Istnieją również dwie metody sprawdzania, czy lista ACL jest standardową listą dostępu ACL lub rozszerzoną listą
dostępu ACL skonfigurowaną jako listy dostępu z numerami lub listy dostępu o podanej nazwie z numerowanym ACLC, a liczba list ACL
określa typ listy ACL.
Tak więc na przykład ACL w zakresie 1 299 lub tak zwany rozszerzony zakres 2400 do jednego potrójnego
dziewiątego zostanie użyty dla standardowego ACLC ACLC Jako przykład, jeden Arata w trybie konfiguracji globalnej mogę znaleźć się na liście
C'mon X-ists.
Znak zapytania.
I jak widać tutaj od 1 do 99 jest używany do listy dostępu stentów IP rozszerzony zakres jest również wymieniony od
4300 do 1 trzy dziewięć.
Teraz powodem rozszerzonego zakresu jest to, że początkowo około 100 ACLC było więcej niż wystarczające.
Ale jak wszyscy wiemy z biegiem czasu to, co uważano za wystarczające, niekoniecznie wystarcza.
W dzisiejszych czasach możemy używać zarówno od 1 do 99, jak i rozszerzonego zakresu, jeśli wymaganie dotyczące
więcej niż 100 list dostępu może być rozszerzonymi listami dostępu w zakresie od stu jeden do
dziewięćdziesięciu dziewięciu, a także rozszerzonym zakresem, którym jest 2002 2 6 9 9 w zależności od twoich Iow, zobaczysz, że inne rodzaje ACLC są wymienione,
na przykład, obsługują komunikację głosową ACL w zakresie od 600 do sześciu dziewięćdziesięciu dziewięciu mogą być używane lub wspierać IPX.
Można na przykład użyć komórek z zakresu od 800 do ośmiu dziewięciu lub rozszerzonych list IPX-owych w
zakresie od 900 do 9 dziewięciu dziewięciu.
Zwróć uwagę na przykład, że ACLJ w zakresie od 700 do 7 9 9 są użytecznymi listami dostępu do adresu MAC w tym kursie,
na szczęście koncentrujemy się na listach dostępu IP, więc skoncentrujemy się na obu.
Będąc stentowanym, uzyskuję dostęp do list dostępu rozszerzonego o IP, które mogą być przydatne, ponieważ istnieją inne
zakresy numerów używanych w innych protokołach, takich jak IPX Apple talk i tak dalej.
Drugi typ nazywa się listami X-ists, które są bardziej opisowe, ponieważ używają znaków alfanumerycznych
jako nazw.
Więc zamiast listy X 100, na przykład emitując ruch telnet do przełączania, możesz wywołać TATL hemat telnet
i nadać mu nazwę o większym znaczeniu.
Pozwala to również na tworzenie wielu znacznie większej liczby ACLC na routerze, niż lista
określona przez ACL ACLJ o numerowanej liście ACLJ dała także większą elastyczność, jeśli chodzi o edycję pojedynczych linii
lub usuwanie poszczególnych linii w liście ACL.
Ale w dzisiejszych czasach ta elastyczność jest dostępna zarówno dla nazwanych, jak i numerowanych pieczęci, aby zademonstrować trochę
więcej, jeśli podam jeden z nich jako mój numer ACL.
Zauważ, że daje mi trzy opcje odmówić zatwierdzenia wszystkich uwag.
Teraz zacznijmy od ostatniego.
Zdalna opcja pozwala dodać opis do pięt.
Jest to bardzo przydatne, ponieważ po powrocie do listy ACL skonfigurowanej kilka
miesięcy temu, zamiast odszyfrowywania linii ACL, uwaga lub, innymi słowy, opis może dać ci znać,
co ACL próbuje osiągnąć.
Zaleca się więc użycie uwagi do dodawania opisów do pieczęci, aby były
bardziej przyjazne dla użytkownika i zrozumiałe zarówno dla siebie, jak i dla innych.
