Schauen wir uns also ein anderes Beispiel an. Wir wollen den Host 10 1 1 1 2 7 10 1 2 1
fördern.
Dieser Host sollte also dem Server erlaubt sein, den wir nicht zulassen möchten, dass jeder Datenverkehr an diesen
Server sendet.
Wir möchten aber auch zulassen, dass der Verkehr auf alle anderen Server gelangt.
Daher sollte sich jeder mit allen Servern verbinden können.
Die erste Entscheidung ist also wieder, wo wir diese Zugriffssteuerungsliste binden und in welche Richtung.
Also konnten wir es.
Wenn sera sera in-bound oder wir können es an 0 1 outbound binden, besteht das Problem beim Versuch,
die Zugriffsliste zu binden, wenn ernsthaft Zerah ist, dass wir keine Zieladressen mit einer Standard-IP-Zugriffsliste angeben können.
Sie können nur Quelladressen angeben, sodass Sie die Anweisung nicht implementieren können, die besagt, dass
alle anderen Server einem bestimmten Server verweigert werden sollen, der Datenverkehr jedoch zu allen anderen Servern zulässig ist,
da Sie andernfalls die Option Alle ablehnen und die nächste Anweisung ist zulassen, was nicht funktioniert, weil die
Genehmigung niemals verwendet wird.
Was wir also tun werden, ist, dass wir das Outbound an diese Schnittstelle binden.
Bei Sirus Lesch folgt dies auch Best Practices, die besagen, dass Sie IP-Zugriffslisten für Stents so nahe
wie möglich am Ziel binden sollten.
Ich werde gleich mehr darüber erklären.
Auf unserem Router konnten wir diese Zugriffssteuerungslisten konfigurieren, indem Sie in den globalen Konfigurationsmodus
wechseln und die X-ists-Liste anführen.
Wir wählen Nummer drei Palmet 10, aber eine, die 1. 1.
Und dann könnten wir in die Schnittstelle gehen, wenn ein Thema zu IP-Zugriffsgruppe drei ausfällt.
So konnte ich wieder die C'mon Show-Zugriffslisten erstellen, die mir nur
den einfachen Zugriff zeigen, den ich gerade erstellt habe.
Der Haken dabei war, sich an eine Möglichkeit zu erinnern, die Zugriffsliste zu binden, und daran zu erinnern, dass
Sie am Ende keine Ablehnung benötigen, da in einer Access-Anweisung eine implizite Ablehnung vorliegt.
Ich meine, erklären Sie, was diese Zahl 10 gleich bedeutet.
In diesem Beispiel möchten Sie das Subnetz 10 1 1 0 zulassen und dann alle anderen abweisen.
Wieder einmal würden wir die Zugriffskontrollliste beim Fust eingehalten.
Ethan es ernst.
Um die Zugriffsliste so effizient wie möglich zu gestalten, möchten wir erneut, dass der Rodda
keine Pakete intern verarbeiten muss, nur um sie auf einer externen ausgehenden Schnittstelle abzulegen.
Wir binden also die Access Control List eingehend. Wenn Narada in den globalen Konfigurationsmodus wechselt, muss ich mich in der
Access-Liste befinden. In diesem Fall wählen Sie Nummer 4, und wir werden in diesem Fall ein bestimmtes
Subnetz zulassen. 0
Und dann müssen wir in der Wildcard-Moschee Jazeerah in binäre Mittelwerte einfügen.
Also muss das erste Oktett 10 passen, die zweite Optik muss mit dem Oktett übereinstimmen, das mit dem
letzten Oktett übereinstimmen muss.
Es gibt eine implizite Ablehnung.
Wir müssen also nichts anderes angeben.
Wenn Sie jedoch Informationen protokollieren möchten, können Sie Folgendes tun.
List für denie und bemerkte die Option.
Jeder Hinweis dieses Optionsprotokolls, das es uns ermöglicht, Informationen zu protokollieren, um die Protokollserverprotokollierung lokal auf dem Router zu unterstützen,
damit wir sehen können, welche Pakete abgelehnt wurden.
Bei der Protokollierung empfiehlt es sich, nicht lokal am Router zu protokollieren, sondern an einen Server wie
einen Protokollserver zu übertragen.
