Então vamos dar uma olhada em outro exemplo neste exemplo que queremos promover o host 10 1 1 1 2 7 10 1
2 1.
Portanto, esse host deve ser permitido para o servidor que queremos negar que todos estão enviando tráfego para
esse servidor.
Mas também queremos permitir o tráfego para todos os outros servidores.
Portanto, qualquer pessoa deve poder se conectar a todos os servidores.
Então, a primeira decisão é onde vamos ligar esta Lista de Controle de Acesso e em qual direção.
Então nós poderíamos.
Se sera sera in-bound ou podemos ligá-lo no 0 1 de saída, o problema de tentar vincular a lista
de acesso a Zerah é que não podemos especificar endereços de destino com uma lista de acesso IP padrão.
Você só pode especificar endereços de origem para que não seja possível implementar a declaração que
diz negar a todos os outros para um servidor específico, mas permitir tráfego para todos os outros servidores, porque
senão você negará qualquer e a próxima instrução será enviada ser permitido qualquer um que não funcione porque
a permissão nunca será usada.
Então, o que vamos fazer é ligá-lo a essa interface de saída.
Se for o caso de Sirus Lesch, isso também segue as práticas recomendadas, que dizem que você deve vincular as listas de acesso
IP com stents o mais próximo possível do destino.
Eu explicarei mais sobre isso em um momento.
Portanto, em nosso roteador, poderíamos configurar essas listas de controle de acesso entrando no modo de configuração
global e preenchendo a lista de X-ists.
Vamos escolher o número três Palmet 10, mas um que 1. 1
E então poderíamos ir para a interface se 0 1 um tópico no grupo de acesso IP de três para fora.
Então mais uma vez eu pude fazer o C'mon mostrar listas de
acesso que apenas me mostram aquele acesso simples que acabei de criar.
O problema aqui foi lembrar uma maneira de ligar a lista de acesso e lembrar que você não
precisa negar nenhuma no final porque há uma negação implícita em uma instrução do Access.
Quero dizer explicar o que esse número 10 significa em um momento.
Neste exemplo, você deseja permitir a sub-rede 10 1 1 0 e, em seguida, negar todos os outros.
Mais uma vez nós ligaríamos a entrada da lista de controle de acesso no fust.
Ethan é sério.
De modo a tornar a lista de acesso tão eficiente quanto possível, mais uma vez não queremos que a
Rodda tenha que processar pacotes internamente apenas para que eles sejam soltos em uma interface de saída externa.
Então vamos ligar a Lista de Controle de Acesso de entrada, assim no Narada entrando no tópico do modo de
configuração global Estou na lista de acesso e, nesse caso, escolhamos o número 4 e permitiremos neste caso
uma sub-rede específica. 0
E então precisamos colocar a mesquita curinga Jazeerah em correspondência de meios binários.
Assim, o primeiro octeto 10 corresponde ao segundo Optik e deve coincidir com o octeto que um deve igualar no último octeto
pode ser igual a qualquer coisa.
Há uma negação implícita.
Portanto, não precisamos especificar mais nada.
No entanto, se você quiser registrar informações, poderá fazer o seguinte.
Lista de denie e notei a opção.
Qualquer aviso este log de opção que nos permita registrar informações para auxiliar o log do servidor de log localmente no
roteador para que possamos ver quais pacotes foram negados.
Quando se trata de registrar, é uma boa prática não registrar em log localmente no roteador, mas enviá-lo para um
servidor como um servidor de log.
A razão para isso é que o Rodda tem espaço limitado para armazenar mensagens de log, enquanto que, se você armazenar
isso em um servidor de log, poderá armazenar grandes quantidades de dados por causa do tamanho dos discos rígidos atualmente.
Portanto, faz sentido retornar as informações de log para um servidor externo.
A última etapa neste exemplo é ir interface 0 zero e o tópico vem no grupo Ickey X-ists para um.
Mais uma vez eu posso fazer o vir
na lista de acesso se eu apenas quisesse ver aquela lista X-ists específica mas um número na lista de acesso para você pode ver
a primeira linha dizendo permissão 10 1 1 0 com apostas wild card 0 0 0 2 4 5.
