ACLs: सिस्को IOS में एक्सेस कंट्रोल लिस्ट

आज मैं आपको एक्सेस कंट्रोल लिस्ट का उपयोग करके नेटवर्क पर ट्रैफ़िक को फ़िल्टर करने के बारे में बताऊंगा। विचार करें कि वे तदनुसार कैसे काम करते हैं, वे क्या हैं, वे किस लिए हैं। बाद में मैं दिखाऊंगा कि वे सिस्को IOS में कैसे कॉन्फ़िगर किए जाते हैं और अपने ज्ञान को मजबूत करने के लिए प्रयोगशाला के काम के साथ एक संग्रह करते हैं।

परिचय

एक्सेस कंट्रोल लिस्ट (ACL) पाठ अभिव्यक्तियों का एक समूह है जो किसी चीज़ की अनुमति या मना करता है। आमतौर पर, एक ACL IP पैकेट की अनुमति देता है या उसे अस्वीकार करता है, लेकिन, अन्य चीजों के अलावा, यह IP पैकेट के अंदर देख सकता है, पैकेट प्रकार, TCP और UDP पोर्ट देख सकता है। ACL विभिन्न नेटवर्क प्रोटोकॉल (IP, IPX, AppleTalk, और इसी तरह) के लिए भी मौजूद है। मूल रूप से, एक्सेस फ़िल्टर का उपयोग पैकेट फ़िल्टरिंग के संदर्भ में माना जाता है, अर्थात, पैकेट फ़िल्टरिंग उन स्थितियों में आवश्यक है जहां आपके पास इंटरनेट और आपके निजी नेटवर्क की सीमा पर उपकरण हैं और आपको अनावश्यक ट्रैफ़िक को फ़िल्टर करने की आवश्यकता है।
आप ACL को आने वाली दिशा में रखें और अनावश्यक प्रकार के ट्रैफ़िक को अवरुद्ध करें।

सिद्धांत

एसीएल की कार्यक्षमता ट्रैफिक को वर्गीकृत करने के लिए है, आपको इसे पहले जांचने की जरूरत है, और फिर एसीएल लागू होने के आधार पर इसके साथ कुछ करना होगा। एसीएल हर जगह लागू होते हैं, उदाहरण के लिए:

• इंटरफ़ेस पर: बैच फ़िल्टरिंग
• टेलनेट लाइन पर: राउटर एक्सेस प्रतिबंध
• वीपीएन: क्या ट्रैफ़िक को एन्क्रिप्ट करने की आवश्यकता है
• QoS: कौन से ट्रैफ़िक को प्राथमिकता दी जानी चाहिए
• NAT: जो अनुवाद करने के लिए संबोधित करता है

इन सभी घटकों के लिए एसीएल का उपयोग करने के लिए, आपको यह समझने की आवश्यकता है कि वे कैसे काम करते हैं। और हम मुख्य रूप से बैच फ़िल्टरिंग से निपटेंगे। पैकेट फ़िल्टरिंग के संबंध में, ACL को इंटरफेस पर रखा जाता है, उन्हें स्वतंत्र रूप से बनाया जाता है, और उसके बाद ही उन्हें इंटरफ़ेस में डाला जाता है। जैसे ही आप इसे इंटरफ़ेस पर फास्ट करते हैं, राउटर ट्रैफ़िक देखना शुरू कर देता है। राउटर ट्रैफिक को इनकमिंग और आउटगोइंग मानता है। राउटर में प्रवेश करने वाले ट्रैफ़िक को इनबाउंड कहा जाता है, जो इससे बाहर निकलता है वह आउटबाउंड है। तदनुसार, ACL को इनबाउंड या आउटबाउंड दिशा में रखा जाता है।

