access-list access-list-number {permit deny} {host source source-wildcard any}

Size: px

Start display at page:

Download "access-list access-list-number {permit deny} {host source source-wildcard any}"

Dayna Dalton
5 years ago
Views:

1 Cisco Access List در ترجمه لغوی به معنای لیست دسترسی سیسکو می باشد که زیاد هم از معنای واقعی خود دور نیست. همانطور که از اسم آن بر می آید به وسیله این ابزار میتوانیم بر روی سخت افزارهای سیسکو فایروال ایجاد کنیم. از آنجا که بحث فایروال بسیار گسترده است و تنها به یک list access منتهی نمیشود به این نوع فایروال filter packet گفته میشود. حتما خوانندگان عزیز سیسکو را شناخته و از کارایی آن خبر دارند. از آنجا که ورودی اینترنت 80 درصد شبکه هایی که ما با آنها کار می کنیم Cisco هست میتوانیم با بکار گیری list Access در آنها امنیت زیادی را برای خود به ارمغان بیاوریم. نا گفته نماند که مهمترین گزینه در filter Packet ها کانفیگ خوب آنهاست نه Brand یا مدل دستگاه. شما اگر با اصول Packet آن Syntax آموختن با تنها افزاری سخت یا عامل سیستم هر روی بر باشید داشته آشنایی Filtering میتوانید یک فایروال ایجاد کنید. من در اینجا به توضیح قواي د آن در سیسکو میپردازم. برای ایجاد list access شما نیاز به IOS های بالاتر از ورژن 8.3 دارید. دو مرحله برای ایجاد یک list access داریم. اول میبایست ACL مربوطه را نوشته و دوم آن را به یک اینترفیس اعمال کنیم. بدیهیست در صورت عدم اعمال ACL به یک اینترفیس ACL مذکور بلا استفاده می ماند. پر کاربردترین ACL ها list Access IP است. زیرا اکثر ترافیکها بر روی پروتکل IP انتقال می یابد. خود list access IP دو نوع است: Standardو Extended.کند کنترل تواند می SOURCE IP address اساس بر تنها Standard Extended حسب بر SOURCE and DESTINATION IP address و SOURCE and.کند ایجاد محدودیت تواند می DESTINATION Port معمولا برای نام گذاری list access ها از اعداد استفاده میشود. که از شماره 1 تا 99 برای برای 1999 تا 1300 اعداد البته.میشود استفاده Extended برای 199 تا 100 و Standard.اند شده رزرو Extended برای 2699 تا 2000 و Standard قاي ده یک list Access Standard بدین صورت است: access-list access-list-number {permit deny} {host source source-wildcard any} یعنی در ابتدا میبایست عبارت list-access را تایپ نموده سپس یک شماره به آن اختصاص میدهیم و در آخر وظیفه آن که نابودی یا اجازه عبور یک پکت هست را مشخص میکنیم. در مثال زیر میخواهیم تنها به یک رنج IP اجازه عبور از اینترفیس Ethernet0 را بدهیم. ابتدا list access مورد نظر را می نویسیم: 1 / 6

