Tháng Ba 26, 2011 — LÊ QUỐC NHẬT ĐÔNG
I- MỘT SỐ KHÁI NIỆM VỀ ACCESS-LIST
1. ACL(Access control lists) là gì?
– ACL là một list những câu lệnh được áp đặt vào những cổng ( interface ) của router. Danh sách này chỉ ra cho router biết loại packet nào được gật đầu ( allow ) và loại packet nào bị hủy bỏ ( deny ). Sự gật đầu và huỷ bỏ này hoàn toàn có thể dựa vào địa chỉ nguồn, địa chỉ đích hoặc chỉ số port .
2. Tại sao phải sữ dụng ACLs?
– Quản lý những IP traffic
– Hỗ trợ mức độ cơ bản về bảo mật thông tin cho những truy vấn mạng, biểu lộ ở tính năng lọc những packet qua router
• Chức năng :
+ Xác định tuyến đường thích hợp cho DDR ( dial-on-demand routing )
+ Thuận tiện cho việc lọc gói tin ip
+ Cung cấp tính sẵn sàn mạng cao
3. Các loại ACLs
Có 2 loại Access lists là : Standard Access lists và Extended Access lists
– Standard (ACLs): Lọc (Filter) địa chỉ ip nguồn (Source) vào trong mạng – đặt gần đích (Destination).
– Extended (ACLs): Lọc địa chỉ ip nguồn và đích của 1 gói tin (packet), giao thức tầng “Network layer header” như TCP, UDP, ICMP…, và port numbers trong tầng “Transport layer header”. Nên đặt gần nguồn (source).
4. Cách đặt ACLs.
a – Inbound ACLs .
+ Inbound : nói nôm na là 1 cái cổng vào ( theo chiều đi vào của gói tin ) trên Router những gói tin sẽ được giải quyết và xử lý trải qua ACL trước khi được định tuyến ra ngoài ( outbound interface ). Tại đây những gói tin sẽ “ dropped ” nếu không trùng với bảng định tuyến ( routing table ), nếu gói tin ( packet ) được gật đầu nó sẽ được giải quyết và xử lý trước khi chuyển giao ( transmission ) .
b – Outbound ACLs .
+ Outbound : là cổng đi ra của gói tin trên Router, những gói tin sẽ được định tuyến đến outbound interface và giải quyết và xử lý trải qua ACLs, trước khi đưa đến ngoài hàng đợi ( outbound queue ) .
5. Hoạt động của ACLs.
– ACL sẽ được thực hiện theo trình tự của các câu lệnh trong danh sách cấu hình khi tạo access-list. Nếu có một điều kiện được so khớp (matched) trong danh sách thì nó sẽ thực hiện, và các câu lệnh còn lại sẽ không được kiểm tra nữa.Trường hợp tất cả các câu lệnh trong danh sách đều không khớp (unmatched) thì một câu lệnh mặc định “deny any” được thực hiện. Cuối access-list mặc định sẽ là lệnh loại bỏ tất cả (deny all). Vì vậy, trong access-list cần phải có ít nhất một câu lệnh permit.
• Khi packet đi vào một interface, router sẽ kiểm tra xem có một ACL trong inbound interface hay không, nếu có packet sẽ được kiểm tra so sánh với những điều kiện kèm theo trong list .
• Nếu packet đó được được cho phép ( allow ) nó sẽ liên tục được kiểm tra trong bảng routing để quyết định hành động chọn interface để đi đến đích .
• Tiếp đó, router sẽ kiểm tra xem outbound interface có ACL hay không. Nếu không thì packet hoàn toàn có thể sẽ được gửi tới mạng đích. Nếu có ACL ở outbound interface, nó sẽ kiểm tra so sánh với những điều kiện kèm theo trong list ACL đó .
6. Một số điểm cần lưu ý
* Chỉ có thể thiết lập 1 ACL trên giao thức cho mỗi hướng trên mỗi interface. Một interface có thể có nhiều ACL.
* Router không thể lọc traffic mà bắt đầu từ chính nó.
* Câu lệnh nào đặt trước thì xử lý trước. Khi 1 câu lệnh mới thêm vào danh sách, nó sẽ đặt cuối danh sách.
* Standard ACLs: Nên đặt gần đích của traffic.
* Extended ACLs: Nên đặt gần nguồn của traffic.
* Mặc định cả hai lệnh “the Access-Group” hay “the Access-Class” theo chiều “OUT”
II- CẤU HÌNH ACCESS-LIST (ACLs)
1. Standard Access lists.
#: Standard ACLs sử dụng số từ 1 -> 99 hay 1300 -> 1999.
Có 2 bước để tạo ACLs:
+ Định nghĩa danh sách ACLs để đặt vào interface.
router(config)#access-list [#] [permit deny] [wildcard mask] [log]
Hoặc là :
router(config)#access-list [#] [permit deny] [host any] ßThường thì ta dùng lệnh này
Sau đó đặt danh sách(ACLs) vào interface trên router mà ta muốn chặn gói tin ngay tại đó.
router(config)#interface [interface-number]
router(config-if)#ip access-group [#] [in out] – interface access control
Ví dụ cụ thể
Ta thực hiện trên mô hình sau đã đuợc cấu hình hoạt động trên giao thức RIP các router và pc đã ping được với nhau.
