Voyons maintenant un autre exemple dans cet exemple: nous souhaitons promouvoir l'hôte 10 1 1 1 2 7 10 1 2
1.
Donc, cet hôte devrait être autorisé sur le serveur que nous voulons refuser, tout le monde lui envoyant
du trafic.
Mais nous souhaitons également permettre au trafic d'aller sur tous les autres serveurs.
Donc, tout le monde devrait pouvoir se connecter à tous les serveurs.
La première décision est donc de savoir où allons-nous lier cette liste de contrôle d'accès et dans quelle direction.
Donc on pourrait le faire.
Si les sérums seront entrés ou que nous pouvons le lier à 0 1 sortant, le problème consistant à essayer de lier
la liste d'accès si sérieusement, c'est que nous ne pouvons pas spécifier d'adresses de destination avec une liste d'accès IP standard.
Vous pouvez uniquement spécifier des adresses sources afin de ne pas être en mesure d'implémenter l'instruction
qui dit de refuser l'accès à un serveur spécifique à tout le monde, mais d'autoriser le trafic sur tous les
serveurs, car sinon, vous refuserez tout refus. être permis tout ce qui ne fonctionnera pas parce que le permis
ne sera jamais utilisé.
Donc, ce que nous allons faire, c'est que nous allons le lier sur cette interface sortante.
Si Sirus Lesch one, cela suit également les meilleures pratiques qui stipulent que vous devez lier les listes d’accès IP avec
stents aussi près que possible de la destination.
Je vais expliquer plus à ce sujet dans un instant.
Ainsi, sur notre routeur, nous pourrions configurer ces listes de contrôle d’accès en passant en mode de configuration
globale et en tête de liste X-ists.
Choisissons le numéro trois Palmet 10 mais celui qui 1. 1.
Et puis nous pourrions entrer dans l'interface si 0 1 un sujet sur le groupe d'accès IP trois sur.
Alors encore une fois, je pourrais faire les listes d’accès C'mon show qui
me montrent simplement cet accès simple que je viens de créer.
Le problème ici était de rappeler un moyen de lier la liste d'accès et de se rappeler qu'il n'était pas nécessaire
de refuser à la fin, car il y avait un refus implicite dans une instruction Access.
Je veux dire expliquer ce que ce nombre 10 signifie dans un instant.
Dans cet exemple, vous souhaitez autoriser le sous-réseau 10 1 1 0 puis refuser à tous les autres.
Une fois encore, nous lions la liste de contrôle d'accès entrante le premier.
Ethan c'est sérieux.
Afin de rendre la liste d'accès aussi efficace que possible, nous ne souhaitons encore une fois pas que la Rodda
ait à traiter des paquets en interne, mais simplement à les laisser tomber sur une interface sortante externe.
Nous allons donc lier la liste de contrôle d'accès entrante afin que Narada passe en mode de configuration globale, je suis
sur la liste d'accès et, dans ce cas, choisissons le numéro 4 et nous autoriserons dans ce cas un
sous-réseau spécifique. 0.
Et ensuite, nous devons mettre en correspondance la mosquée générique Jazeerah en moyens binaires.
Ainsi, le premier octet 10 correspond à la deuxième Optik 1 doit correspondre à cet octet doit correspondre au dernier octet
peut être égal à rien.
Il y a un nier implicite.
Donc, nous ne devons rien spécifier d'autre.
Toutefois, si vous souhaitez enregistrer des informations, vous pouvez procéder comme suit.
Liste pour denie et remarqué l'option.
Toute notification de cette option permettant de consigner des informations afin d’aider le serveur de journalisation à se connecter localement sur le routeur afin
que nous puissions voir quels paquets ont été refusés.
Pour ce qui est de la journalisation, il est préférable de ne pas se connecter localement sur le routeur, mais de le transférer sur
un serveur tel qu'un serveur de journalisation.
La raison en est que la Rodda dispose d’un espace limité pour stocker les messages de journal, alors que si vous le
stockez sur un serveur de journal, vous pouvez stocker d’énormes quantités de données en raison de la taille des disques durs.
Il est donc logique de sauvegarder les informations de journalisation sur un serveur externe.
La dernière étape de cet exemple consiste à accéder à l'interface 0 zéro et à la rubrique suivante du groupe Ickey X-ists.
Une fois de plus, je peux faire venir
la liste d'accès si je voulais juste voir cette liste spécifique de X-ists mais un numéro dans la liste d'accès pour vous pouvez voir que la
première ligne indique le permis 10 1 1 0 avec des paris de type joker 0 0 0 2 4 5.