Czy wybieram opcję spełnienia zauważoną, ponieważ jest to standardowa lista dostępu do adresów IP, a jedyne opcje zezwalają
na to, aby nazwa hosta lub adres IP zezwalał na wszystko, co pozwala wszystkim lub cokolwiek i
na opcję hosta.
Mogłem więc na przykład włożyć sukienkę typu 10 zastanawiałem się nad cudem 1, a następnie zauważyłem, że następną opcją
jest postawienie zakładu Wild Card lub naciśnięcie klawisza Enter lub mogę zalogować te informacje, aby powiedzieć, że jest to zarejestrowany serwer
lub inne urządzenie rejestrujące w mojej sieci. .
Więc jeśli ustawię opcję 0 0. 00, który określa, że zezwolę na ruch z określonego hosta 10 kropka
jedna kropka 1. 1.
Teraz ICL nie używa standardowych meczetów sieciowych.
Używają Inv. meczety, podczas gdy zero w dwójkowym oznacza, że muszą być dopasowane, a jedno w dwójkowym
oznacza, że nie musi to być mecz.
Tak więc, aby powtórzyć, musisz spojrzeć na to w systemie binarnym, jeśli nie jesteś pewien, że zero w
systemie binarnym w meczecie oznacza, że musi istnieć dopasowanie na hoście lub w sieci, w której meczet oznacza, że
ignorujemy hosta lub sieć Dolina.
Jako przykład, jeśli chcę dopasować konkretny adres IP, mogę wybrać listę C'mon X-ists jeden, co oznacza, że
jest to standardowa lista dostępu Ickey.
Pozwalam na ruch pasujący do 10 kropek jednej kropki 1. 1 dokładnie zero w meczecie oznacza, że pierwszy
oktet musi mieć 10.
Druga taśma blokująca musi być tą, w której trzeci oktet musi być jednym, a czwarty oktet musi być równy 1, a
0 w meczecie oznacza, że dokładny mecz w meczecie oznacza, że nie musi się on zgadzać.
Tak więc to oświadczenie będzie pasować tylko dla konkretnego hosta o adresie IP 10. 0 1. 1 teraz, zamiast robić to w
ten sposób, możesz skonfigurować listę dostępu w następujący sposób.
Możesz podać je na liście dostępu po jednym zezwoleniu.
W tym przypadku szukamy konkretnego hosta.
Możesz więc użyć słowa kluczowego host i określając adres IP hosta.
To tak, jakby powiedzieć, że pomidor kontra Meda, w zależności od tego, który preferujesz, zależy od tego, który z nich skonfigurujesz.
Przeciwieństwem określania pojedynczego hosta byłoby dopasowywanie czegokolwiek lub wszystkiego.
Możesz więc utworzyć listę dostępu do listy dostępu jeden na minutę i zauważyć w części adresu,
którą umieściliśmy 0 0 0 0.
I to w zasadzie można zrobić wszystko w Moskwie, ale mamy 2 4 5 2 4 5 2 4 5 2 4 5.
Pamiętam, że jeden w systemie binarnym w meczecie oznacza zignorowanie tej porażki.
Innymi słowy, w meczecie wszystko może oznaczać dokładnie zero.
Więc jeśli spojrzymy na adres IP, to jest 0. 0 0. 0 w systemie dziesiętnym, który jest równy zeru w systemie binarnym.
To dostaje adres binarny oczywiście nie istnieje.
Właśnie dodałem wesołej czytelności.
Tak więc patrząc na adres w binarnym to osiem zer meczetu.
Innymi słowy w pierwszym oktecie meczet jest ustawiony na 255, który jest równy ośmiu binarnym.
Więc co mówimy, umieszczając 2:55 w pierwszym oktecie w meczecie.
Czy to pierwszy oktet w adresie jest nieistotny.
Po prostu ignorujemy wszystkie bity.
Zrobiliśmy to samo, wybierając trzy i cztery.