2 access-list 10 permit access-list 10 deny any سپس به یک اینترفیس اعمال میکنیم: interface ethernet0 ip access-group 10 in exit نیاز وقتی مثلا.داریم بیشتری انعطاف به نیاز که میگیریم کار به وقتی را ها Extended access list به فیلتر یک پورت خاص است. قاي ده آن بدین صورت است: access-list access-list-number {deny permit} protocol source source-wildcard destination destination-wildcard [precedence precedence][tostos][log] پس از عبارت list-access میبایست شماره آن را از همان رنج ذکر شده انتخاب کنیم.سپس action آن را که حذف یا عبور packet است را انتخاب کرده و آدرس مقصد و مبدا و همچنین پروتکل یا پورت آن را مشخص میکنیم. برای نوشتن پروتکل ما مجاز به استفاده از پروتکل های زیر هستیم: eigrp, gre, icmp, igmp, igrp, ip, ipinip, nos, ospf, tcp, or udp همچنین می توان از یک keyword بین 0 تا 255 استفاده کرد که هر کدام بیانگر پروتکلی خاص است. اگر ما عبارت ip را استفاده کنیم به عنوان تمامی پروتکل های IP شناخته میشود. برای مشخص کردن هر آدرسی (any) نیز باید از عبارت استفاده کرد. می کار به خاص های سرویس برای که اختیاریست ابزار دو نیز tos و precedence های Option رود. که باید سرویس مورد نظر را با وارد کردن کد آن که precedence از 0 تا 7 و tos از 0 تا 15 مشخص شده اند را فعال کرد. گزارش خود access list از میتوانیم آن کردن فعال با که است دیگر اختیاری ابزار یک نیز Log برداریم. با مثالی بیشتر با list access Extended آشنا میشویم: 2 / 6

3 اجازه دسترسی سابنت /24 با آدرس با هر پروتکلی : access-list 105 permit ip اجازه دسترسی آدرس به سابنت /24 با هر پروتکلی: access-list 105 permit ip اجازه دسترسی سابنت /24 به سابنت /24 تنها با پورت :(telnet) 23 access-list 105 permit tcp eq 23 عدم اجازه دسترسی همه جا به همه جا روی پورت snmp که 161 است: access-list 105 permit udp any any eq 161 عدم اجازه پینگ echo) 0) type icmp reply از سابنت /16 به همه جا: access-list 105 deny icmp any 0 عدم دسترسی کلیه packet های دیگر: access-list 105 deny ip any any 3 / 6

4 و در آخر اعمال آن به یک اینترفیس: interface serial0 ip access-group 105 out exit همانطور که میدانید ترتیب در list access ها مهم است. به همین علت وقتی که لیست ACL ها را مشاهده میکنیم یک سری اعداد کنار آنها مینویسد که بیانگر اولویت آنهاست. ما میتوانیم خود دستی آنها را وارد کنیم: مثال 1: است صورت بدین ما ACL Router#show access-list 20 permit udp any any 30 permit icmp any any حال میخواهیم در ابتدای آن یک خط اضافه کنیم Router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)#ip access-list extended 101 Router(config-ext-nacl)#5 deny tcp any any eq telnet Router(config-ext-nacl)#exit Router(config)#exit Router# هم اکنون بدین صورت می شود. Router#show access-list 5 deny tcp any any eq telnet 20 permit udp any any 4 / 6

5 30 permit icmp any any Router# مثال 2: قبلا یکبار به آن یک خط اضافه کرده ایم. برای بار دوم چنین عمل میکنیم routerb#show access-lists 15 permit tcp any host permit udp host any 30 permit udp host any routerb#configure terminal Enter configuration commands, one per line. End with CNTL/Z. routerb(config)#ip access-list extended 101 routerb(config-ext-nacl)#18 per tcp any host routerb(config-ext-nacl)#^z ترتیب آن بدین صورت می شود: routerb#show access-lists 15 permit tcp any host permit tcp any host permit udp host any 30 permit udp host any routerb# نکته 1: برای برداشتن یک list access میبایست همان ACL را تایپ نموده و در ابتدای سطر یک no قرار دهیم: no access-list 105 deny ip any any نکته 2 : 5 / 6

6 برای مشاهده ACL ها از دستور زیر استفاده میکنیم. show access-list نگارنده : شاهین غرقی 6 / 6

بر روی هر یک از تجهیزاتی که از پروتکل IP/TCP پشتیبانی می کنند به ۲ طریق می توان Address IP تنظیم کرد.

بر روی هر یک از تجهیزاتی که از پروتکل IP/TCP پشتیبانی می کنند به ۲ طریق می توان Address IP تنظیم کرد. Static Dynamic - - حتما تمامی خوانندگان با روش static آشنایی دارند. همان روش وارد کردن آدرس ها بصورت