Et la deuxième ligne dit refuser tout et verrouiller les informations sur les paris montrent une interface p.
Sérieusement ceara.
Vous m'avez montré que la liste d'accès entrant est pour.
Nous avons donc lié la liste des X-ists pour les appels entrants sur Ethan à la soie, c’est la barre oblique 0.
Maintenant, cet exemple, l'interface est fermée.
Je ne suis pas trop inquiet parce que je vous montre simplement la syntaxe des listes d'accès
plutôt que de vérifier votre exemple.
Faites attention en ajoutant un refus explicite comme je l'ai fait dans cet exemple.
Vous devez lire entre les lignes des questions et vous assurer explicitement qu'il vous est demandé de refuser
le trafic. Si vous ne le leur demandez pas, n'ajoutez pas la ligne de refus, car ils risquent de vous tester pour vous assurer que
vous connaissez le refus implicite.
À la fin de chaque liste d'accès.
Autre exemple, dans ce cas, nous voulons autoriser 10 1 1 1 2 telnet au routeur, puis vous voulez empêcher
tout le monde de le dire au routeur et d’autoriser le trafic ailleurs.
Maintenant, encore une fois, vous devez lire attentivement entre les lignes.
Dans cet exemple, nous établissons une liste de contrôle d'accès standard.
Donc, la seule façon de faire est de lier la liste de contrôle d'accès standard sur le Vietti Wilens. Souvenez-vous qu'elle
est IPX. Cette liste ne peut pas déterminer les adresses de protocole ou de destination.
Donc, si l’exemple demande une liste d’accès IP standard à nier autorisera telnet, alors
vous savez que vous devez lier cette liste d’accès sur les lignes Viti y voir un exemple. 10 0
0 2 FoxxHole mais dans mon nom d'utilisateur, mettre mon mot de passe au-dessus de la ligne de section de la
section come on show time me montrera ce qui est configuré sur les lignes de ce routeur.
Comme vous pouvez le voir ici, il n’existe aucune liste d’accès dans les terres sauvages de Viti de la Shradha. Je peux alors
procéder comme suit.
Liste d'accès.
Choisissons simplement un numéro comme 10 Palmet et notons que l’adresse IP est 10 1 1 1.
Personne d'autre n'est autorisé à établir une connexion telnet avec la Rodda, alors commettez 10 1 1 1.
Et puis je peux aller sur la ligne entre Solangi 2 0 0 0 pour qu'Anani utilise l'accès commun Clauss plutôt que
le groupe Access indiqué, vous pouvez spécifier soit la liste d'accès standard, soit les listes d'accès IP étendus au
début de Ioway.
Vous pouvez uniquement choisir standard sur les listes d'accès, mais ces jours-ci, vous pouvez utiliser les deux.
Dans une ACL étendue.
Donc, je vais choisir 10.
Et remarquez que je peux me plier aux connexions telnet entrantes ou sortantes.
Donc, je vais spécifier dans un
je vais essayer et telnet à la Rodda à nouveau.
Donc Telenet 10 0 0 2 5 4.
Et remarquez que la connexion telnet ne s’ouvre pas parce que nous refusons telnet
à la Rodda simplement pour vous le prouver si je supprime cet accès Clauss et que je
le remets en place. connecter mais cette liste d'accès à nouveau.
Tron telnet et remarqué que telnet est refusé.
Alors, n’oubliez pas les listes d’accès que l’on peut trouver sur les grandes lignes de Viti pour autoriser ou refuser l’accès de
telnet ou de S-sh à un routeur.
Une fois de plus, affichez la section de tuyau d’exécution une ligne me montre que j’ai la clause d’accès 10 sur la ligne Viti y, de sorte que je ne peux
pas me connecter à telnet depuis mon PC pour consulter l’adresse IP de mon PC.
Comme vous le verrez ici, l’adresse IP est 10 0 0 0 1 donc je ne suis pas sur la liste d’accès.
dix.
Sois prudent avec ça.
Allons y.
Il ne supprime pas simplement une ligne de la liste d'accès, il supprime la liste
d'accès complète en arrêtant la commande. Affiche la liste d'accès 10 indiquant si cette liste d'accès n'existe pas.
Je viens donc de supprimer entièrement la liste d'accès, mais je pourrais leur parler sur la liste d'accès 10, autoriser
10 0 0 1, puis passer à ma ligne.
Bt pourquoi.
