Access-list và các cấu hình liên quan

1.Nhắc lại về lý thuyết

Có 2 loại access-list.

- Loại thứ nhất: Standard IP Access-list chỉ lọc dữ liệu dựa vào địa chỉ IP nguồn. Range của loại này là từ 1à 99. Nên được áp dụng với cổng gần đích nhất.

- Loại thứ hai: Extended IP Access-list lọc dữ liệu dựa vào

o Địa chỉ IP nguồn

o Địa chỉ IP đích

o Giao thức (TCP, UDP)

o Số cổng (HTTP, Telnet…)

o Và các thông số khác như Windcard mask

Range của loại này là từ 100 à199. Nên được áp dụng với cổng gần nguồn nhất.

Hai bước để cấu hình Access-list

- Bước 1: Tạo access-list trong chế độ cấu hình config.

- Bước 2: Áp dụng access-list cho từng cổng tuỳ theo yêu cầu ở chế độ cấu hình (config-if)

Lưu ý:

- Mặc định của tất cả Access-list là deny all, vì vậy trong tất cả các access-list tối thiểu phải có 1 lệnh permit. Nếu trong access-list có cả permit và deny thì nên để các dòng lệnh permit bên trên.

- Về hướng của access-list (In/Out) khi áp dụng vào cổng có thể hiểu đơn giản là: In là từ host, Out là tới host hay In vào trong Router, còn Out là ra khỏi Router.

- Đối với IN router kiểm tra gói tin trước khi nó được đưa tới bảng xử lý. Đối vơi OUT, router kiểm tra gói tin sau khi nó vào bảng xử lý.

- Windcard mask được tính bằng công thức:

WM = 255.255.255.255 – Subnet mask (Áp dụng cho cả Classful và Classless addreess)

- 0.0.0.0 255.255.255.255 = any

- Ip address 0.0.0.0 = host ip address (chỉ định từng host một )

2.Cấu hình Standard Access-list (Ví dụ)

Router(config)#access-list 1 deny 172.16.0.0 0.0.255.255

Router(config)#access-list 1 permit any

Router(config)#interface fastethernet 0/0

Router(config-in)#ip access-group in

3.Cấu hình Extended Access-list (Ví dụ)

Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.1 eq telnet

Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.2 eq ftp

Router(config)#access-list 101 permit any any

Router(config)#interface fastethernet 0/0

Router(config-int)#ip access-group out

4.Cấu hình named ACL thay cho các số hiệu

Router(config)#ip access-list extended server-access (tên của access-list)

Router(config-ext-nacl)#permit tcp any host 92.168.1.3 eq telnet

Router(config)#interface fastethernet 0/0

Router(config-int)#ip access-group server-access out

5.Permit hoặc Deny Telnet sử dụng Standard Acl (Ví dụ)

Router(config)#access-list 2 permit 172.16.0.0 0.0.255.255

Router(config)#access-list 2 deny any

Router(config)#line vty 0 4

Router(config-line)#password cisco

Router(config-line)#login

Router(config-line)#ip access-class 2 in

6.Xoá và kiểm tra Access-list

Muốn xoá thì ta dùng lệnh sau:

Router(config)# no ip access-list số hiệu

Kiểm tra Acl ta dùng các lệnh sau:

- show access-list

- show running-config

- show ip interface