Der Grund dafür ist, dass der Rodda nur begrenzten Speicherplatz für Protokollnachrichten hat. Wenn Sie diese
auf einem Protokollserver speichern, können Sie aufgrund der Größe der Festplatten heutzutage große Datenmengen speichern.
Daher ist es sinnvoll, die Protokollierungsdaten auf einem externen Server zu sichern.
Der letzte Schritt in diesem Beispiel besteht darin, das Interface 0 auf Null zu setzen und das Thema in der Ickey X-ists-Gruppe für eine.
Ich kann das noch einmal auf
die Zugriffsliste setzen, wenn ich nur die bestimmte X-ists-Liste sehen wollte, aber eine Nummer in der Zugriffsliste für Sie sehen kann, dass
die erste Zeile Erlaubnis 10 1 1 0 mit Platzhalter 0 0 0 bedeutet 2 4 5.
Und die zweite Zeile besagt, dass alle verweigert werden und die Informationen für gesperrte Wetten zeigen, dass die Schnittstelle p angezeigt wird.
Ernsthaft Ceara.
Sie haben mir gezeigt, dass die eingehende Zugriffsliste für.
Wir haben also eine X-Ist-Liste für Inbound auf Ethan mit Flanken gebunden, es ist der Schrägstrich 0.
Jetzt ist die Schnittstelle heruntergefahren.
Ich bin nicht allzu besorgt, weil ich Ihnen nur die Syntax der Zugriffslisten zeige, anstatt
Ihr Arbeitsbeispiel zu überprüfen.
Seien Sie vorsichtig, wenn Sie eine explizite Ablehnung hinzufügen, wie ich es in diesem Beispiel getan habe.
Sie müssen zwischen den Zeilen in den Fragen lesen und
sicherstellen, dass Sie ausdrücklich aufgefordert werden, den Verkehr zu sperren, wenn Sie nicht
gefragt werden.
Am Ende jeder Zugriffsliste.
Ein anderes Beispiel in diesem Fall möchten wir 10 1 1 1 2 Telnet für den Router zulassen, und dann möchten Sie allen
anderen verweigern, die dies dem Router mitteilen, und den Datenverkehr an anderer Stelle zulassen.
Jetzt müssen Sie noch einmal sorgfältig zwischen den Zeilen lesen.
In diesem Beispiel richten wir eine Standardzugriffssteuerungsliste ein.
Die einzige Möglichkeit, dies zu tun, besteht darin, die standardmäßige Zugriffskontrollliste an den Vietti Wilens zu binden und
dann an IPX zu erinnern. Diese Listen können keine Protokoll- oder Zieladressen ermitteln.
Wenn das Beispiel also nach einer Standard-IP-Zugriffsliste fragt, die die Ablehnung zulässt, wird Telnet
zugelassen, dann wissen Sie, dass Sie diese Zugriffsliste in die Viti-Leitungen einbinden müssen. Als Beispiel werde ich Arata mitteilen,
dass die Adresse hier ist 10 0 0 2 FoxxHole, aber in meinem Benutzernamen, wenn mein Passwort oben in der Zeile
für die Anzeige der laufenden Laufzeit steht, wird angezeigt, was in den Zeilen dieses Routers konfiguriert ist.
Wie Sie hier sehen können, gibt es keine Zugriffslisten auf die Viti Wildlands des Shradha. Also kann ich
folgendes tun.
Zugangsliste.
Lassen Sie uns einfach eine Zahl wie 10 Palmet auswählen und beachten Sie, dass die IP-Adresse 10 1 1 1 ist.
Niemand darf an den Rodda telnet, also 10 1 1 1 begehen.
Und dann kann ich auf die Linie zwischen Solangi 2 0 0 0 gehen, damit Anani den allgemeinen
Zugriff Clauss verwendet, anstatt der Access-Gruppe. Sie können entweder die Zugriffsliste oder erweiterte IP-Zugriffslisten im
frühen Ioway angeben.
Sie können nur Standard in den Zugriffslisten auswählen, aber heutzutage können Sie beide verwenden.
In einer erweiterten ACL.
Also werde ich 10 wählen.
Und ich kann beachten, dass ich eingehende Telnet-Verbindungen oder ausgehende Telnet-Verbindungen falten kann.