एक पैकेट आपके निजी नेटवर्क से राउटर fa0 / 1 के इंटरफ़ेस पर आता है, राउटर जाँच करता है कि इंटरफ़ेस पर ACL हैं या नहीं, यदि कोई है, तो एक्सेस लिस्ट के नियमों के अनुसार प्रोसेसिंग की जाती है, जिसमें एक्ट्रेसेस लिखी जाती हैं , यदि एक्सेस लिस्ट की अनुमति हो तो पैकेट, तो इस मामले में राउटर पैकेट को प्रदाता को fa0 / 0 इंटरफ़ेस के माध्यम से भेजता है, यदि एक्सेस सूची पैकेट को पास करने की अनुमति नहीं देती है, तो पैकेट नष्ट हो जाता है। यदि कोई एक्सेस सूची नहीं है, तो पैकेट बिना किसी प्रतिबंध के उड़ जाता है। प्रदाता को एक पैकेट भेजने से पहले, राउटर एक निवर्तमान एसीएल के लिए fa0 / 0 इंटरफ़ेस की भी जांच करता है। तथ्य यह है कि एक एसीएल को इनबाउंड या आउटबाउंड के रूप में एक इंटरफ़ेस से जोड़ा जा सकता है। उदाहरण के लिए, हमारे पास इंटरनेट पर सभी नोड्स को पैकेट भेजने से रोकने के लिए नियम के साथ एक एसीएल है।
तो कौन सा इंटरफ़ेस इस ACL को संलग्न करना है? यदि हम ACL को एक आउटगोइंग के रूप में fa0 / 1 इंटरफ़ेस से जोड़ते हैं, तो यह पूरी तरह से सच नहीं होगा, हालांकि ACL काम करेगा। निजी नेटवर्क पर कुछ होस्ट के लिए राउटर के लिए एक इको रिक्वेस्ट आती है, यह जाँचता है कि अगर वहाँ fa0 / 0 इंटरफ़ेस पर एसीएल है, यह मौजूद नहीं है, तो यह fa0 / 1 इंटरफ़ेस की जाँच करता है, इस इंटरफ़ेस पर एक एसीएल है, इसे आउटगोइंग के रूप में कॉन्फ़िगर किया गया है, सब कुछ पैकेट सही है। नेटवर्क में प्रवेश नहीं करता है, लेकिन राउटर द्वारा नष्ट कर दिया जाता है। लेकिन अगर हम ACL को एक आने वाले के रूप में fa0 / 0 इंटरफ़ेस से जोड़ते हैं, तो पैकेट राउटर में आते ही तुरंत नष्ट हो जाएगा। बाद वाला समाधान सही है, क्योंकि राउटर अपने कंप्यूटिंग संसाधनों को कम लोड करता है। विस्तारित एसीएल को यथासंभव स्रोत के करीब रखा जाना चाहिए, जबकि मानक वाले को संभव के रूप में रिसीवर के करीब रखा जाना चाहिए । यह आवश्यक है कि व्यर्थ में पूरे नेटवर्क में पैकेट न चलाएं।

ACL स्वयं पाठ अभिव्यक्तियों का एक समूह है जिसमें अनुमति ( इनकार ) या इनकार (इनकार) लिखा जाता है, और प्रसंस्करण उस क्रम में कड़ाई से किया जाता है जिसमें अभिव्यक्तियाँ निर्दिष्ट होती हैं। तदनुसार, जब कोई पैकेट इंटरफ़ेस पर आता है, तो इसे पहली स्थिति के लिए जांचा जाता है, यदि पहली शर्त पैकेट से मेल खाती है, तो इसकी आगे की प्रक्रिया समाप्त हो जाती है। पैकेज या तो चलेगा या नष्ट हो जाएगा।
एक बार फिर, यदि पैकेट स्थिति से मेल खाता है, तो इसे संसाधित नहीं किया जाता है । यदि पहली स्थिति मेल नहीं खाती है, तो दूसरी स्थिति संसाधित होती है, यदि यह मेल खाती है, प्रसंस्करण बंद हो जाता है, यदि नहीं, तो तीसरी स्थिति संसाधित होती है और इसी तरह जब तक कि सभी स्थितियों की जांच नहीं की जाती है, यदि कोई भी स्थिति मेल नहीं खाती है, तो पैकेज को बस नष्ट कर दिया जाता है । याद रखें, सूची के प्रत्येक छोर पर किसी भी तरह से एक अंतर्निहित इनकार (सभी यातायात से इनकार) है। इन नियमों से बहुत सावधान रहें, जिन्हें मैंने रेखांकित किया है, क्योंकि कॉन्फ़िगरेशन त्रुटियां अक्सर होती हैं।