E a segunda linha está dizendo negar qualquer e travar informações de apostas show p interface.
Sério ceara.
Você me mostrou que a lista de acesso de entrada é para.
Então nós limitamos a lista de X-ists para entrada no Ethan.
Agora, neste exemplo, a interface está desligada.
Eu não estou muito preocupado porque estou apenas mostrando a sintaxe das listas de acesso, em vez
de verificar o exemplo de trabalho.
Tenha cuidado ao adicionar um denie explícito, como fiz neste exemplo.
Você precisa ler nas entrelinhas das perguntas e certificar-se de que seja explicitamente solicitado a negar
tráfego, caso não seja solicitado, não adicione a linha negar, pois elas podem estar testando você para ter certeza de que você
sabe sobre a negação implícita.
No final de cada lista de acessos.
Outro exemplo, neste caso, queremos permitir 10 1 1 1 2 telnet para o roteador e, em seguida, você quer negar
todos os outros dizendo para o roteador e permitir o tráfego em qualquer outro lugar.
Agora, mais uma vez, você precisa ler cuidadosamente as linhas.
Neste exemplo, estamos configurando uma lista padrão de controle de acesso.
Então, a única maneira de fazer isso é ligar a lista de controle de acesso padrão no Vietti Wilens,
então lembre-se do IPX. Essa lista não pode determinar endereços de protocolo ou de destino.
Então, se o exemplo está pedindo uma lista de acesso IP padrão para negar vai permitir telnet, então
você sabe que você tem que ligar essa lista de acesso nas linhas Viti e ver como um exemplo que eu vou dizer
para Arata neste caso, o endereço é 10 0 0 2 FoxxHole mas no meu nome de usuário colocando minha senha no topo da
linha de seção de tempo de execução show show vai me mostrar o que está configurado nas linhas deste roteador.
Como você pode ver aqui não há listas de acesso nas terras selvagens de Viti do Shradha Então eu posso
fazer o seguinte.
Lista de acesso.
Vamos apenas escolher um número como 10 Palmet e observe que o endereço IP é 10 1 1 1.
Ninguém mais tem permissão para fazer telnet para o Rodda, então cometer 10 1 1 1.
E então eu posso ir para a linha entre Solangi 2 0 0 0 para Anani para usar o acesso comum Clauss em vez
de grupo de acesso observou que você pode especificar o padrão da lista de acesso ou listas de acesso IP estendidas
no início Ioway diz.
Você só pode escolher o padrão nas listas de acesso, mas atualmente você pode usar os dois.
Em um ACL estendido.
Então eu vou escolher 10.
E note que posso dobrar para conexões telnet de entrada ou conexões de telnet de saída.
Então eu vou especificar em um
eu vou tentar e telnet para o Rodda novamente.
Então Telenet 10 0 0 2 5 4.
E observe que a conexão telnet não abre porque estamos negando telnet para a Rodda apenas para provar
que para você se eu remover este acesso Clauss e, em seguida, colocá-lo novamente aviso prévio eu sou capaz de telnet
e posso efetuar o login é apenas conectar, mas essa lista de acesso de volta.
Tron telnet e notei que o telnet é negado.
Então, por favor, não se esqueça de listas de acesso que podem ser encontradas em linhas largas Viti para permitir ou
negar telnet ou acesso S-sh a um roteador.
Mais uma vez, mostre a seção de tubo de corrida e uma linha mostra que eu tenho a cláusula de acesso 10 na linha Viti, então não
consigo fazer telnet do meu PC para ver o endereço IP do meu PC.
Como você verá aqui, o endereço IP é 10 0 0 0 1, portanto, na rota para o meu tópico, eu não estou na lista de acesso.
Tenha cuidado com isso.
Vamos lá.
Ele não apenas remove uma linha na lista de acesso, mas elimina toda a lista de acesso,
parando o comando show show access list 10, que irá esquematizar que essa lista de acesso não existe.
Então eu acabei de deletar a lista de acesso por completo, mas eu poderia falar com eles na lista de acesso 10 permitir
10 0 0 1 e depois ir para a minha linha.