Więc to w zasadzie czyni wszystko lub wszystko.
I nie pasujemy do żadnego konkretnego hosta lub sieci.
Alternatywnie możesz również użyć listy dostępu do składni, która jest dowolna.
Więc po raz kolejny pomidor kontra pomidor zdecydujesz, który wolisz.
Oba będą działać i oba mają taki sam rezultat.
Jeśli chcesz dopasować indywidualną podsieć, a nie pojedynczy host lub ruch, możesz użyć
kombinacji zer i jedynek w meczecie.
Tak więc, na przykład, lista X-ists spotkała się 10 i zauważyła w meczecie, że mamy zero w pierwszym oktecie, co oznacza, że dopasowujemy się
do 10 10 kropki 1. 1. 0.
A w meczecie mamy 0 0 0 255.
Teraz w pierwszym oktecie w meczecie mamy binarne zera, co oznacza, że na tym
adresie musi być dokładne dopasowanie.
Innymi słowy, dopasowujemy się dokładnie do pierwszego oktetu.
Musi wynosić 10.
Drugi oktet musi wynosić 1, ponieważ musimy zerwać w meczecie.
Trzeci oktet musi być jednym, ponieważ mamy zero w meczecie.
Ale w czwartym oktecie można to ustawić na wszystko, ponieważ mamy binarne
w czwartym oktecie 255, jeśli pamiętasz osiem binarnych.
Innymi słowy mówimy, że nie obchodzi nas, co robi ostatni oktet. To stwierdzenie będzie pasować do dowolnego
hosta lub dowolnego adresu, gdzie pierwsze trzy oktety są ustawione na 10.
Ani jednej kropki.
Czwarty oktet może być cokolwiek.
Podsumowując, jeśli używamy notacji dziesiętnej z kropkami, dopasowuje ona konkretny adres IP, taki jak 10 1
1 1.
My wypełnilibyśmy meczet Ciro.
Ponownie jest to odwrotny meczet.
Zero w meczecie oznacza, że szukamy konkretnej wartości w części hosta adresu.
Jeden w meczecie oznacza, że ignorujemy to, czym jest miasto gospodarza.
Dopasowuje to konkretny adres IP do konkretnej podsieci, powiedzmy 10 1 1 0.
Możemy skonfigurować listę dostępu na 10 1 1 0, przy czym pierwsze trzy oktety są równe zeru.
A ostatni oktet to 255.
Lub gdybyśmy chcieli dopasować wszystko, moglibyśmy powiedzieć, że część hosta
faktycznie jest liczbą i meczet 255 255 255 255, więc jako przykład na Roddzie I mógłbym wyprzedzić listę dostępów do spełnienia,
a następnie określić wszystko, co chciałem.
Ale jeśli meczet jest ustawiony we flattopie, to lista pokazująca dostęp do IP może pokazywać kopalnię.
Zauważ, że rotters zmienili to, by powiedzieć, że pozwolili.
Nauczyliśmy tego na routerze, ale router zmienił go tak, aby zezwolić na to, co mogę zrobić, aby program
Cmoning zawierał listę dostępu, aby zobaczyć wszystkie moje wyciągi na żywo z
mojego ex, skonfigurowane na routerze i możesz zobaczyć, że router zmienił format list dostępu jest bardziej skomplikowany przykład.
Gdybyśmy mieli listę dostępu, to Egzorcysta 1 10 1 1 0 i meczet to 0 0 0 15.
To, co mówimy, to ignorowanie ostatnich czterech narodzin ostatniego oktetu.
Zauważ, że adres to 10 1 1 0.
A meczet to 0 0 0 15.
Teraz pierwsze trzy oktety są dość łatwe do opracowania.
To, co mówimy, to to, że pierwszy oktet musi być 10, a drugi oktet musi być jednym trzecim oktetem musi
być jeden.
Ale staje się to nieco bardziej skomplikowane.