एसीएल दो प्रकारों में विभाजित हैं:

• मानक: केवल स्रोत पते की जांच कर सकते हैं
• विस्तारित: आईपी ​​पते के मामले में स्रोत पते और प्राप्तकर्ता पते की जांच कर सकते हैं, प्रोटोकॉल प्रकार और टीसीपी / यूडीपी पोर्ट भी हैं

एक्सेस सूचियों को या तो संख्याओं या सांकेतिक नामों से दर्शाया जाता है। ACL का उपयोग विभिन्न नेटवर्क प्रोटोकॉल के लिए भी किया जाता है। हम, बदले में, आईपी के साथ काम करेंगे। वे निम्नानुसार हैं, क्रमांकित पहुंच सूची:

• मानक: 1 से 99
• विस्तारित: 100 से 199

चरित्र ACL को भी मानक और विस्तारित में विभाजित किया गया है। मैं आपको याद दिलाता हूं कि वे मानक लोगों की तुलना में बहुत अधिक जांच कर सकते हैं, लेकिन वे भी अधिक धीमी गति से काम करते हैं, क्योंकि आपको मानक लोगों के विपरीत, पैकेज के अंदर देखना होगा, जहां हम केवल स्रोत पते क्षेत्र को देखते हैं। ACL बनाते समय, प्रत्येक एक्सेस लिस्ट प्रविष्टि को क्रम संख्या द्वारा, डिफ़ॉल्ट रूप से, दस (10, 20, 30, आदि) के द्वारा पहचाना जाता है। इसके कारण, आप एक विशिष्ट रिकॉर्ड को हटा सकते हैं और इसके स्थान पर किसी अन्य को सम्मिलित कर सकते हैं, लेकिन यह सुविधा सिस्को IOS 12.3 में दिखाई देती है, आपको 12.3 से पहले ACL को हटाना होगा, और फिर इसे पूरी तरह से फिर से बनाना होगा। आप प्रति निर्देश प्रति प्रोटोकॉल, प्रति दिशा में 1 से अधिक एक्सेस सूची नहीं रख सकते । मैं समझाता हूं: यदि हमारे पास एक राउटर है और इसका एक इंटरफ़ेस है, तो हम आईपी प्रोटोकॉल के लिए केवल एक एक्सेस सूची रख सकते हैं, उदाहरण के लिए, संख्या 10 के तहत। खुद राउटर्स के संबंध में एक और नियम, ACL राउटर द्वारा उत्पन्न ट्रैफिक को प्रभावित नहीं करता है। ।
ACL में पतों को फ़िल्टर करने के लिए, वाइल्डकार्ड मास्क का उपयोग किया जाता है। यह एक रिवर्स मास्क है। हम टेम्पलेट अभिव्यक्ति लेते हैं: 255.255.255.255 और टेम्पलेट से सामान्य मास्क को घटाते हैं।
255.255.255.255-255.255.255.0, हमें मास्क 0.0.0.255 मिलता है, जो सामान्य मास्क 255.255.255.0 है, केवल 0.0.0.255 वाइल्डकार्ड मास्क है।

एसीएल के प्रकार

गतिशील (डायनेमिक ACL)

यह आपको निम्नलिखित करने की अनुमति देता है, उदाहरण के लिए, आपके पास एक राउटर है जो किसी सर्वर से जुड़ा हुआ है और हमें बाहरी दुनिया से उस तक पहुंच को अवरुद्ध करने की आवश्यकता है, लेकिन एक ही समय में कई लोग हैं जो सर्वर से जुड़ सकते हैं।
हम एक डायनेमिक एक्सेस सूची सेट करते हैं, इसे आने वाली दिशा में संलग्न करते हैं, और फिर जिन लोगों को कनेक्ट करने की आवश्यकता होती है, वे इस डिवाइस से टेलनेट के माध्यम से कनेक्ट होते हैं, परिणामस्वरूप, डायनेमिक एसीएल सर्वर के लिए मार्ग को खोलता है, और पहले से ही एक व्यक्ति लॉग इन कर सकता है, कह सकता है कि HTTP के माध्यम से सर्वर को प्राप्त करना है। डिफ़ॉल्ट रूप से, 10 मिनट के बाद, यह मार्ग बंद हो जाता है और उपयोगकर्ता को डिवाइस से कनेक्ट करने के लिए फिर से टेलनेट प्रदर्शन करने के लिए मजबूर किया जाता है।

