Așadar, să aruncăm o privire la un alt exemplu din acest exemplu pe care dorim să-l promovăm pe gazdă 10 1 1 1 2 7 10 1 2
1.
Deci, această gazdă ar trebui să fie permisă serverului pe care dorim să ne-o nega că toată lumea trimite trafic pe
acel server.
Dar dorim, de asemenea, să permitem traficul să meargă la toate celelalte servere.
Deci, oricine ar trebui să se poată conecta la toate serverele.
Deci, prima decizie este din nou în cazul în care vom lega această lista de control acces și în ce direcție.
Așa că am reușit.
Dacă sera sera in-bound sau o putem lega la 0 1 din afară problema cu încercarea de a lega lista de acces
în cazul în care serios Zerah este că nu putem specifica adrese de destinație cu o listă standard de acces IP.
Puteți specifica numai adresele sursă, astfel încât să nu puteți implementa instrucțiunea care spune că
neagă oricine altcineva unui anumit server, dar permite traficul către toate celelalte servere, deoarece altfel veți spune să
negeți orice și declarația următoare pentru a permite oricăror lucruri care nu vor funcționa, deoarece autorizația nu
va fi niciodată utilizată.
Ceea ce vom face este că o să o legăm pe această interfață afară.
Dacă Sirus Lesch o urmează, de asemenea, cele mai bune practici care spun că ar trebui să legeți liste de
acces IP îngrijite cât mai aproape de destinație.
Voi explic mai multe despre asta într-un moment.
Deci, pe router-ul nostru am putea configura aceste liste de control accesând intrarea în modul de
configurare globală și completarea listei X-urilor.
Să alegem numărul trei Palmet 10 dar unul care 1. 1.
Și apoi am putea merge în interfață dacă 0 1 un subiect pe IP-ul de acces grup trei out.
Deci, încă o dată am putut face listele de acces pentru show-urile
C'mon, care mi-au arătat accesul simplu pe care tocmai l-am creat.
Captura aici a fost să vă amintiți o modalitate de a lega lista de acces și de a vă aminti că
nu aveți nevoie să refuzați niciunul la sfârșit, deoarece există o refuzare implicită într-o declarație de acces.
Adică explică ce înseamnă acest număr 10 într-un moment.
În acest exemplu, doriți să permiteți subrețea 10 1 1 0 și apoi să respingeți pe oricine altcineva.
Încă o dată, le-am obliga pe Lista de control al accesului să primească pe fust.
Ethan este serios.
Pentru a face ca lista de acces să fie cât mai eficientă posibil, noi din nou nu dorim
ca Rodda să proceseze pachetele interne doar pentru a le elimina pe o interfață externă externă.
Deci, vom lega Lista de control acces inbound asa ca Narada intră în modul de configurare globală subiect pe lista de
acces și în acest caz alege numărul 4 și vom permite, în acest caz, o subrețea specifică atât de licitată
întrebat 1. 0.
Și apoi trebuie să punem în moschee Jazeerah macheta cu machete în meciul binar.
Deci, primul octet 10 care se potrivește celui de-al doilea Optik trebuie să se potrivească acelui octet pe care trebuie să-l potriviți la ultimul
octet poate fi egal cu orice.
Există o negare implicită.
Deci nu trebuie să specificăm nimic altceva.
Cu toate acestea, dacă doriți să înregistrați informații, puteți face următoarele.
Faceți o listă pentru denie și ați observat opțiunea.
Orice observație a acestui jurnal de opțiuni care ne-ar permite să logăm informații pentru a ajuta log-ul serverului de jurnal local pe router,
astfel încât să vedem care pachete au fost respinse.
Când vine vorba de logare este cea mai bună practică să nu se înregistreze local pe router, ci să-l împingă la un
server ca un server de jurnal.
Motivul pentru aceasta este că Rodda are un spațiu limitat de stocare a mesajelor jurnal, iar dacă stocați pe
un server de jurnal puteți stoca cantități uriașe de date datorită dimensiunii hard disk-urilor din zilele noastre.
Deci, este logic să dezactivați informațiile de logare pe un server extern.
Ultimul pas în acest exemplu este de a merge interfața 0 zero și subiectul vine pe Ickey X-ists grup pentru un.
Încă o dată pot să vină în lista
de acces dacă aș vrea doar să văd o listă specifică de X-uri, dar un număr din lista de acces pentru care puteți vedea prima
linie care spune permis 10 1 1 0 cu pariuri cu carte de mână 0 0 0 2 4 5.
