Spójrzmy więc na inny przykład w tym przykładzie, który chcemy promować hosta 10 1 1 1 2 7 10 1 2
1.
Tak więc ten host powinien mieć dostęp do serwera, który chcemy zablokować wszystkim, którzy wysyłają ruch do
tego serwera.
Ale chcemy również zezwolić na ruch na wszystkie inne serwery.
Więc każdy powinien mieć możliwość połączenia się ze wszystkimi serwerami.
Tak więc pierwszą decyzją jest, gdzie mamy zamiar powiązać tę Listę Kontroli Dostępu i w jakim kierunku.
Więc możemy to zrobić.
Jeśli SERA SERA jest w związku lub możemy związać go na 0 1 wychodzimy z problemem, próbując powiązać listę
dostępu, jeśli poważnie Zerah jest to, że nie możemy określić adresów docelowych ze standardową listą dostępu IP.
Możesz podać tylko adresy źródłowe, więc nie będziesz w stanie zaimplementować oświadczenia, które mówi, że
odmawiasz wszystkim innym określonego serwera, ale zezwalają na ruch na wszystkich innych serwerach, ponieważ w przeciwnym razie odmówisz,
a następne oświadczenie zostanie wysłane zezwolić na jakiekolwiek, które nie będą działać, ponieważ pozwolenie któregokolwiek z nich
nigdy nie będzie użyte.
Więc zamierzamy to powiązać z tym interfejsem wychodzącym.
Jeśli Sirus Lesch jeden jest to zgodne z najlepszymi praktykami, które mówią, że powinieneś związać stentowane listy dostępu IP
jak najbliżej miejsca docelowego, jak to możliwe.
Wyjaśnię więcej o tym za chwilę.
Tak więc na naszym routerze możemy skonfigurować te listy kontroli dostępu, przechodząc do trybu konfiguracji
globalnej i na szczycie listy X-ists.
Wybierzmy trzy palmetę 10, ale jedną 1. 1.
A potem moglibyśmy przejść do interfejsu, jeśli 0 1 jeden temat na grupie dostępu IP trzecią.
Tak więc ponownie mogłem wykonać listy dostępu do programu Cmon,
które pokazują mi prosty dostęp, który właśnie utworzyłem.
Połów tutaj polegał na zapamiętaniu sposobu wiązania listy dostępu i pamiętania, że nie trzeba
odrzucić żadnego na końcu, ponieważ istnieje niejawna odmowa w instrukcji Access.
Mam na myśli wyjaśnienie, co oznacza ten numer 10 za chwilę.
W tym przykładzie chcesz zezwolić na podsieć 10 1 1 0, a następnie odmówić wszystkim innym.
Ponownie połączymy listę kontroli dostępu przychodzącą po awarii.
Z poważaniem.
Aby uczynić listę dostępu tak wydajną, jak to tylko możliwe, po raz kolejny nie chcemy, aby
Rodda musiał przetwarzać pakiety wewnętrznie, tylko po to, aby je upuścić na zewnętrznym interfejsie wychodzącym.
Więc przywiążemy Listę Kontroli Dostępu przychodzącą, tak aby Narada wchodził w tryb konfiguracji globalnej Temat Jestem na liście dostępu iw
tym przypadku wybierz numer 4, a my pozwolimy w tym przypadku na konkretną podsieć tak wrażliwą, zastanawiającą
się 1. 0.
A następnie musimy umieścić w dzikim Meczet Jazeerah w podwójnym dopasowaniu środków.
Tak więc pierwszy oktet 10 pasujący do drugiego Optika musi pasować do tego oktetu, który trzeba dopasować w ostatnim oktecie,
może być równy cokolwiek.
Istnieje domniemana odmowa.
Nie musimy więc określać niczego innego.
Jednak jeśli chcesz zarejestrować informacje, możesz wykonać następujące czynności.
Lista dla denie i zauważyłem opcję.