Assurez-vous juste que c'est trouvé.
Donc, l'accès Clauss 10 à Knopf essaie telnet remarqué que telnet est réussie.
Donc, je peux
dire qu’à la Rodda, c’est maintenant Vianney que la commande montre Access listin, vous pouvez
voir qu’il ya deux correspondances sur la liste sexiste, mais dites-moi encore
Notez que les allumettes augmentent.
Puis-je quand même le dire à droite si je supprime cette liste d'accès afin que je doive venir sur la
liste d'accès?
10 Faites la commande show.
Et comme vous pouvez le constater, la liste d’accès a été supprimée.
Je vais déconnecter mon message et laisser moi voir si je peux le répéter.
Et comme vous pouvez le constater, je peux aller au-delà pour montrer que la ligne de section de type exécution m’indique que la liste
d’accès est toujours liée et qu’il s’agit d’un gros problème.
Ceci s'applique également à l'accès Lisburn lié aux interfaces.
Vous pouvez lier une liste d'accès inexistante sur une interface.
C'est très dangereux, car si une personne ayant plus tard crédité cette liste d'accès et la
configurée par inadvertance pour une autre fonction, cette liste deviendrait immédiatement active et le trafic
serait refusé ou autorisé de manière inattendue, conformément à la nouvelle liste d'accès.
Supposons donc que nous autorisions soudainement les arguments un ou deux à un de Tenet en le rappelant
à Rodda pour lui signaler que la session telnet est refusée.
Soyez très prudent avec vos listes d'accès, créez-les puis liez-les.
Si vous les supprimez, supprimez-les des liaisons.
En d'autres termes, supprimez-les des lignes blanches de Viti ou des interfaces.
N'autorisez pas les listes d'accès non existantes à être liées à des interfaces et n'autorisez pas les listes d'accès à exister
dans une configuration qui n'est pas liée de toute façon.
Encore un rappel sur les remarques les remarques nous permettent d’ajouter des descriptions pour accéder aux listes de contrôle
afin qu’elles soient plus faciles à comprendre, avec un accès réduit car elles peuvent devenir assez compliquées.
Si vous avez une liste de contrôle d'accès à 10 lignes ou à 20 lignes, la dernière chose à faire est de déchiffrer
l'objectif de la liste d'accès.
Ainsi, l'ajout de remarques peut faciliter la compréhension et le suivi.
En tête de la liste d'accès Come On Show de Misrata, je vois les listes d'accès configurées pour le moment.
Vous pouvez voir qu'il existe des listes d'accès avec différentes lignes, mais elles ne signifient pas grand-chose d'autre que
cela.
Créons une liste d’accès, c’est la liste d’accès 5 validons-le, par exemple 10 1 2 à 1.
Mais ce que vous pouvez faire maintenant, c’est que vous pouvez indiquer la liste 5 de Ramshaw et maintenant vous pouvez ajouter une remarque de 100 caractères
au maximum.
Engagez-vous
à rencontrer le patron pour accéder au serveur Exchange ou à ce que vous décidiez maintenant de s'ajouter à la liste des X-ists de
C'mon show ne montre pas cette remarque, mais pas comme si je le faisais.
Allez show show.
Liste d'accès Inkley.
Remarquez que la remarque est affichée dans la liste d’accès, ce qui facilite beaucoup la visualisation de ce qui se passe.
Je pourrais créer une autre ligne dans cette facilité d'accès pour accéder à 5 remet et ensuite, je
pourrais en créer une autre une
sorte de maquette.
Et, n'étant pas le même, revenez à l’affichage. La liste d’accès
CLEET me permet de voir chaque ligne de la liste d’accès et sa remarque pertinente.
Ainsi, il est beaucoup plus facile de comprendre ce qui se passe dans certaines directives concernant les listes d’accès.
Premièrement, le haut de la liste d’accès indique ce qui peut être reproché.
En d’autres termes, une liste d’accès standard ne peut s’appliquer qu’aux adresses IP ou réseaux source et le contrôle de liste d’accès IP étendue aux
adresses source et de destination ainsi que les numéros de port source et de destination et diverses autres
options relatives aux protocoles IP, de sorte que les listes d’accès étendues ont tendance à être beaucoup plus efficaces. puissant.
L'ordre de traitement est également d'une grande importance.
Vous devriez d'abord vous placer des déclarations plus spécifiques.
Si votre première déclaration était permise et que votre deuxième déclaration était refusée à l'hôte 10:01, la deuxième déclaration
refusée serait sans objet, car votre première déclaration affirmait qu'il était permis.