Iar al doilea rând spune că nega orice și că blochează informațiile de pariuri arată p interfață.
Serios ceara.
Mi-ai arătat că lista de acces este pentru.
Așadar, am legat lista X-uri pentru intrarea pe Ethan cu flossed.
Acum, acest exemplu interfața este închisă.
Nu mă prea preocupă pentru că vă arăt doar sintaxa listelor de acces, mai degrabă decât să
vă verific exemplul de lucru.
Fii atent cu adăugarea unei denie explicită, așa cum am făcut în acest exemplu.
Trebuie să citiți între liniile din întrebări și să vă asigurați că vi se cere în mod explicit
să refuzați traficul, dacă nu ați întrebat, nu adăugați linia, dați niciun motiv, deoarece acestea vă pot testa pentru a vă asigura că
știți despre negarea implicită.
La sfârșitul fiecărei liste de acces.
Un alt exemplu în acest caz vrem să permitem telnet la router și apoi doriți să negeți pe
ceilalți să le spună routerului și să permită traficul oriunde altundeva.
Acum, din nou, trebuie să citiți cu atenție între linii.
În acest exemplu, setăm o listă standard de control al accesului.
Deci, singura modalitate de a face acest lucru este de a lega lista standard de control al accesului pe Vietti
Wilens amintiți-vă atunci IPX Această listă nu poate determina adresele de protocol sau de destinație.
Deci, dacă exemplul solicită o listă standard de acces IP care să nege permite telnet atunci
știi că trebuie să legeți lista de acces pe liniile Viti y vezi ca un exemplu pe care am să-l spun lui Arata
în acest caz adresa este 10 0 0 2 FoxxHole dar în numele meu de utilizator care pune parola mea de topping veni pe
arată linia de rulare a secțiunii de timp mi se va arăta ce este configurat pe liniile de acest router.
După cum puteți vedea aici, nu există liste de acces pe zonele sălbatice Viti din Shradha. Deci, pot
face următoarele.
Lista de acces.
Să alegem doar un număr ca 10 Palmet și observați că adresa IP este 10 1 1 1.
Nimeni altcineva nu are voie sa trimita telnet la Rodda, asa ca comite 10 1 1 1.
Și apoi pot merge pe linia dintre Solangi 2 0 0 0 pentru Anani să folosească accesul comun Clauss, mai degrabă decât grupul
de acces a observat că puteți specifica fie standardul lista de acces sau liste de acces extins IP la
începutul Ioway spune.
Puteți alege numai standardul pe listele de acces, dar în aceste zile puteți utiliza ambele.
Într-un ACL extins.
Așa că am de gând să aleg 10.
Și observați că pot orienta la conexiunile de telnet sau la conexiunile telnet de ieșire.
Așa că voi specifica într-o
o să încerc și telnet la Rodda din nou.
Deci, Telenet 10 0 0 2 5 4.
Și observați că conexiunea telnet nu se deschide deoarece negăm telnet-ul Rodda doar pentru a vă dovedi
că dacă voi elimina acest acces Clauss și apoi o voi reintroduce din nou Notă Sunt capabil să telnet și
eu pot conecta cu succes este doar conectați această listă de acces din nou.
Tron telnet și a observat că telnet este refuzat.
Așadar, vă rugăm să nu uitați de listele de acces care pot fi găsite pe linii Viti pentru a permite sau refuza
accesul la telnet sau S-sh la un router.
Încă o dată, arată secțiunea conductei de rulare, o linie îmi arată că am clauza 10 de acces descendentă pe linia Viti y, așa că nu reușesc să fac telnet
de pe PC-ul meu pentru a arunca o privire la adresa IP a PC-ului meu.
După cum veți vedea aici, adresa IP este 10 0 0 0 1 așa că pe ruta la tema mea Nu sunt în lista de acces.
10.
Fii atent cu asta.
Hai.
Nu elimină doar o linie din lista de acces, ea șterge întreaga listă de acces
oprind comanda arată lista de acces 10 va schimba faptul că lista de acces nu există.
Deci tocmai am șters lista de acces în întregime, dar aș putea vorbi cu ei în lista de acces 10 permite 10
0 0 1 și apoi mergeți la linia mea.
Bt de ce.
Asigurați-vă că sa găsit.
Așa că accesați Clauss 10 în Knopf încercând telnet observat că telnetul are succes.