Also werde ich in einem
spezifizieren, ich werde versuchen, erneut mit dem Rodda zu telnet.
Also Telenet 10 0 0 2 5 4.
Und beachten Sie, dass die Telnet-Verbindung nicht geöffnet wird, weil wir dem Rodda Telnet verweigern, nur
um Ihnen das zu beweisen, wenn ich diesen Zugriff auf Clauss entferne und dann wieder aufsetze. Ich kann Telnet
und ich kann mich erfolgreich einloggen Verbinden Sie aber diese Zugriffsliste wieder.
Tron Telnet und bemerkte, dass Telnet abgelehnt wird.
Vergessen Sie also nicht die Zugriffslisten, die auf Viti Wide Lines zu finden sind, um Telnet- oder S-SH-Zugriff auf einen
Router zu erlauben oder zu verweigern.
Wieder einmal zeigen Sie den Abschnitt "Pipe Pipe". Eine Zeile zeigt mir an, dass ich die Zugriffsklausel 10 in der Viti y-Leitung nach unten habe. Ich kann
also nicht von meinem PC aus telnet, um die IP-Adresse meines PCs einzusehen.
Wie Sie hier sehen, ist die IP-Adresse 10 0 0 0 1, so dass ich auf der Route zu meinem Thema keine Zugriffsliste habe.
Sei vorsichtig damit.
Komm schon.
Es entfernt nicht nur eine Zeile in der Zugriffsliste, sondern es löscht die gesamte Zugriffsliste.
Stoppen des Befehls do show access list 10 zeigt an, dass diese Zugriffsliste nicht vorhanden ist.
Ich habe also gerade die Zugriffsliste komplett gelöscht, aber ich könnte mit ihnen auf Zugriffsliste 10 sprechen, 10 0 0
1 zulassen und dann zu meiner Leitung gehen.
Warum auch?
Stellen Sie einfach sicher, dass es gefunden wird.
Also Zugriff auf Clauss 10 in Knopf versucht Telnet, dass Telnet erfolgreich ist.
Ich kann also sagen,
dass der Rodda nun Vianney ist, der Befehl show list zeigen. Sie können sehen, dass es zwei Übereinstimmungen
auf der sexistischen Liste gibt, aber sagen Sie mir bitte noch einmal show c'mon.
Beachten Sie, dass die Übereinstimmungen zunehmen.
Kann ich es trotzdem rechts sagen, wenn ich diese Zugriffsliste lösche, muss ich auf die
Zugriffsliste kommen.
10 Führen Sie den Befehl show aus.
Und wie Sie sehen, wurde die Zugriffsliste entfernt.
Ich werde mein Problem unterbrechen und mich sehen lassen, ob ich es noch einmal sagen kann.
Und wie Sie sehen können, kann ich überflüssig vorgehen, um die Laufart zu zeigen. Die Zeile zeigt an, dass die Zugriffsliste immer
noch gebunden ist und dies eine große Gotcha ist.
Dies gilt auch für den an Schnittstellen gebundenen Lisburn.
Sie können eine nicht vorhandene Zugriffsliste an eine Schnittstelle binden.
Es ist sehr gefährlich, denn wenn jemand diese Zugriffsliste später gutgeschrieben hat und
versehentlich für etwas anderes konfiguriert hat, wird die Zugriffsliste sofort aktiv und
der Verkehr wird gemäß der neuen Zugriffsliste unerwartet verweigert oder zugelassen.
Nehmen wir also an, wir hätten Tenet ein oder zwei zu eins Argumenten wie jetzt plötzlich erlaubt,
indem wir es der Rodda-Nachricht zurückgaben, dass Telnet-Sitzung abgelehnt wird.
Seien Sie sehr vorsichtig bei der Erstellung Ihrer Zugriffslisten und binden Sie sie.
Wenn Sie sie löschen, entfernen Sie sie aus den Bindungen.
Mit anderen Worten, entfernen Sie sie von den weißen Linien von Viti oder von den Schnittstellen.
Lassen Sie nicht zu, dass nicht vorhandene Zugriffslisten an Schnittstellen gebunden sind, und lassen Sie nicht zu, dass Zugriffslisten nur
in einer Konfiguration vorhanden sind, die ohnehin nicht gebunden ist.