Patrząc na ostatni oktet w systemie dziesiętnym, jest o wiele łatwiej, jeśli skonwertujesz go na binarny dla zer
binarnych, a następnie czterech binarnych zer w binarnych równa się ośmiu binarnych zer.
Po raz kolejny luka w modelu w tych oktetach służy jedynie czytelności, aby łatwiej było zobaczyć, co się
dzieje.
Tak więc mówimy, że ostatnie cztery bity i adres mogą być ustawione na coś
podobnego z tymi czterema ostatnimi bitowymi bitami, które mogą być ustawione na 0 0 lub 1, ale pierwsze cztery bity
bitowe muszą być równe zeru, ponieważ część adresu ma 0 w tym.
A pierwsze cztery kawałki meczetu są ustawione na zero.
Oznacza to, że pierwsze cztery bity adresu muszą być równe tej wartości.
Innymi słowy zero.
Pokażmy więc kilka przykładów.
Gdybym miał adres 10 osób, zastanawiał się, czy można by go dopasować do tego stwierdzenia.
Zezwolenie 10 1 1 0 0 0 0 15.
Odpowiedź brzmi: tak.
Konwertowałem tylko ostatni oktet na binarny, ponieważ pierwsze trzy oktety są łatwe do opanowania, co
oznacza, że pierwsze trzy oktety muszą być równe 10 1 1 1, które dotyczą tego adresu, ale ostatni oktet
jest konwertowany na binarny będzie wyglądał następująco.
Mielibyśmy 7 zer binarnych, a następnie binarny 1.
15.
W systemie binarnym ponownie występują cztery binarne zera, a następnie wszystkie binarne.
Więc to, co mówimy, to fakt, że pierwsze cztery bity w adresie muszą z powodu zer w meczecie
równym 0 0 0 0, które dla 1 jest prawdziwe.
Pierwsze cztery bity są ustawione na zera.
Nie ma znaczenia, jakie są ostatnie 4 bitwy miasta, ponieważ mamy binarne w meczecie.
Więc jest mecz na 10 1 1 1.
Ale czy ta instrukcja dostępu pasuje do 10 1 1 1:29.
A odpowiedź brzmi Nie.
Ponieważ w pierwszych czterech bitach adresu musi być równa 4 zerom binarnym.
A jeśli przeliczymy 1:29 na binarny, składa się on z 1 Henri 1, po którym następuje sześć zer binarnych, a następnie
binarny 1.
Innymi słowy pierwsze cztery bity binarne nie są równe zeru.
Więc to nie pasuje.
W tym przykładzie mamy kilka hostów w podsieci 10 1 1 0.
Przykładowo na tym komputerze i tym MacBooku mamy serwer serwerowy 1 z adresem IP 10 1 do 1 i serwer
2 z adresem IP 10 1 3 1.
W tym przykładzie chcemy zezwolić na dostęp hosta 10 1 1 1 do serwerów, ale odmówić wszystkim innym.
Zwróć uwagę, że te przykłady pomagają nauczyć się składni list dostępu i sposobu
ich wykorzystania w różnych sytuacjach.
Te przykłady nie są oparte na praktyce, więc nie próbuj zrozumieć przyczyny tych przykładów.
Po prostu starają się pomóc ci zrozumieć, że listy X-ists mogą być oczywiście zastosowane w
realnym świecie, a podczas egzaminów możesz otrzymać różne scenariusze, aw tych przypadkach musisz
wiedzieć, jak działają listy X-ists, aby móc spełniają wymagania cinerea.
Pierwszą decyzją, którą musisz podjąć, jest to, na którym interfejsie zamierzasz zastosować listę dostępu.
W tym przykładzie użyjemy standardowej listy IP X-ists.
Nie będziemy korzystać z list dostępu rozszerzonego, więc sensowne jest zastosowanie przychodzącej listy dostępu
w tym interfejsie, która wykona to, co zamierzaliśmy zrobić.
