Diamo un'occhiata a un altro esempio in questo esempio, vogliamo promuovere l'host 10 1 1 1 2 7 10 1 2
1.
Quindi questo host dovrebbe essere autorizzato al server che vogliamo negare a tutti di inviare traffico a
quel server.
Ma vogliamo anche consentire al traffico di andare a tutti gli altri server.
Quindi chiunque dovrebbe essere in grado di connettersi a tutti i server.
Quindi, la prima decisione è di nuovo dove stiamo andando a legare questo elenco di controllo di accesso e in quale direzione.
Quindi potremmo farlo.
Se sera sera è in-bound o possiamo vincolarlo su 0 1 in uscita il problema con il tentativo di associare la lista
di accesso se seriamente Zerah è che non possiamo specificare gli indirizzi di destinazione con un elenco di accesso IP standard.
Puoi solo specificare gli indirizzi di origine in modo da non essere in grado di implementare la
dichiarazione che dice di negare a tutti gli altri server specifici, ma di consentire il traffico a tutti gli altri server,
perché altrimenti stai per negare e la prossima affermazione sta andando essere permesso a tutti quelli che non funzioneranno perché il
permesso non sarà mai usato.
Quindi, quello che faremo sarà legarlo su questa interfaccia in uscita.
Se si utilizza Sirus Lesch, segui anche le best practice che dicono che dovresti associare gli elenchi di accesso IP
stent il più vicino possibile alla destinazione.
Spiegherò di più su questo in un momento.
Quindi sul nostro router potremmo configurare questi elenchi di controllo di accesso andando nella modalità di configurazione
globale e completando l'elenco di X-ists.
Scegliamo il numero tre Palmet 10 ma uno che 1. 1.
E poi potremmo entrare nell'interfaccia se 0 1 un argomento sul gruppo di accesso IP tre fuori.
Quindi, ancora una volta, potrei fare gli elenchi di accesso di C'mon
show che mi mostrano semplicemente quell'accesso semplice che ho appena creato.
Il problema qui era ricordare un modo per legare la lista di accesso e ricordare che non è
necessario negare alcuno alla fine perché c'è un rifiuto implicito in un'istruzione di Access.
Voglio dire spiegare cosa significa questo numero 10 in un attimo.
In questo esempio si desidera autorizzare la sottorete 10 1 1 0 e quindi negare a tutti gli altri.
Ancora una volta legheremo la lista di controllo degli accessi in entrata.
Ethan sul serio.
Per rendere il più efficiente possibile l'elenco degli accessi, ancora una volta non vogliamo che Rodda
debba elaborare internamente i pacchetti solo per farli cadere su un'interfaccia esterna in uscita.
Quindi legheremo la lista di controllo di accesso in ingresso in modo che Narada vada in modalità di configurazione globale argomento Sono nella
lista di accesso e in questo caso scelgo il numero 4 e consentiremo in questo caso una sottorete specifica così tenera
e meravigliata 1. 0.
E poi dobbiamo inserire la moschea jollyerah in una partita binaria.
Quindi il primo ottetto 10 corrisponde al secondo Optik deve corrispondere a quello che un ottetto deve corrispondere all'ultimo ottetto può
essere uguale a qualsiasi cosa.
C'è un rifiuto implicito.
Quindi non dobbiamo specificare altro.
Tuttavia, se si desidera registrare le informazioni, è possibile eseguire quanto segue.
Elenco per denie e notato l'opzione.
Qualsiasi avviso questo registro di opzione che ci consentirebbe di registrare le informazioni per assistere il log del server di registro localmente sul router
in modo che possiamo vedere quali pacchetti sono stati negati.
Per quanto riguarda la registrazione, è consigliabile non effettuare il login locale sul router ma inviarlo a un server
come un server di registro.
Il motivo è che Rodda ha uno spazio limitato per l'archiviazione dei messaggi di registro, mentre se lo memorizzi su un
server di log puoi memorizzare enormi quantità di dati a causa della dimensione dei dischi rigidi al giorno d'oggi.
Quindi ha senso riportare le informazioni di registrazione su un server esterno.
L'ultimo passaggio in questo esempio è passare all'interfaccia 0 zero e l'argomento entra in Ickey X-ists per un gruppo.
Ancora una volta posso accedere alla lista
di accesso se solo volessi vedere quella lista di X-list specifica ma un numero nella lista di accesso per cui puoi vedere la prima
riga che dice il permesso 10 1 1 0 con le scommesse jolly 0 0 0 2 4 5.