Zauważ, że ten dziennik opcji pozwala nam rejestrować informacje, aby pomóc dziennika serwera dziennika lokalnie na routerze,
abyśmy mogli zobaczyć, które pakiety zostały odrzucone.
Jeśli chodzi o rejestrowanie, najlepiej jest nie logować się lokalnie na routerze, ale przesyłać go na serwer,
jak na serwer dziennika.
Powodem tego jest to, że Rodda ma ograniczoną przestrzeń do przechowywania komunikatów dziennika, podczas gdy jeśli przechowujesz to
na serwerze dziennika, możesz przechowywać ogromne ilości danych ze względu na rozmiar dysków twardych w tych dniach.
Dlatego warto wycofać informacje rejestrowania na zewnętrzny serwer.
Ostatnim krokiem w tym przykładzie jest przejście do zera 0 i pojawienie się tematu w grupie Ickey X-ists dla an.
Jeszcze raz mogę zrobić come na
liście dostępu, gdybym tylko chciał zobaczyć tę konkretną listę X-istów, ale numer na liście dostępu, aby zobaczyć pierwszy wiersz, mówiąc:
pozwolenie 10 1 1 0 z zakładami typu wild card 0 0 0 2 4 5.
Druga linia mówi o odmawianiu i blokowaniu informacji o zakładach.
Poważnie ceara.
Pokazałeś mi, do czego służy lista dostępu przychodzącego.
Więc mamy powiązaną listę X-es dla przychodzącego na flushie Ethana to slash 0.
W tym przykładzie interfejs jest wyłączony.
Nie przejmuję się tym, ponieważ pokazuję ci tylko składnię list dostępu, zamiast
sprawdzać twój przykład pracy.
Uważaj, dodając wyraźne denie, tak jak to zrobiłem w tym przykładzie.
Musisz przeczytać między liniami w pytaniach i upewnić się, że jesteś wyraźnie poproszony o
odrzucenie ruchu, jeśli nie zostaniesz poproszony, nie dodawaj linii odrzucającej, ponieważ może to być testowanie, aby upewnić się, że
wiesz o domniemanym odmowie.
Na końcu każdej listy dostępu.
Inny przykład w tym przypadku chcemy zezwolić na 10 1 1 1 2 telnet na router, a następnie chcemy odmówić
każdemu, kto powiadomi go o routerze i zezwolić na ruch w dowolnym miejscu.
Teraz jeszcze raz musisz uważnie przeczytać między wierszami.
W tym przykładzie konfigurujemy standardową listę kontroli dostępu.
Tak więc jedynym sposobem, aby to zrobić, jest powiązanie standardowej listy kontroli dostępu w Vietti Wilens, pamiętaj,
że to IPX Ta lista nie może określić adresu protokołu lub miejsca docelowego.
Jeśli więc przykładowa prośba o podanie standardowej listy dostępu IP do odmowy
zezwala na telnet, to wiesz, że musisz powiązać tę listę dostępu z liniami Viti y, patrz jako przykład,
który powiem Aracie, w tym przypadku adres jest 10 0 0 2 FoxxHole, ale w mojej nazwie użytkownika umieszczając
moje hasło na szczycie linii produkcyjnej przychodzącej pokaż mi, co jest skonfigurowane na liniach tego routera.
Jak widzisz, nie ma list dostępowych na dzikich terenach Viti w Shradha, więc mogę zrobić
co następuje.
Lista dostępu.
Po prostu wybierz numer 10 Palmet i zauważ, że adres IP to 10 1 1 1.
Nikomu innemu nie wolno telnetować się do Roddy, więc zatwierdź 10 1 1 1.
A następnie mogę przejść do linii między Solangi 2 0 0 0 dla Anani, aby korzystać z powszechnego dostępu Clauss,
zamiast grupy dostępu zauważyć, że możesz określić standardową listę dostępu lub rozszerzone listy dostępu IP na
początku Ioway mówi.