Deci pot să
spun că la Rodda acum este Vianney comanda face show Lista de accesare puteți vedea
că există două meciuri pe lista sexistă, dar spune-mi din nou arată-mi.
Observați că meciurile sunt în creștere.
Pot să-i spun încă în dreapta dacă șterg această listă de acces, așa că va trebui să vină în lista
de acces.
10 Faceți comanda de afișare.
Și după cum puteți vedea lista de acces a fost eliminată.
Voi deconecta să-mi spun că este o problemă și lasă-mă să văd dacă pot să-i spun din nou.
Și după cum puteți vedea eu pot merge în exces pentru a arăta rulați linia secțiunii de tip mi-a arătat că lista de
acces este încă legată și aceasta este o mare gotcha.
Acest lucru este valabil și pentru accesarea legăturii Lisburn pe interfețe.
Puteți lega o listă de acces inexistentă pe o interfață.
Este foarte periculos pentru că dacă cineva mai târziu a obținut credit, lista de acces și să presupunem că
a fost configurată din neatenție pentru altceva în care lista de acces ar deveni imediat activă, iar
traficul ar fi respins sau permis în mod neașteptat, conform noii liste de acces.
Deci, să spunem că am permis lui Tenet una sau două la una argumente ca acum, brusc,
spunându-i înapoi la Rodda observați că sesiunea telnet este refuzată.
Fiți foarte atenți cu listele dvs. de acces creați-le apoi legați-le.
Dacă le ștergeți, eliminați-le din legături.
Cu alte cuvinte, eliminați-le din linii albe Viti sau din interfețe.
Nu permiteți listelor de acces inexistente să fie legate de interfețe și nu permiteți listelor de acces doar
să existe într-o configurație care nu este legată oricum.
Doar un memento din nou cu privire la observațiile remarci ne permit să adăugăm descrieri la listele de control al accesului, astfel
încât să fie mai ușor de înțeles proem cu acces mai puțin, deoarece acestea pot deveni destul de complicate.
Dacă aveți un ACL cu 10 linii sau 20 linii, ultimul lucru pe care doriți să-l faceți este să descifrați ce intenționează
să facă lista de acces.
Așa că adăugarea remarcilor poate face mult mai ușor de urmărit și de înțeles.
Topping lista de acces pe lista de acces pe Misrata îmi arată listele de acces configurate în acest moment.
Puteți vedea că există liste de acces cu diverse linii, dar ele în sine nu înseamnă altceva decât să faci
asta.
Să creați o listă de acces este lista de acces 5 să o comită spunând, de exemplu, 10 1 2 la 1.
Dar acum puteți face ceea ce puteți spune este lista 5 Ramshaw și acum puteți pune o remarcă de până la 100 de caractere, deci ceva
de genul.
Angajați-vă
pentru a întâlni accesul sefului la serverul de schimb sau la ceea ce vă hotărâți în momentul de față, care arată că
această listă nu prezintă această remarcă, dar nu ca și cum aș face-o.
Arăți bine.
Listă de acces în lista de acces.
Observați că remarca este afișată în lista de acces, ceea ce face mult mai ușor pentru a vedea ce se întâmplă.
Aș putea crea o altă linie în acea facilitate de acces pentru a avea acces la 5 remeturi și apoi aș
putea să creez un altul ca
un astfel de joc.
Și nu este același lucru să apară din nou arată căi de alergare
Lista de acces CLEET îmi permite să văd fiecare linie din lista de acces și observația sa relevantă.
În felul acesta, este mult mai ușor de înțeles ce se întâmplă cu privire la anumite instrucțiuni privind listele de acces.
În primul rând, partea de sus a listei de acces indică ceea ce poate fi defectat.
Cu alte cuvinte, o listă de acces standard poate fi utilizată doar pentru adresele de sursă IP sau rețele și controlul listei de
acces extins la adresele de sursă și destinație ale numerelor de port sursă și destinație și diferite
alte opțiuni referitoare la protocoalele IP, astfel încât listele de acces extinsă tind să fie mult mai multe puternic.
Ordinea prelucrării este, de asemenea, de mare importanță.
Mai întâi trebuie să-ți faci mai multe declarații specifice.
Dacă prima afirmație a fost permisă, iar cea de-a doua afirmație a fost respingerea gazdei 10:01, una dintre cele două instrucțiuni
de negație ar fi irelevantă din cauza primei dvs. afirmații spunând permisiunea oricăror.