E la seconda riga sta dicendo di negare qualsiasi e bloccare le informazioni sulle scommesse mostrano l'interfaccia p.
Seriamente ceara.
Mi hai mostrato che l'elenco di accesso in entrata è per.
Quindi abbiamo associato la lista X-ists per l'entrata su filo interdentale Ethan's slash 0.
Ora questo esempio l'interfaccia è spenta.
Non sono troppo preoccupato perché ti sto solo mostrando la sintassi degli elenchi di accesso piuttosto che
controllando il tuo esempio di lavoro.
Fai attenzione con l'aggiunta di un denie esplicito come ho fatto in questo esempio.
Devi leggere tra le righe delle domande e assicurarti che ti venga chiesto esplicitamente di negare
il traffico se non ti viene chiesto di non aggiungere la riga per negare alcunché, poiché potrebbero essere testati per assicurarti di
conoscere la negazione implicita.
Alla fine di ogni elenco di accesso.
Un altro esempio in questo caso vogliamo consentire 10 1 1 1 2 telnet al router e quindi si vuole negare a tutti
gli altri di dirlo al router e consentire il traffico da qualsiasi altra parte.
Ora ancora una volta devi leggere attentamente le righe.
In questo esempio stiamo impostando un elenco di controllo di accesso standard.
Quindi l'unico modo per farlo è quello di associare la lista di controllo di accesso standard su Vietti Wilens, ricordare
poi che IPX Questo elenco non può determinare il protocollo o gli indirizzi di destinazione.
Quindi se l'esempio chiede un elenco di accesso IP standard da negare permetterà telnet
allora sai che devi legare quell'elenco di accesso sulle linee Viti y come un esempio vado a dire ad Arata
che in questo caso l'indirizzo è 10 0 0 2 FoxxHole ma nel mio username inserendo la mia password in cima
alla riga di riepilogo dell'evento in esecuzione mi mostrerà cosa è configurato sulle linee di questo router.
Come puoi vedere qui non ci sono elenchi di accesso sulle terre selvagge di Viti dello Shradha, quindi posso fare
quanto segue.
Lista di accesso
Prendiamo solo un numero come 10 Palmet e notiamo che l'indirizzo IP è 10 1 1 1.
Nessun altro è autorizzato a telnet per il Rodda, quindi commetti 10 1 1 1.
E poi posso andare sulla linea tra Solangi 2 0 0 0 per Anani per usare l'accesso comune Clauss piuttosto che per il gruppo
di Access notato che è possibile specificare sia la lista di accesso standard che gli elenchi di accesso IP
esteso in Ioway anticipato.
Puoi scegliere lo standard solo negli elenchi di accesso, ma in questi giorni puoi utilizzare entrambi.
In un ACL esteso.
Quindi ho intenzione di scegliere 10.
E notare che posso passare alle connessioni telnet in entrata o alle connessioni telnet in uscita.
Quindi ho intenzione di specificare
in un tentativo di telnet di nuovo a Rodda.
Quindi Telenet 10 0 0 2 5 4.
E notate che la connessione telnet non si apre perché stiamo negando telnet al Rodda solo per dimostrarlo,
se rimuovo questo accesso a Clauss e poi lo rimetto di nuovo in guardia, sono in grado di telnet e posso
accedere con successo è solo connetti ma quella lista di accesso torna di nuovo.
Tron telnet e notato che il telnet è negato.
Quindi, per favore, non dimenticare gli elenchi di accesso che possono essere trovati su linee Viti per consentire o negare
l'accesso telnet o S-sh a un router.
Ancora una volta mostra la sezione pipe run una linea mi mostra che ho la voce di accesso 10 giù sulla linea Viti y quindi non sono in
grado di telnet dal mio PC di dare un'occhiata all'indirizzo IP del mio PC.
Come vedrete qui l'indirizzo IP è 10 0 0 0 1 quindi sul percorso verso il mio argomento non sono in elenco di accesso.
10.
Stai attento con questo.
Andiamo, forza.
Non rimuove solo una riga nell'elenco di accesso, ma elimina l'intero elenco di accessi, ma
interrompendo il comando do show l'elenco di accessi 10 stabilirà che tale elenco di accessi non esiste.
Quindi ho appena cancellato completamente la lista degli accessi ma potrei parlare con loro sulla lista di accesso 10 per consentire 10
0 0 1 e poi andare sulla mia linea.