Możesz również zastosować listę dostępu, zarówno jeśli 0 1, jak i 0 2, ale bardziej efektywne byłoby zastosowanie
przychodzących niż wychodzących.
Oznacza to również, że musisz tylko zastosować listę dostępu na jednym interfejsie, a nie na
dwóch interfejsach, aby Narada mógł skonfigurować listę dostępu.
Ale zanim to zrobię, wpiszę listę poleceń show show, aby zobaczyć, które listy dostępu zostały już
skonfigurowane, aby nie edytować w sposób reklamowy listy dostępu, która już istnieje w tym przykładzie, widać, że
nie ma dostępu listy, dzięki czemu mogę przejść do trybu konfiguracji globalnej.
W temacie na liście dostępu, a następnie podaj numer, powiedzmy w tym przykładzie, musimy użyć standardowej
listy dostępu IP, więc wybiorę numer, powiedzmy jeden, a następnie zamierzam powiedzieć
hostowi zezwolenia 10.
Lub jeden, który chciał jeden i naciśnij enter.
Również Noria twierdzi, że musimy zezwolić temu hostowi na dostęp do serwerów.
Teraz stentu lista dostępu nie pozwala określić miejsc docelowych.
Możesz podać tylko źródło.
Teraz warto pamiętać o domniemanym odmawianiu na końcu każdej listy dostępu IP.
Nasze kryteria w tym przykładzie mają na celu umożliwienie tego konkretnego hosta 10 1 1 1 i odmówić wszystkim innym.
Tak więc lista dostępu do jednej linii zrealizuje to, co zamierzamy zrobić.
Następnym krokiem jest powiązanie listy dostępu w interfejsie, więc interfejs, jeśli poważny błąd na
szczycie wspólnej grupy dostępu IP i zauważy, że prosi mnie o wpisanie numeru lub słowa listy dostępu, więc jeden, a następnie prosi
mnie o określenie kierunek i zamierzam powiedzieć, że robiąc to, osiągnąłem
to, co zamierzałem zrobić.
Pozwalamy temu hostowi 10 1 1 1 i odmawiamy każdemu innemu.
Oczywiście musisz być ostrożny z listami dostępu, ponieważ jeśli na tym routerze został
skonfigurowany inny interfejs, nie będzie żadnego ruchu, z wyjątkiem tego, że ten host będzie mógł wysyłać ruch przez interfejs, jeśli
poważnie wyzeruje.
Ale w tym scenariuszu spełniliśmy wymagania.
Ostatnią rzeczą do pokazania jest znajdowanie początku interfejsu C'mon, pokazując interfejs i odpowiedni interfejs, który Rato pokaże mi, która
lista X-systów jest związana wychodzącymi i która lista X-ist jest związana przychodzącym na konkretnym
interfejsie.
I jak widać tutaj lista dostępu jedna jest związana przychodząca i żadna lista dostępu nie jest związana wychodzącymi.
Jako przykład mogę stworzyć kolejną listę dostępu, powiedzmy listę dostępu, aby zezwolić na dowolną, a następnie przejdź do
tego interfejsu i naucz się grupy dostępu IP.
Dwa
wyjścia tego samego polecenia pokaż ponownie pokaż interfejs, jeśli jest zero zero, a zobaczysz, że
lista dostępu jest związany wychodzący, a lista dostępu jeden jest związany przychodzących.
Gdybym popełnił następujący błąd i powiązał listę dostępu z przychodzącym, a nie
wychodzącym, następowałyby poniższe.
Router nie ostrzega mnie o niczym innym, ale zauważy, że lista dostępu przychodzącego została również
zastąpiona listą dostępu.
Tak więc poprzedni dostęp do tego został usunięty z interfejsu i zastąpiony także listą dostępu.
Nie ma potrzeby, aby najpierw usunąć starą listę dostępu przed zastosowaniem nowej listy dostępu.
Stary jest domyślnie usuwany, a nowy jest stosowany.
Zauważ również, że możesz jednocześnie stosować tę samą listę dostępu.