Możesz wybrać standard tylko na listach dostępu, ale w tych dniach możesz używać obu.
W rozszerzonej liście ACL.
Więc wybieram 10.
Zauważ, że mogę spasować do przychodzących połączeń telnetowych lub wychodzących połączeń telnetowych.
Więc powiem, że
spróbuję ponownie telnetować się do Roddy.
Telenet 10 0 0 2 5 4.
Zauważ, że połączenie telnetu nie otwiera się, ponieważ odmawiamy telnetu do urządzenia Rodda tylko po to, aby
udowodnić ci to, jeśli usunę ten dostęp do Claussa, a następnie ponownie go zainstaluję. Zawiadomienie o tym, że jestem w stanie
telnetować, i mogę z powodzeniem zalogować się. połączyć, ale ta lista dostępu z powrotem.
Tron telnet i zauważyłem, że telnet jest odmowy.
Więc nie zapomnij o listach dostępu, które można znaleźć na szerokich liniach Viti, aby zezwolić lub odmówić dostępu
do routera przez telnet lub S-sh.
Po raz kolejny pokazuję sekcję run pipe, a linia pokazuje mi, że mam klauzulę Access 10 w linii Viti y, więc nie mogę telnetować
się z mojego komputera, aby rzucić okiem na adres IP mojego komputera.
Jak zobaczysz tutaj, adres IP to 10 0 0 0 1, więc na trasie do mojego tematu nie mam dostępu.
10.
Ostrożnie z tym.
No chodź.
To nie tylko usuwa linię z listy dostępu, usuwa całą listę dostępu,
zatrzymując polecenie, czy lista dostępu 10 wykryje, że ta lista dostępu nie istnieje.
Więc właśnie usunąłem całkowicie listę dostępu, ale mogłem z nimi porozmawiać na liście dostępu 10, pozwalając 10 0
0 1, a następnie przejść do mojej linii.
Bt dlaczego.
Tylko upewnij się, że został znaleziony.
Tak więc dostęp do Clauss 10 w Knopf próbuje Telnet zauważył, że telnet się powiódł.
Mogę powiedzieć to
Roddzie, że teraz jest Vianney, komenda pokazuje listę Access. Zobaczysz, że są dwa
mecze na seksistowskiej liście, ale powiedz mi, że znowu pokazuję.
Zauważ, że mecze się zwiększają.
Czy nadal mogę powiedzieć to po prawej stronie, jeśli usunę tę listę dostępu, więc będę musiał wejść na
listę dostępu.
10 Wykonaj polecenie pokaż.
I jak widać lista dostępu została usunięta.
Odłączę informację o tym problemie i pokażę, czy mogę to powtórzyć.
I jak widzisz mogę przejść w nadmiarze, aby pokazać linię odcinka typu uruchomionego, pokazuje mi, że lista dostępu
jest nadal związana i jest to duże zmartwienie.
Dotyczy to również dostępu Lisburn do interfejsów.
Możesz powiązać nieistniejącą listę dostępu w interfejsie.
Jest to bardzo niebezpieczne, ponieważ jeśli ktoś później uzna, że lista dostępu i niechcący
skonfiguruje ją do czegoś innego, lista dostępu natychmiast stałaby się aktywna, a
ruch zostałby odrzucony lub nieoczekiwanie dozwolony, jak na nowej liście dostępu.
Powiedzmy, że zezwoliliśmy Tenetowi na jedno lub dwa na jeden argument, tak jak teraz, nagle, informując
go o zawiadomieniu Roddy, że sesja telnetu jest zabroniona.
Zachowaj ostrożność, tworząc listy dostępu, a następnie je powiąż.
Jeśli je usuniesz, usuń je z powiązań.
Innymi słowy usuń je z białych linii Viti lub z interfejsów.
Nie zezwalaj na dołączanie nieistniejących list dostępu do interfejsów i nie zezwalaj na to, aby listy dostępu
istniały w konfiguracji, która i tak nie jest związana.
