leagă lista de acces.
Și atunci când o obligați, fie specificați intrarea sau ieșirea.
Cu alte cuvinte, determinarea direcției în care este legată lista de acces.
Este important să rețineți că un ACL nu are efect până când nu este aplicat undeva.
Deci, dacă aveți liste de acces în configurația de rulare a unui router și nu au fost aplicate,
nu au niciun efect.
Există doi pași pe care îi creați lista de acces și apoi o aplicați într-un fel, de exemplu, în cazul în care accesați
Fosset.
Nu e serios Zera.
Astfel, Imraan ACLC se aplică din nou pe o interfață ICL va fi procesată înainte ca traficul
să fie rutat.
Cu alte cuvinte, în cazul în care ICL neagă traficul și traficul este eliminat, routerul nu va trebui
să proceseze pachetele prin căutarea în tabela de scriere și determinarea interfeței de ieșire.
Pachetul va fi aruncat sau aruncat înainte ca motorul putregai să le prelucreze.
Dacă acestea sunt permise, acestea vor fi procesate pentru scriere, iar routerul va determina
interfața de ieșire.
În cazul în care nu este disponibilă nicio aerieră suplimentară pe router, deoarece routerul nu
trebuie să facă o căutare de tabelă de scriere pentru a determina o interfață grațioasă de ieșire
dacă traficul este permis, procesul de scriere va efectua apoi căutarea tabelului de scriere pentru a determina interfața de ieșire fără
că ACLC.
Rotarea este efectuată mai întâi și apoi pachetul este direcționat către o interfață de ieșire și apoi bazat
pe ACL vor fi permise pachetele.
Cu alte cuvinte, transmise sau refuzate, este mai eficient să se lege o listă de acces care intră pe
o interfață deoarece pachetele care sunt abandonate sau respinse nu vor fi procesate.
În timp ce procesul de scriere pe router.
Dacă un ACL este aplicat la ieșire, Rada încă trebuie să proceseze toate pachetele care pot fi apoi respinse
sau abandonate pe interfața de ieșire.
Deci, acolo unde este posibil, legați ACLC la interfețe mai degrabă decât la ieșiri.
Sau prelucrarea mai eficientă a unei liste de acces este o listă secvențială a instrucțiunilor unde pachetele sunt evaluate
de la prima instrucțiune la ultima.
Cu alte cuvinte, există prelucrare de sus în jos.
Dacă un pachet este asociat unei instrucțiuni individuale din lista de acces, pachetul va fi fie permis, fie
refuzat, în funcție de faptul dacă cuvântul cheie permis sau respins este utilizat în acea instrucțiune specifică.
Toate liniile rămase din lista de acces sunt ignorate pentru pachetul respectiv.
Deci, cu alte cuvinte, de îndată ce există o potrivire pe o linie, toate liniile rămase
sunt ignorate dacă traficul nu se potrivește acelei linii sau instrucțiuni specifice, atunci linia următoare din ACL este verificată.
Deci, lista Nexxus este o listă secvențială de declarații, iar Rada va verifica de la prima linie până la ultima
până când se va obține un meci.
De îndată ce există un meci.
Toate liniile ulterioare sunt ignorate.
Dacă nu există nici o potrivire pentru nicio instrucțiune în ACL, pachetul este abandonat din cauza a
ceea ce se numește denie implicită la sfârșitul fiecărei liste de acces.
Există o refuzare implicită, ceea ce înseamnă că, dacă nu sunteți explicit permis de o listă de acces,
vi se interzice implicit tot traficul care nu este permis pentru unii undeva în acea listă de acces, iar utilizarea unei instrucțiuni de
autorizare va fi abandonată.
Aceasta înseamnă, prin urmare, că trebuie să aveți cel puțin o declarație de autorizare într-un fel în lista de practici.
În caz contrar, puteți deconecta cablul.
Acum există două topuri de liste de acces la care ne concentrăm în acest curs.
Primul este un standard ACL, iar cel de-al doilea este un ACLJ standard extins ACL care verifică doar adresele IP
de sursă.
Ei nu verifică numerele individuale ale porturilor sau protocoalele individuale care fie permit sau resping întreaga
suită de protocol bazată pe adresa IP sursă sau pe rețeaua sursă.
Nimic altceva în adresa IP sursă sau în rețeaua sursă nu poate fi specificat ACLC extins verificați
atât adresa sursă cât și destinația și vă permite să permiteți sau să respingeți protocoale și aplicații specifice.
Cu alte cuvinte, ați putea permite sau refuza pe baza IP TZP UDP ICMP și multe alte protocoale și puteți, de asemenea, să permiteți
sau să refuzați pe baza numerelor porturilor sursă și a numerelor porturilor de destinație a listelor de acces extins, acestea
sunt mult mai granulare și tind să fie utilizate în lumea reală.
Dar pentru completitudine trebuie să acoperim atât liste de acces standard, cât și liste de acces extins în acest curs.