रिफ्लेक्टिव एसीएल

यहां स्थिति थोड़ी अलग है, जब स्थानीय नेटवर्क पर एक नोड इंटरनेट पर एक टीसीपी अनुरोध भेजता है, तो कनेक्शन स्थापित करने के लिए टीसीपी प्रतिक्रिया के लिए हमारे पास एक खुला मार्ग होना चाहिए। यदि कोई मार्ग नहीं है, तो हम एक कनेक्शन स्थापित करने में सक्षम नहीं होंगे, और हमलावर इस मार्ग का लाभ उठा सकते हैं, उदाहरण के लिए, नेटवर्क को घुसना। रिफ्लेक्टिव एसीएल इस तरह से काम करते हैं, किसी भी पहुंच से पूरी तरह से इनकार करते हैं, लेकिन एक और विशेष एसीएल बनता है जो स्थानीय नेटवर्क से उत्पन्न उपयोगकर्ता सत्रों के मापदंडों को पढ़ सकता है और उनके लिए किसी भी इनकार करने के लिए एक मार्ग खोल सकता है, जिसका अर्थ है कि वे इंटरनेट से इंस्टॉल कर सकते हैं कनेक्ट। और स्थानीय नेटवर्क से उत्पन्न सत्रों के उत्तर प्राप्त होंगे।

समय-आधारित ए.सी.एल.

सामान्य एसीएल, लेकिन एक समय सीमा के साथ, आप एक विशेष कार्यक्रम में प्रवेश कर सकते हैं जो एक्सेस सूची में एक विशेष प्रविष्टि को सक्रिय करता है। और इस तरह के एक ट्रिक को करने के लिए, उदाहरण के लिए, एक एक्सेस लिस्ट लिखें जिसमें हम वर्किंग डे के दौरान HTTP एक्सेस पर रोक लगाते हैं और राउटर इंटरफेस पर हैंग करते हैं, यानी एंटरप्राइज के कर्मचारी काम पर आते हैं, उन्होंने HTTP एक्सेस को बंद कर दिया, वर्किंग डे खत्म हो गया, HTTP एक्सेस खुल गया। ।
कृपया, यदि आप चाहते हैं - इंटरनेट सर्फ करें।

समायोजन

ACL खुद अलग से बनाए जाते हैं, यानी यह केवल एक सूची है जो वैश्विक कॉन्फ़िगरेशन में बनाई गई है, फिर इसे इंटरफ़ेस को सौंपा गया है और उसके बाद ही यह काम करना शुरू करता है। एक्सेस सूचियों को सही ढंग से कॉन्फ़िगर करने के लिए कुछ बिंदुओं को याद रखना आवश्यक है:

• शर्तों को दर्ज करने के क्रम में प्रसंस्करण सख्ती से किया जाता है।
• यदि पैकेट स्थिति से मेल खाता है, तो इसे संसाधित नहीं किया जाता है
• प्रत्येक एक्सेस लिस्ट के अंत में किसी भी तरह का इंकार एक इंकार है (हर बात को नकारना)
• विस्तारित एसीएल को यथासंभव स्रोत के करीब रखा जाना चाहिए, जबकि मानक वाले को संभव के रूप में रिसीवर के करीब रखा जाना चाहिए।
• आप प्रति निर्देश प्रति प्रोटोकॉल, प्रति दिशा में 1 से अधिक एक्सेस सूची नहीं रख सकते
• ACL राउटर द्वारा उत्पन्न यातायात को प्रभावित नहीं करता है
• वाइल्डकार्ड मास्क का उपयोग पतों को फ़िल्टर करने के लिए किया जाता है।

मानक पहुंच सूची

Router(config)# access-list < 1 99> {permit | deny | remark} {address | any | host} [source-wildcard] [log]