Perché?
Assicurati che sia stato trovato.
Quindi, l'accesso a Clauss 10 in Knopf sta provando che Telnet ha notato che Telnet ha avuto successo.
Quindi sono in grado
di dirlo al Rodda ora è Vianney il comando mostra Access listin puoi vedere che ci sono
due partite nella lista dei sessisti ma dimmi di nuovo mostra show c'mon.
Si noti che le partite stanno aumentando.
Posso ancora dirlo a destra se elimino questo elenco di accesso, quindi dovrò venire sulla lista
di accesso.
10 Fai il comando show.
E come puoi vedere l'elenco degli accessi è stato rimosso.
Scollegherò dicendo che è un problema e fammi vedere se posso dirlo di nuovo.
E come puoi vedere, posso andare in eccesso per mostrare la linea di sezione del tipo di esecuzione, mi mostra che la lista di
accesso è ancora vincolata e questo è un grande trucco.
Questo vale anche per accedere a Lisburn legato su interfacce.
È possibile associare un elenco di accesso inesistente a un'interfaccia.
È molto pericoloso perché se qualcuno in seguito accredita tale elenco di accessi e diciamo che
lo ha inavvertitamente configurato per qualcos'altro, l'elenco di accesso diventerebbe immediatamente attivo e il
traffico sarebbe negato o consentito inaspettatamente secondo il nuovo elenco di accesso.
Quindi diciamo che abbiamo permesso a Tenet uno o due argomenti su uno come adesso, improvvisamente, riferendoci
al messaggio di Rodda che la sessione telnet è stata negata.
Fai molta attenzione con i tuoi elenchi di accesso, quindi creali e vincolali.
Se li elimini rimuovili dai binding.
In altre parole rimuoverli dalle linee bianche Viti o dalle interfacce.
Non consentire che gli elenchi di accesso inesistenti siano associati alle interfacce e non consentire comunque agli elenchi
di accesso di esistere in una configurazione non associata.
Solo un promemoria sulle osservazioni delle osservazioni ci consente di aggiungere descrizioni agli elenchi di controllo di accesso in
modo che siano più facili da capire con accesso meno accessibile in quanto possono essere abbastanza complicati.
Se si dispone di un ACL a 10 righe o 20 linee, l'ultima cosa che si vuole fare è decifrare ciò che l'elenco di
accesso è destinato a fare.
Quindi aggiungere commenti può renderlo molto più facile da seguire e capire.
In cima alla lista di accessi in mostra su Misurata mi mostra gli elenchi di accesso configurati al momento.
Puoi vedere che ci sono elenchi di accesso con varie linee ma che in sé non significano altro che
farlo.
Creiamo un elenco di accessi è la lista di accesso 5 impegnarsi per esempio 10 1 2 a 1.
Ma ora quello che puoi fare è che puoi dire è la lista 5 di Ramshaw e ora puoi inserire un commento di massimo 100 caratteri, quindi qualcosa
di simile.
Impegnati a incontrare l'accesso del capo al server di scambio o qualsiasi cosa tu decida, ora che tocchi quella lista di mostri
X-ists non mostri quell'osservazione ma non come se fossi io.
Dai, spettacolo.
Lista di accesso di Inkley.
Notare che l'osservazione è visualizzata nella lista di accesso che rende molto più facile vedere cosa sta succedendo.
Potrei creare un'altra linea in quella struttura di accesso per accedere a 5 remet e quindi
potrei crearne un'altra simile a
qualcosa del genere.
E non essere lo stesso venire di nuovo show run piping CLEET
access list mi permette di vedere ogni riga nella lista degli accessi e le sue osservazioni rilevanti.
In questo modo è molto più facile capire cosa sta succedendo su alcune linee guida relative agli elenchi di accesso.
In primo luogo, la parte superiore dell'elenco di accesso indica ciò che può essere infettato.
In altre parole, un elenco di accesso standard può essere utilizzato solo su indirizzi IP di origine o reti e controllo elenco di accesso IP
esteso sia per gli indirizzi di origine e destinazione che per i numeri di porta di destinazione e
varie altre opzioni relative ai protocolli IP, pertanto gli elenchi di accesso estesi tendono ad essere molto più potente.
Anche l'ordine di elaborazione è di grande importanza.
Dovresti inserire per prima cosa dichiarazioni più specifiche.