Przypominamy o uwagach, które pozwalają nam dodawać opisy do list kontroli dostępu, dzięki
czemu łatwiej zrozumieć proem z dostępem, ponieważ mogą się dość skomplikować.
Jeśli masz listę ACL z 10 lub 20 liniami, ostatnią rzeczą, którą chcesz zrobić, jest rozszyfrowanie, co ma
robić lista dostępu.
Dodanie uwag może sprawić, że łatwiej będzie je zrozumieć i zrozumieć.
Przekroczenie listy dostępu do programu na Misrata pokazuje mi listy dostępu skonfigurowane w tej chwili.
Widać, że istnieją listy dostępu z różnymi liniami, ale same w sobie nie mają większego znaczenia niż robienie
tego.
Stwórzmy listę dostępu, to jest lista 5 zatwierdzenia, na przykład 10 1 2 do 1.
Ale teraz możesz powiedzieć, że jest to lista 5 Ramshaw, a teraz możesz umieścić w uwadze do 100 znaków, więc coś w
stylu.
Zaakceptuj dostęp szefowi do serwera wymiany lub cokolwiek zdecydujesz teraz, gdy lista C -mon show X-ists nie wyświetla
tej uwagi, ale nie tak, jak ja.
Daj poprowadzić pokaz.
Lista dostępu do programu Inkley.
Zauważ, że uwaga jest wyświetlana na liście dostępu, co znacznie ułatwia obserwowanie tego, co się dzieje.
Mógłbym stworzyć kolejną linię w tym obiekcie dostępowym, aby uzyskać dostęp do 5 powtórzeń, a następnie
mógłbym stworzyć kolejną próbkę podobną
do tej.
I nie będąc tym samym włączaj się ponownie pokaż listę
instalacji Lista dostępu CLEET pozwala mi zobaczyć każdą linię na liście dostępu i odpowiednią uwagę.
Dzięki temu łatwiej zrozumieć, co dzieje się z niektórymi wytycznymi dotyczącymi list dostępu.
Po pierwsze, górna część listy dostępu wskazuje, co można zarzucić.
Innymi słowy, standardowa lista dostępu może być dostępna tylko w źródłowych adresach IP lub sieciach oraz rozszerzona kontrola listy dostępu
IP do adresów źródłowych i docelowych adresów źródłowych i docelowych portów oraz różnych innych
opcji związanych z protokołami IP, więc rozszerzone listy dostępu są zwykle o wiele bardziej potężny.
Kolejność przetwarzania ma również wielkie znaczenie.
Najpierw powinieneś umieścić bardziej szczegółowe stwierdzenia.
Jeśli twoje pierwsze zeznanie były dozwolone, a twoje drugie oświadczenie zostało odrzucone przez gospodarza 10:01, jedno drugie stwierdzenie odmowy
byłoby nieistotne z powodu twojego pierwszego stwierdzenia mówiącego, że pozwolisz na jakiekolwiek.
Pamiętaj, że kontrola dostępu wymienia proces od góry do dołu.
Jeśli w linii występuje dopasowanie, wszystkie kolejne linie są ignorowane.
Dlatego pozwolę, aby każdy był dopasowany, a cały ruch, w tym ruch z hosta 10:01, byłby
dozwolony, a drugi wiersz odmawiający hosta 10 jeden na jeden byłby ignorowany.
Nie zapominaj, że istnieje domniemana odmowa wszystkich na końcu każdej listy Kontroli Dostępu, chyba
że wyraźnie zezwolisz na coś, czego odmówi.
Tylko jedna lista dostępu może być powiązana z jej interfejsem według kierunku na protokół.
Innymi słowy, ACL w wersji IP 4 może być powiązana z lub na podstawie interfejsu.
Nie możesz mieć do Activision dostępu do list przychodzących przychodzących na tym samym interfejsie, który możesz mieć
jeden i drugi.
