Краткие теоретические сведения
Списки управления доступом
Списки доступа позволяют создавать правила управления трафиком, по которым будет происходить межсетевое взаимодействие как в локальных, так и в корпоративных сетях.
Существует шестнадцать типов списков доступа, но наиболее часто используются два типа: standart – стандартные (номера с 1 по 99) и extended – расширенные (номера с 100 по 199 или с 2000 по 2699). Различия между этими двумя списками заключаются в возможности фильтровать пакеты не только по IP – адресу, но и по другим различным параметрам (по портам, протоколам и т.д.).
1.1 Стандартные списки управления доступом
Стандартные списки обрабатывают только входящие IP адреса источников, т.е. ищут соответствие только по IP адресу отправителя. Расширенные списки работают со всеми адресами корпоративной сети и дополнительно могут фильтровать трафик по портам и протоколам.
Работа списка доступа напрямую зависит от порядка следования строк в этом списке, где в каждой строке записано правило обработки трафика. Просматриваются все правила списка с первого до последнего по порядку, но просмотр завершается, как только было найдено первое соответствие, т.е. для пришедшего пакета было найдено правило, под которое он подпадает. После этого остальные правила списка игнорируются. Если пакет не подпал ни под одно из правил, то включается правило по умолчанию:
|
|
Access-listномер_списка deny any
которое запрещает весь трафик по тому интерфейсу сетевого устройства, к которому данный список был применен.
Для того, чтобы начать использовать список доступа, необходимо выполнить следующие три этапа:
1 – создать список;
2 – наполнить список правилами обработки трафика;
3 – применить список доступа к интерфейсу устройства на вход или на выход этого интерфейса.
Создание стандартного списка происходит в режиме конфигурации роутера (Router1(config)#) с помощью команды:
Ip access-list standartномер_списка
Каждое, правило в списке доступа сдержит два важных элемента:
1) инструкцию deny (запретить) или permit (разрешить);
2) идентификатор пакета, который задается по одному из трех вариантов:
- адрес сети (например 192.168.2.0 0.0.0.255) – где вместо маски подсети указывается шаблон маски подсети;
- адрес хоста (host 192.168.2.1);
- любой IP адрес (any).
Пример списка доступа:
Denyhost 11.0.0.5
Deny 12.0.0.0 0.255.255.255
Permitany
В данном примере запрещен весь трафик хосту с IP адресом 11.0.0.5; запрещен весь трафик в сети 12.0.0.0/8(в правиле указывается не реальная маска подсети, а ее инверсия); весь остальной трафик разрешен.
Последняя команда, разрешающая весь остальной трафик, присутствует в подавляющем большинстве списков доступа. Это связано с правилом, согласно которому весь трафик, ни попадающий ни под одни из правил списка, запрещается.
|
|
1.2. Расширенные списки управления доступом
В расширенных списках доступа вслед за указанием действия ключами permit или deny должен находиться параметр с обозначением протокола (возможны протоколы IP, TCP, UDP, ICMP), который указывает, должна ли выполняться проверка всех пакетов IP или только пакетов с заголовками ICMP, TCP или UDP. Если проверке подлежат номера портов TCP или UDP, то должен быть указан протокол TCP или UDP.
При создании расширенных списков в правилах доступа можно включать фильтрацию трафика по протоколам и портам. Для указания портов в правиле доступа указываются следующие обозначения (таблица 10.1):
Таблица 10.1.
обозначение | действие |
lt n | Все номера портов, меньшие n. |
gt n | Все номера портов, большие n. |
eq n | Порт n |
neq n | Все порты, за исключением n. |
range n m | Все порты от n до m включительно. |
Распространенные приложения и соответствующие им стандартные номера портов приведены в следующей таблице 10.2:
Таблица 10.2.
Номер порта | Протокол | Приложение | Ключевое слово в команде access_list |
TCP | FTP | dataftp_data | |
TCP | Управление сервером FTP | ftp | |
TCP | SSH | ||
TCP | Telnet | telnet | |
TCP | SMTP | Smtp | |
UDP, TCP | DNS | Domain | |
67, 68 | UDP | DHCP | nameserver |
UDP | TFTP | Tftp | |
TCP | HTTP (WWW) | www | |
TCP | POP3 | pop3 | |
UDP | SNMP | Snmp |
Создание расширенного списка также происходит в режиме конфигурации роутера (Router1(config)#). При этом используется команда:
ipaccess-listextendedномер_списка
Структура правила расширенного списка доступа несколько отличается от структуры стандартного списка. Она имеет следующий вид:
<Инструкция><протокол><идентификатор 1><идентификатор 2> [<порт>]
Здесь <инструкция> - это одно из двух ключевых слов: deny (запретить) или permit (разрешить);
<протокол> может принимать одно из следующих значений:
- IP – правило применяется для всех IP-пакетов;
- ICMP – правило применяется только для пакетов с заголовком ICMP;
- TCP – правило применяется только для пакетов с заголовком TCP;
- UDP – правило применяется только для пакетов с заголовком UDP.
<идентификатор 1> может принимать следующие значения:
- адрес сети (например 192.168.2.0 0.0.0.255) – где вместо маски подсети указывается шаблон маски подсети;
- адрес хоста (host 192.168.2.1);
- любой IP адрес (any).
<идентификатор 2> может принимать следующие значения:
- адрес сети (например 192.168.2.0 0.0.0.255) – где вместо маски подсети указывается шаблон маски подсети;
- адрес хоста (host 192.168.2.1);
- любой IP адрес (any).
<порт> - необязательное поле, которое может содержать порт, на который разрешается или запрещается передавать данный трафик.
Рассмотрим примеры команд в расширенных списках пользователя:
Denytcp any anyeq 80
Команда запрещает передавать трафик с любого узла на любой на порт 80.