Rappelez-vous que le contrôle d'accès répertorie un processus descendant.
S'il y a une correspondance sur une ligne, toutes les lignes suivantes sont ignorées.
Je permets donc que tout soit mis en correspondance et que tout le trafic, y compris celui de l’hôte 10:01,
soit autorisé et que la deuxième ligne refusant l’hôte 10 un à un soit ignorée.
N'oubliez pas qu'il y a un refus implicite à la fin de chaque liste de contrôle d'accès, à moins
que vous n'autorisiez explicitement quelque chose qui serait refusé.
Une seule liste d'accès peut être liée à son interface par direction et par protocole.
En d’autres termes, une ACL IP version 4 peut être liée entrée ou sortie interface par interface.
Vous ne pouvez pas avoir à Activision pour les listes d'accès entrantes sur la même interface que vous pouvez avoir une
entrée et une sortie.
Comme je l'ai déjà démontré, si vous essayez de lier deux listes d'accès IP entrantes sur la même interface, la seconde
ne fera que remplacer la première.
Alors, où devriez-vous placer vos listes d'accès.
À présent, la meilleure pratique de Cisco est de placer l'ACL stentée le plus près possible de la destination. La raison en
est que vous ne pouvez pas faire correspondre des protocoles spécifiques.
Désormais, dans le monde réel, la plupart des implémentations ACL utiliseront des listes d'accès IP étendues car vous
pouvez filtrer en fonction des adresses IP source et de destination, ainsi que des ports source et
de destination, etc.
Tandis que, avec les listes de contrôle d’accès avec stent IP, vous ne pouvez tomber que sur la base de l’adresse source.
Ainsi, dans cet exemple, si vous ne voulez pas que 10 1 sur 1 se connecte à ce serveur 10 1 à
1, vous pouvez lier une liste d'accès IP standard entrante et ou une ou sortante et ou une ou entrante et ou
deux ou sortante .
Si vous décidez de lier une liste d’accès refusant cet hôte entrant et / ou une liste, vous refuserez non seulement
10 1 1 1 accès au serveur, mais vous interdirez également à l’hôte d’accéder à toutes les autres
parties du réseau uniquement une source si vous avez lié une liste d'accès dans Bonan ou un hôte
refusant 10 1 1 1.
Vous refuseriez à cet hôte l'accès à toutes les parties du réseau, ce qui ne constituerait pas un bon emplacement pour lier
cette liste d'accès.
Si vous bombardez la liste d’accès sortante et / ou l’un des accusés refusant l’hôte 10, l’hôte sera autorisé à
accéder à cet hôte.
Encore une fois 10h01, on se verrait refuser l'accès à ce réseau.
Ce réseau ainsi que ce réseau car une fois encore, vous ne pouvez refuser que les numéros de port de
l’adresse source avec une liste d’accès IP standard qui ne se trouve pas sur la destination.
Si vous décidiez de lier la liste d'accès entrante et ou à l'hôte 10:01, l'un aurait accès à ce
réseau ainsi qu'à ce réseau, mais il n'aurait pas accès à ce réseau ni à ce réseau, ce qui ne fonctionnerait
pas non plus. .
Et enfin, si vous décidiez de lier la liste d’accès sortante sur RT, c’est l’endroit idéal pour
publier la liste X-ists car vous refuseriez à l’hôte un accès 10 1 1 1 au serveur sans le refuser.
à toute autre partie du réseau et que vous accomplissiez ce que vous aviez
l'intention de faire.
Cependant, avec les listes d’accès IP étendues, il est recommandé de placer la liste d’accès aussi près que
possible de la source.
La raison en est que vous pouvez faire correspondre des protocoles spécifiques et des adresses de destination spécifiques.
Ainsi, si vous gravez une liste d’accès entrante et / ou une liste, vous pouvez refuser à cet hôte l’accès 10 1 1 1 à
cet hôte 10 1 à 1.
Toutefois, autorisez cet hôte à accéder à n’importe quelle autre partie du réseau et vous obtiendrez ainsi ce que vous avez
décidé de faire.
Et cet exemple serait beaucoup plus efficace que l'exemple précédent, car vous interdiriez le
trafic à ce stade plutôt que de le router tout au long du réseau vers ou à abandonner.
Ainsi, vos listes d'accès IP étendues sont beaucoup plus flexibles et plus efficaces et ont donc tendance à être davantage
utilisées dans le monde réel.