Por quê?
Apenas certifique-se de que é encontrado.
Então, o acesso Clauss 10 no Knopf está tentando telnet notou que o telnet é bem sucedido.
Então, eu sou capaz
de dizer isso para o Rodda agora é Vianney o comando mostra lista de acesso, você pode
ver que há duas partidas na lista sexista, mas diga-me novamente mostrar vamos lá.
Observe as correspondências estão aumentando.
Ainda posso dizer à direita se eu excluir essa lista de acesso, por isso vou ter que entrar na
lista de acesso.
10 Faça o comando show.
E como você pode ver a lista de acesso foi removida.
Vou desconectar o fato de dizer o problema e deixar ver se posso dizer novamente.
E como você pode ver, eu posso ir em excesso para mostrar a linha de seção do tipo de execução que me mostra que a
lista de acesso ainda está vinculada e essa é uma grande pegadinha.
Isso também se aplica ao acesso de Lisburn nas interfaces.
Você pode ligar uma lista de acesso inexistente em uma interface.
É muito perigoso porque se alguém mais tarde creditar a lista de acesso e digamos
inadvertidamente configurá-la para outra coisa, essa lista de acesso ficará imediatamente ativa e o
tráfego será negado ou permitido inesperadamente, conforme a nova lista de acesso.
Então, digamos que permitimos a Tenet um ou dois para um argumento, como agora, de repente,
informando ao Rodda que a sessão do telnet é negada.
Tenha muito cuidado com suas listas de acesso, crie-as e vincule-as.
Se você os excluir, remova-os das ligações.
Em outras palavras, remova-as das linhas brancas de Viti ou das interfaces.
Não permita que listas de acesso inexistentes sejam vinculadas a interfaces e não permita que listas de acesso existam
em uma configuração que não seja ligada de qualquer maneira.
Apenas um lembrete novamente sobre os comentários nos permite adicionar descrições para acessar as listas de controle,
para que elas sejam mais fáceis de entender, com menos acesso, pois elas podem ser bastante complicadas.
Se você tem uma ACL de 10 ou 20 linhas, a última coisa que você quer fazer é decifrar o que a
lista de acesso deve fazer.
Portanto, adicionar comentários pode facilitar muito a compreensão e o acompanhamento.
No topo da lista de acessos show on Misrata, mostro-me as listas de acesso configuradas no momento.
Você pode ver que há listas de acesso com várias linhas, mas elas não significam muito além de
fazer isso.
Vamos criar uma lista de acessos que é a lista de acessos 5 commit por exemplo 10 1 2 a 1.
Mas agora o que você pode fazer é dizer que é a lista 5 Ramshaw e agora você pode colocar um comentário de até 100 caracteres para
algo assim.
Comprometa-se
a encontrar o chefe de acesso ao servidor de câmbio ou o que você decidir agora no topo da lista C'mon show X-ists não mostra essa observação,
mas
não como se eu o fizesse.
Vamos show, corra.
Lista de acessos do Inkley.
Observe que a observação é exibida na lista de acesso, o que torna muito mais fácil ver o que está acontecendo.
Eu poderia criar outra linha nesse recurso de acesso para acessar 5 remet e, em seguida,
eu poderia criar um outro
simulado algo como isto.
E não sendo a mesma coisa, volte a mostrar o canal de execução
CLEET lista de acesso permite-me ver cada linha na lista de acesso e sua observação relevante.
Assim, é muito mais fácil entender o que está acontecendo em algumas diretrizes relacionadas a listas de acesso.
Em primeiro lugar, o topo da lista de acesso indica o que pode ser defeituoso.
Em outras palavras, uma lista de acesso padrão pode apenas em Endereços IP ou redes de origem e controle de lista de acesso
IP estendido aos números de porta de origem e de destino dos endereços de origem e destino e
várias outras opções relacionadas aos protocolos IP, portanto, as listas de acesso estendidas tendem a ser muito mais poderoso.
A ordem de processamento também é de grande importância.
Você deve colocar suas declarações mais específicas primeiro.