• Tạo access list tại global config mode:
Tạo access-list trên R2 cấm PC0(10.0.0.2) vào mạng 220.0.0.0ngay tại cổng vào của Router 2.
R2(config)# access-list 1 deny host 10.0.0.2
R2(config)# access-list 1 permit any permit any bởi vì mặc định của router sau khi ta thiêt lập danh sách thì kể từ sau đó router sẽ deny tất cả, vì vậy ta phải dùng lệnh permit any để thay đổi.
• Áp access-list vào cổng.
–Áp access-list này vào Inbound s0/3/0 trên R2.
–Khi áp access-list vào một cổng, xem như đang trên router. Vì vậy nếu muốn cấm dữ liệu đi ra khỏi cổng, ta dùng từ khóa “out”; muốn cấm dữ liệu vào một cổng, ta dùng từ khóa “in”.
R2(config)# interface s0/3/0
R2(config-if)# ip access-group 1 out
Sau đó ta vào PC0 ( 10.0.0. 2 ) dùng lệnh ping vào mạng 220.0.0.0 để kiểm tra .
Ta thử dùng máy PC1 ( 10.0.0. 3 ) ping vào mạng 220.0.0.0 .
– Vì standard access-list chỉ kiểm tra được địa chỉ nguồn nên phải áp access-list vào cổng gần đích nhất .
2. Extended Access lists.
#: Extanded ACLs sử dụng số từ 100 -> 199 hay 2000 -> 2699.
Cũng giống standard ACL và thêm một số cách lọc gói tin như:
+ Source and destination IP address (Địa chỉ nguồn địa chỉ đích)
+ IP protocol – TCP, UDP, ICMP, and so on( cấm giao thức)
+ Port information (WWW, DNS, FTP, TELNET, etc)( cấm các dịch vụ thông qua các cổng hoạt động của nó)
Các lệnh cấu hình:
Ta cũng thực hiện 2 bước giống như Standard ACLs
• Tạo access list tại global config mode :
router ( config ) # access-list [ # ] [ permit deny ] [ protocol ] [ wildcard mask ] [ operator source port ] [ destination address ] [ wildcard mask ] [ operator destination port ] [ log ]
Hoặc
router ( config ) # access-list [ # ] [ permit deny ] [ protocol ] [ host ] [ host ] [ destination address ] [ lt, gt, neq, eq, range ] [ port number ]
• Áp access-list vào cổng.
router(config)#interface [interface-number]
router(config-if)#ip access-group [#] [in out] – interface access control
Ví dụ:
Tạo ACls tại router R1 cấm R2 truy vấn vào Router 1 dưới giao thức TCP bằng dịch vụ Telnet .
Đầu tiên ta mở dịch vụ telnet cho những Router
Tại global config mode ta gõ các lệnh sau.
router ( config ) # line vty 0 4
router ( config ) # password telnet 
Khi thông số kỹ thuật xong ta đứng tại 1 Router nào đó telnet qua Các router còn lại để Test .
Vậy là những Router đã telnet được với nhau
Bây giờ ta thiết lập ACL tại R1
R1 ( config ) # access-list 101 deny TCP host 200.0.0.2 host 200.0.0.1 eq telnet
R1 ( config ) # access-list 101 deny tcp any any
Áp ACL vào cổng muốn chặn lại ngay đó .
R1 ( config ) # interface s0 / 3/0
R1 ( config-if ) # ip access-group 101 in
Sau khi thông số kỹ thuật xong ta Telnet thử
Đứng tại Router 2 Telnet qua Router 1 bằng lệnh
R2 # telnet 200.0.0.1
Router 1 không vấn đáp vậy là ta đã cấu hình thành công
Một số port thông dụng:
——————————————————————–
Port Number ——-TCP port names —-UDP port names
——————————————————————–
6 ———————-TCP————————————–
21———————-FTP————————————–
23 ———————TELNET——————————–
25 ———————SMTP————————————
53———————————————-DNS————-
69 ———————————————TFTP————-
80 ———————WWW———————————–
161 ——————————————–SNMP———–
520 ——————————————–RIP—————
III- QUẢN LÝ CÁC ACCESS-LIST (ACLs)
• Hiển thị tất cả ACLs đang sử dụng. Router(config)#show running-config
• Xem ACLs hoạt động trên interface nào đó. Router(config)#show interface [ # ]
• Xem việc đặt và hướng đi của ip ACLs: Router(config)#show ip interfaces [ # ]
• Xem những câu lệnh ACLs: Router(config)#show access-list [ # ]
• Hiển thị tất cả ip ACLs: Router#show ip access-list
• Hiển thị ip ACL 100: Router#show ip access-list 100
• Xóa bộ đếm (to clear the counters use):
router(config)#show access-list [ # ]
router(config)#clear access-list counter [ # ]
• Xóa Access list
router(config)#no ip access-list [standard-extended][#]
router(config)#interface [interface-number]
router(config-if)#no access-list [#] [permit deny] [wildcard mask]
Đồ án môn Networking của Lovebug Team
GVHD : Lư Huệ Thu
Share this:
Thích bài này:
Thích
Đang tải …