Amintiți-vă că listele de control al listei au un proces de sus în jos
Dacă există o potrivire pe o linie, toate liniile ulterioare sunt ignorate.
Așadar, permiteți ca oricare dintre acestea să se potrivească și tot traficul, inclusiv traficul de la gazda 10:01, să fie permis
unul, iar al doilea rând să nege gazda 10 una pe cealaltă ar fi ignorată.
Nu uitați că există o implicită negare a tuturor la sfârșitul fiecărei liste de control al accesului, cu excepția cazului în
care permiteți în mod explicit ceva ce va fi refuzat.
Numai o singură listă de acces poate fi legată de interfața acesteia pe fiecare direcție.
Cu alte cuvinte, o versiune IP ACL 4 poate fi legată fie în interiorul, fie în afara pe baza unei interfețe.
Nu trebuie să aveți la Activision liste de acces inbound pe aceeași interfață pe care le puteți avea unul
în și unul afară.
După cum am demonstrat deja dacă încercați să legeți două liste de acces IP care intră pe aceeași interfață, al
doilea va înlocui doar primul.
Deci, unde ar trebui să plasați listele de acces.
Acum, cea mai bună practică de la Cisco este de a plasa ACL-ul steniat este cât se poate de apropiat de destinație
și motivul pentru aceasta este că nu puteți potrivi protocoalele specifice.
Acum, în lumea reală, majoritatea implementărilor ACL vor utiliza liste de acces extins pentru IP deoarece pot fi filtrate atât
pe baza adresei IP sursă cât și a destinației, precum și a porturilor sursă și de destinație și
așa mai departe.
În timp ce cu liste de control al accesului cu IP stente puteți cădea numai în funcție de adresa sursă.
Deci, în acest exemplu, dacă nu v-ați dori 10 1 la 1 pentru a vă conecta la acest server 10 1 la 1,
puteți lega o listă de acces IP standardă fie una inbound, fie una sau o ieșire și una sau una inbound și
una sau două .
Dacă ați decis să legați o listă de acces prin interzicerea accesului la această gazdă și una care nu numai că ați
refuza accesul la server, ci și să refuzați accesul gazdei la toate celelalte părți ale rețelei deoarece nu poate
specifica o destinație doar o sursă dacă ați legat o listă de acces în Bonan sau o gazdă
de refuz 10 1 1 1.
Ați refuza accesul gazdei la toate părțile rețelei, astfel încât acest lucru nu ar fi un loc bun pentru a lega
lista de acces.
Dacă bombardați lista de acces în ieșire și unul sau mai multe gazde deni 10 pe unul, gazda va avea
acces la această gazdă.
Încă o dată 10:01 unuia i se refuză accesul la această rețea.
Această rețea, precum și această rețea, deoarece din nou, puteți numai să refuzați adresa de sursă cu
o listă standard de acces IP, nu pe destinație, vor fi numere de porturi.
Dacă ați decis să legați lista de acces inbound și / sau la gazda 10:01 unul ar avea acces
la această rețea, precum și această rețea, dar nu ar avea acces la această rețea sau această rețea, astfel încât nu
ar funcționa nici .
Și în cele din urmă, dacă ați decis să legeți lista de acces aflată pe rt, acesta ar
fi locul optim pentru a posta lista X-urilor deoarece ați refuza accesul la serverul pe care nu l-ați refuza accesul
gazdă la orice altă parte a rețelei și că veți realiza ceea ce ați
propus să faceți.
Cu toate acestea, cu liste de acces extins IP recomandarea este de a plasa lista de acces cât mai
aproape de sursă posibil.
Motivul pentru aceasta este că puteți potrivi protocoalele specifice și adresele specifice de destinație.
Deci, dacă arzi o listă de acces inbound și una sau ai putea spune neagă această gazdă 10 1 1 1 acces la această
gazdă 10 1 la 1.
Dar permiteți accesul acestei gazde la orice altă parte a rețelei și astfel veți realiza ceea ce ați
propus să faceți.
Și acest exemplu ar fi mult mai eficient decât exemplul anterior, deoarece ar fi refuzat
traficul în acest moment, mai degrabă decât să îl direcționați pe tot parcursul rețelei sau doar să fiți abandonat.
Deci, lărgimea listelor de acces la IP este mult mai flexibilă și mult mai eficientă și, prin urmare, tind să fie
utilizată mai mult în lumea reală.