Jak już wykazałem, jeśli spróbujesz połączyć dwie listy dostępu IP przychodzące w tym samym interfejsie, drugi
po prostu zastąpi pierwszy.
Więc gdzie powinieneś umieścić swoje listy dostępu.
Teraz najlepszą praktyką z Cisco jest umieszczenie stentu ACL tak blisko miejsca docelowego, jak to tylko możliwe, a
to dlatego, że nie można dopasować konkretnych protokołów.
Teraz w rzeczywistym świecie większość implementacji ACL będzie korzystać z rozszerzonych list dostępu IP, ponieważ można filtrować
na podstawie zarówno źródłowego, jak i docelowego adresu IP, a także portów źródłowego i docelowego
i tak dalej.
Natomiast w przypadku list kontroli dostępu stentów IP można polegać tylko na adresie źródłowym.
Tak więc w tym przykładzie, jeśli nie chcesz, aby 10 1 na 1 łączyło się z tym serwerem 10 1 do 1,
możesz powiązać standardową listę dostępu IP przychodzącą i / lub jedną lub wychodzącą i / lub jedną lub przychodzącą i / lub
dwiema lub wychodzącymi. .
Jeśli zdecydujesz się powiązać listę dostępu odmawiając temu przychodzeniu hosta i / lub odmówisz dostępu nie tylko do serwera 10
1 1 1, ale odmówisz dostępu hosta do wszystkich innych części sieci, ponieważ nie będzie ona mogła
określić miejsca docelowego, ale tylko źródło, jeśli powiązałeś listę dostępu w Bonanie lub jeden blokujący
host 10 1 1 1.
Odmówiłbyś dostępu hosta do wszystkich części sieci, więc nie byłoby to dobre miejsce na wiązanie tej
listy dostępu.
Jeśli zbombardujesz listę dostępu wychodzącą i / lub jednego hosta z napisem denie 10 jeden na jeden, host będzie miał
dostęp do tego hosta.
Po raz kolejny 10:01 jeden miałby odmówić dostępu do tej sieci.
Ta sieć, jak również ta sieć, ponieważ po raz kolejny można tylko odmówić na adres źródłowy ze
standardową listą dostępu IP, nie znajdującą się w miejscu docelowym, będą numery portów.
Jeśli zdecydujesz się powiązać listę dostępu przychodzących i lub do hosta 10:01, jeden będzie miał dostęp do tej
sieci, jak również do tej sieci, ale nie będzie miał dostępu do tej sieci lub tej sieci, więc nie
będzie działał albo .
I na koniec, jeśli zdecydujesz się powiązać wychodzące listy dostępu w rt, co byłoby optymalnym miejscem
do opublikowania listy X-ists, ponieważ odmówiłbyś dostępu do serwera hostowi 10 1 1 1, którego nie odmawiałbyś dostępu
do hosta do jakiejkolwiek innej części sieci i że wykonasz to, co
masz zamiar zrobić.
Jednak w przypadku rozszerzonych list dostępu do IP zaleceniem jest umieszczenie listy dostępu tak blisko źródła,
jak to możliwe.
Powodem tego jest to, że możesz dopasować określone protokoły i konkretne adresy docelowe.
Jeśli więc wypalisz listę dostępu przychodzącą i / lub możesz odmówić temu gospodarzowi 10 1 1 1 dostęp do tego hosta
od 10 1 do 1.
Ale pozwól temu hostowi uzyskać dostęp do jakiejkolwiek innej części sieci, a zatem wykonasz to, co masz
zamiar zrobić.
I ten przykład byłby o wiele bardziej wydajny niż poprzedni przykład, ponieważ w
tym momencie odmawiałbyś ruchu, zamiast routować go przez całą sieć do lub po prostu, aby zostać usuniętym.
Rozszerzone listy dostępu IP są o wiele bardziej elastyczne i wydajniejsze, dzięki czemu są bardziej
wykorzystywane w świecie rzeczywistym.