Se la tua prima affermazione è stata autorizzata e la tua seconda affermazione è stata negata all'host 10:01, quella seconda affermazione di
negazione sarebbe irrilevante a causa della tua prima affermazione che ne autorizza l'autorizzazione.
Ricorda che il controllo degli accessi elenca un processo dall'alto verso il basso.
Se c'è una corrispondenza su una riga, tutte le righe successive vengono ignorate.
Quindi permetto ad alcuno di essere abbinato e tutto il traffico compreso il traffico dall'host 10:01 uno sarà
permesso e la seconda riga che nega l'host 10 uno su uno verrebbe ignorata.
Non dimenticare che esiste un rifiuto implicito alla fine di ogni elenco di controllo di accesso, a meno che
tu non autorizzi esplicitamente qualcosa a cui verrà negato.
Solo una lista di accesso può essere associata alla sua interfaccia per direzione per protocollo.
In altre parole, un ACL di versione 4 IP può essere collegato in ingresso o in uscita per interfaccia.
Non è possibile avere Activision per gli elenchi di accesso in entrata sulla stessa interfaccia che è possibile avere uno
dentro e uno fuori.
Come ho già dimostrato se si tenta di associare due elenchi di accesso IP in entrata sulla stessa interfaccia,
il secondo sostituirà il primo.
Quindi dove dovresti posizionare i tuoi elenchi di accesso.
Ora la migliore pratica di Cisco consiste nel posizionare l'ACL stent il più vicino possibile alla destinazione e il
motivo è che non è possibile abbinare protocolli specifici.
Ora nel mondo reale la maggior parte delle implementazioni ACL utilizzerà elenchi di accesso IP estesi perché è possibile filtrare
in base sia all'indirizzo IP di origine e di destinazione che alle porte di origine e di destinazione
e così via.
Considerando che con gli elenchi di controllo di accesso con stent IP è possibile basarsi solo sull'indirizzo di origine.
Quindi, in questo esempio, se non si desidera che 10 1 su 1 si connetta a questo server 10 1 a 1, è
possibile associare un elenco di accesso IP standard in ingresso eo uno o in uscita eo uno o in entrata eo in due
o in uscita .
Se hai deciso di associare un elenco di accesso negando questo host in entrata eo uno non solo negherebbe l'accesso 10 1 1
1 al server ma negheresti anche l'accesso dell'host a tutte le altre parti della rete perché non può specificare
una destinazione ma solo una fonte se si vincola una lista di accesso in Bonan o in una
negazione dell'host 10 1 1 1.
Negherebbe l'accesso dell'host a tutte le parti della rete, quindi questo non sarebbe un buon posto per legare tale
elenco di accesso.
Se bombardi l'elenco di accesso in uscita e uno dei due denunci l'host 10 uno contro uno, l'host potrebbe
accedere a questo host.
Ancora una volta 10:01 a uno sarebbe negato l'accesso a questa rete.
Questa rete e questa rete perché ancora una volta si può solo negare l'indirizzo di origine
con un elenco di accesso IP standard non sulla destinazione porteranno i numeri.
Se decidessi di associare l'elenco di accesso in entrata e / o all'host 10:01, uno di questi avrebbe accesso
a questa rete e anche a questa rete, ma non avrebbe accesso a questa rete oa questa rete in modo
che non funzionasse .
Infine, se decidessi di associare l'elenco di accesso in uscita su rt, sarebbe il posto migliore
per pubblicare l'elenco X-ists perché negherebbe l'accesso all'host 10 1 1 1 al server che non negherebbe l'accesso
all'host a qualsiasi altra parte della rete e che realizzeresti ciò che avevi
deciso di fare.
Tuttavia, con gli elenchi di accesso IP esteso, la raccomandazione è di posizionare l'elenco di accesso il
più vicino possibile all'origine.
Il motivo è che puoi abbinare protocolli specifici e specifici indirizzi di destinazione.
Quindi se masterizzi una lista di accesso in entrata eo potresti dire di negare a questo host 10 1 1 1 l'accesso a questo
host 10 1 a 1.
Ma permettete a questo host di accedere a qualsiasi altra parte della rete e quindi otterrete ciò che avete
deciso di fare.
E questo esempio sarebbe molto più efficiente rispetto all'esempio precedente perché in questo
punto si negherebbe il traffico piuttosto che l'instradamento lungo tutta la rete o solo per essere rilasciato.
Così hai esteso gli elenchi di accesso IP sono molto più flessibili e molto più efficienti e quindi tendono ad essere
utilizzati di più nel mondo reale.