Nur noch eine Erinnerung an Bemerkungen Mit Anmerkungen können wir Beschreibungen zu Zugriffssteuerungslisten hinzufügen, um
sie mit weniger Zugriff besser zu verstehen, da sie recht kompliziert werden können.
Wenn Sie über eine 10-Zeilen- oder 20-Zeilen-ACL verfügen, müssen Sie als letztes das entschlüsseln, was die
Zugriffsliste tun soll.
Durch das Hinzufügen von Anmerkungen kann das Verfolgen und Verstehen erheblich vereinfacht werden.
Wenn Sie die Zugriffsliste "Kommt sofort" auf Misrata ankreuzen, werden mir die momentan konfigurierten Zugriffslisten angezeigt.
Man kann sehen, dass es Zugriffslisten mit verschiedenen Zeilen gibt, die aber an sich nicht viel
bedeuten.
Erstellen wir eine Zugriffsliste, die in der Zugriffsliste 5 festgelegt ist, sagen Sie zum Beispiel 10 1 2 bis 1.
Aber jetzt können Sie sagen, dass Sie Liste 5 Ramshaw und jetzt können Sie eine Bemerkung mit bis zu 100 Zeichen
eingeben.
Versichern Sie sich, dass der Boss Zugriff auf den Exchange-Server hat, oder was auch immer Sie jetzt entscheiden. Die X-ists-Liste von
C'mon zeigt an, dass diese Bemerkung nicht angezeigt wird.
Komm schon!
Inkley-Zugriffsliste.
Beachten Sie, dass die Bemerkung in der Zugriffsliste angezeigt wird. Dies macht es viel einfacher zu sehen, was los ist.
Ich könnte eine andere Leitung in dieser Zugangseinrichtung erstellen, um auf 5 remet zuzugreifen, und dann könnte
ich eine weitere Vorlage in
etwa so erstellen.
Und da ich nicht gleich bin, wird die CLEET-Zugriffsliste
erneut angezeigt. Jede Zeile in der Zugriffsliste und ihre entsprechende Anmerkung werden angezeigt.
Dadurch ist es viel einfacher zu verstehen, was in einigen Richtlinien für Zugriffslisten beschrieben wird.
Zunächst zeigt der obere Teil der Zugriffsliste an, was fehlerhaft sein kann.
Mit anderen Worten, eine Standardzugriffsliste kann nur auf Quell-IP-Adressen oder -Netzen und erweiterte IP-Zugriffslisten auf Quell-
und Zieladressen, Quell- und Zielportnummern sowie verschiedene andere Optionen in Bezug
auf IP-Protokolle angewendet werden, sodass erweiterte Zugriffslisten tendenziell viel mehr sind mächtig
Die Reihenfolge der Verarbeitung ist ebenfalls von großer Bedeutung.
Sie sollten zuerst genauere Aussagen machen.
Wenn Ihre erste Aussage erlaubt war und Ihre zweite Aussage Host 10 abgelehnt hatte, so wäre diese
zweite Aussage nicht relevant, weil Ihre erste Aussage zulassen würde.
Denken Sie daran, dass Zugriffssteuerungslisten einen Prozess von oben nach unten zeigen.
Wenn eine Zeile übereinstimmt, werden alle nachfolgenden Zeilen ignoriert.
Ich erlaube also, dass alle übereinstimmen würden, und der gesamte Datenverkehr einschließlich des Datenverkehrs von Host 10:01 wäre
zulässig, und die zweite Zeile, die Host 10 eins zu eins abweist, würde ignoriert.
Vergessen Sie nicht, dass am Ende jeder Zugriffssteuerungsliste implizit alles verweigert wird, sofern Sie
nicht ausdrücklich etwas zulassen, was abgelehnt wird.
Pro Protokoll und Protokoll kann nur eine Zugriffsliste an ihre Schnittstelle gebunden werden.
Mit anderen Worten, eine IP-Version 4-ACL kann pro Schnittstelle entweder in oder außerhalb gebunden werden.
Sie können Activision nicht für Zugriffslisten einleiten, die auf derselben Oberfläche eingehen, die Sie ein-
und ausblenden können.