Se sua primeira declaração fosse permitida, e sua segunda declaração fosse negar host 10:01, uma segunda declaração de
negação seria irrelevante por causa de sua primeira declaração dizendo permitir qualquer.
Lembre-se de que o controle de acesso lista um processo de cima para baixo.
Se houver uma correspondência em uma linha, todas as linhas subseqüentes serão ignoradas.
Então, eu permito que qualquer um seja correspondido e todo o tráfego incluindo o tráfego do host 10:01 um deles
seja permitido e a segunda linha negando o host 10 um a um seria ignorada.
Não se esqueça de que há uma negação implícita no final de todas as listas de controle de acesso,
a menos que você permita explicitamente algo que será negado.
Apenas uma lista de acesso pode ser vinculada a sua interface por direção por protocolo.
Em outras palavras, uma ACL da versão 4 do IP pode ser ligada ou desligada por interface.
Você não pode ter que Activision para entrada de listas de acesso na mesma interface que você pode ter
uma entrada e saída.
Como já demonstrei, se você tentar vincular duas listas de acesso IP à entrada na mesma interface,
a segunda substituirá a primeira.
Então, onde você deve colocar suas listas de acesso.
Agora, a melhor prática da Cisco é colocar o ACL com stents o mais próximo possível do destino e a razão
para isso é que você não pode corresponder a protocolos específicos.
Agora, no mundo real, a maioria das implementações de ACL usará listas de acesso IP estendidas, pois você pode filtrar
com base no endereço IP de origem e de destino, bem como nas portas de origem e de destino
e assim por diante.
Considerando que, com listas de controle de acesso stented IP, você só pode cair com base no endereço de origem.
Portanto, neste exemplo, se você não quisesse 10 1 em 1 para se conectar a este servidor 10 1 para 1, você poderia vincular uma
lista de acesso IP padrão de entrada e / ou uma ou de saída e ou uma ou de entrada e ou duas ou de
saída de uma arte .
Se você decidiu ligar uma lista de acesso negando a entrada deste host e ou um que negaria apenas 10 1 1 1
acesso ao servidor, mas também negaria o acesso do host a todas as outras partes da rede, pois ela não
pode especificar um destino, mas somente uma fonte se você vinculou uma lista de acesso no Bonan ou um
host de negação 10 1 1 1.
Você negaria o acesso do host a todas as partes da rede, portanto, esse não seria um bom lugar para ligar
essa lista de acesso.
Se você bombardear a saída da lista de acesso e / ou um host denie dizendo que um em um, o host
terá permissão para acessar este host.
Mais uma vez, às 10:01, ninguém teria acesso a esta rede.
Esta rede, bem como esta rede, porque mais uma vez você só pode negar no endereço de
origem com uma lista de acesso IP padrão não no destino números de porta.
Se você decidisse ligar a lista de acesso de entrada e / ou para o host 10:01, um deles teria
acesso a esta rede assim como a esta rede, mas não teria acesso a esta rede ou a esta rede para
que não funcionasse também .
E, finalmente, se você decidiu ligar a lista de acesso de saída em rt que seria o melhor lugar para
postar a lista de X-ists, porque você estaria negando acesso 10 1 1 1 host para o servidor que você não estaria negando
que o acesso ao host para qualquer outra parte da rede e que você realizaria o
que se propôs a fazer.
No entanto, com as listas de acesso IP estendidas, a recomendação é colocar a lista de acesso o
mais próximo possível da fonte.
A razão para isso é que você pode combinar protocolos específicos e endereços de destino específicos.
Então, se você queimar uma lista de acesso de entrada e ou um que você poderia dizer negar este host 10 1 1 1 acesso a
este host 10 1 a 1.
Mas permita que este host acesse qualquer outra parte da rede e, assim, você realizará o que se
propõe a fazer.
E este exemplo seria muito mais eficiente do que o exemplo anterior, porque você estaria negando
o tráfego neste momento, em vez de rotear todo o caminho através da rede para ou apenas para ser descartado.
Assim, as listas de acesso IP estendidas são muito mais flexíveis e muito mais eficientes e, portanto, tendem a
ser usadas mais no mundo real.