Wie ich bereits gezeigt habe, wenn Sie versuchen, zwei eingehende IP-Zugriffslisten auf derselben Schnittstelle zu binden, ersetzt
die zweite nur die erste.
Wo sollten Sie Ihre Zugriffslisten ablegen?
Die beste Vorgehensweise von Cisco ist es nun, die Platzierung von ACLs mit Stents so nahe wie möglich am Zielort vorzunehmen. Der
Grund dafür ist, dass Sie bestimmte Protokolle nicht abgleichen können.
In der Realität verwenden die meisten ACL-Implementierungen jetzt erweiterte IP-Zugriffslisten, da
Sie nach Quell- und Ziel-IP-Adressen sowie Quell- und Zielports usw.
filtern können.
Bei IP-gesteuerten Zugriffssteuerungslisten können Sie nur anhand der Quelladresse suchen.
Wenn Sie also in diesem Beispiel nicht möchten, dass 10 1 on 1 eine Verbindung zu diesem Server herstellen soll, können
Sie eine Standard-IP-Zugriffsliste entweder eingehend und / oder ein- oder ausgehend und oder ein- oder ausgehend und zwei oder ausgehend
als Arty verknüpfen .
Wenn Sie sich dafür entschieden haben, eine Zugriffsliste zu binden, die diesen Host als eingehend ablehnt, oder Sie würden den Zugriff auf den Server
nicht nur verweigern, sondern auch den Zugriff auf den Host für alle anderen Teile des Netzwerks verweigern, da er kein Ziel
angeben kann nur eine Quelle, wenn Sie eine Zugriffsliste in Bonan oder eine andere Person, die den Host ablehnt,
gebunden hat 10 1 1 1.
Sie würden dem Host den Zugriff auf alle Teile des Netzwerks verweigern, so dass dies keine gute Möglichkeit ist, diese
Zugriffsliste zu binden.
Wenn Sie die Access-Liste nach außen bombardieren und / oder eine Ansage "Denie-Host 10" eins zu eins ausführen, wird dem Host der
Zugriff auf diesen Host gewährt.
Wieder einmal um 10:01 Uhr würde einem der Zugriff auf dieses Netzwerk verweigert.
Dieses Netzwerk wie auch dieses Netzwerk können Sie wieder nur auf der Quelladresse
mit einer Standard-IP-Zugangsliste verweigern, die nicht auf der Ziel-Port-Nummer liegt.
Wenn Sie sich entschieden haben, die Zugriffsliste eingehend und an den Host 10: 01 zu binden, hat man Zugriff
auf dieses Netzwerk sowie auf dieses Netzwerk, aber es hat keinen Zugriff auf dieses Netzwerk oder auf dieses Netzwerk, sodass es
auch nicht funktioniert .
Und wenn Sie sich dazu entschieden haben, die Zugriffsliste auf rt zu binden, ist dies der optimale Ort, um
die X-ists-Liste zu veröffentlichen, da Sie dem Host 10 1 1 1 Zugriff auf den Server verweigern würden, der diesen Hostzugriff
nicht verweigert zu einem anderen Teil des Netzwerks und dass Sie erreichen würden, was Sie
sich vorgenommen haben.
Bei den erweiterten IP-Zugriffslisten wird jedoch empfohlen, die Zugriffsliste so nahe wie möglich an der
Quelle zu platzieren.
Der Grund dafür ist, dass Sie bestimmte Protokolle und Zieladressen abgleichen können.
Wenn Sie also eine Zugriffsliste brennen, können Sie diesem Host 10 1 1 1 den Zugriff auf diesen Host 10
1 bis 1 verweigern.
Erlauben Sie diesem Host jedoch den Zugriff auf einen anderen Teil des Netzwerks, und Sie würden damit das erreichen, was Sie
sich vorgenommen haben.
Und dieses Beispiel wäre viel effizienter als das vorige Beispiel, da Sie an
diesem Punkt den Datenverkehr ablehnen würden, anstatt ihn ganz über das Netzwerk zu leiten oder einfach zu verwerfen.
So sind Sie mit erweiterten IP-Zugriffslisten wesentlich flexibler und effizienter und werden daher in
der Praxis häufiger eingesetzt.