• परमिट: अनुमति दें
• इनकार: निषेध
• टिप्पणी: पहुँच सूची पर टिप्पणी
• पता: नेटवर्क को अक्षम या अनुमति दें
• कोई भी: अनुमति दें या सब कुछ अस्वीकार करें
• मेजबान: अनुमति या इनकार मेजबान
• स्रोत-वाइल्डकार्ड: वाइल्डकार्ड नेटवर्क मास्क
• लॉग: इस ACL से गुजरने वाले लॉगिंग पैकेट को सक्षम करें

विस्तारित पहुँच सूची

Router(config)# access-list < 100 199> {permit | deny | remark} protocol source [source-wildcard] [ operator operand] [ port < > [established]

• प्रोटोकॉल स्रोत: कौन सा प्रोटोकॉल हम अनुमति देगा या बंद करेगा (ICMP, TCP, UDP, IP, OSPF, आदि)
• इनकार: निषेध
• ऑपरेटर:
  ABCD - प्राप्तकर्ता का पता
  किसी भी - किसी भी अंत मेजबान
  eq - इस पोर्ट पर केवल पैकेट
  जीईटी - केवल बड़े पोर्ट नंबर वाले पैकेट
  मेजबान - एकमात्र अंत मेजबान
  लेफ्टिनेंट - केवल एक कम पोर्ट नंबर के साथ पैकेट
  neq - केवल पैकेट इस पोर्ट नंबर पर नहीं
  रेंज - पोर्ट रेंज
• पोर्ट: पोर्ट नंबर (टीसीपी या यूडीपी), आप एक नाम निर्दिष्ट कर सकते हैं
• स्थापित: टीसीपी सेगमेंट के पारित होने की अनुमति दें जो पहले से निर्मित टीसीपी सत्र का हिस्सा हैं

इंटरफ़ेस से संलग्न करें

Router(config-if)# ip access-group < ACL> {in | out}

• में: आने वाली दिशा
• आउट: आउटगोइंग दिशा

जिसका नाम एक्सेस लिस्ट रखा गया

Router(config)# ip access-list {standard | extended} {< ACL> | < ACL>}
Router(config-ext-nacl)# {default | deny | exit | no | permit | remark}

• मानक: मानक ACL
• विस्तारित: विस्तारित एसीएल
• डिफ़ॉल्ट: डिफ़ॉल्ट पर कमांड सेट करें

राउटर एक्सेस प्रतिबंध

R(config)# line vty 0 4 - वर्चुअल लाइन्स कॉन्फ़िगरेशन मोड में जाएँ।
R(config-line)# password <>
R(config-line)# login
R(config-line)# access-class 21 in R(config-line)# password <>
R(config-line)# login
R(config-line)# access-class 21 in - यूज़रनेम और पासवर्ड कॉन्फ़िगर करें, और अनुमत आईपी पते के साथ एक्सेस सूची को भी ठीक करें।

डायनेमिक एक्सेस लिस्ट

R3(config)# username Student password 0 cisco - टेलनेट के माध्यम से कनेक्ट करने के लिए उपयोगकर्ता बनाएँ।
R3(config)# access-list 101 permit tcp any host 10.2.2.2 eq telnet
R3(config)# access-list 101 dynamic testlist timeout 15 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 - सभी नोड्स को टेलनेट के माध्यम से सर्वर से कनेक्ट करने की अनुमति दें।
R3(config)#interface serial 0/0/1
R3(config-if)# ip access-group 101 in R3(config)#interface serial 0/0/1
R3(config-if)# ip access-group 101 in - आने वाली दिशा में इंटरफ़ेस को 101 ACL असाइन करता है।
R3(config)# line vty 0 4
R3(config-line)# login local
R3(config-line)# autocommand access-enable host timeout 5 R3(config)# line vty 0 4
R3(config-line)# login local
R3(config-line)# autocommand access-enable host timeout 5 - जैसे ही उपयोगकर्ता प्रमाणित करेगा, नेटवर्क 192.168.30.0 उपलब्ध होगा, 5 मिनट की निष्क्रियता के बाद सत्र बंद हो जाएगा।

चिंतनशील पहुँच सूची

R2(config)# ip access-list extended OUTBOUNDFILTERS
R2(config-ext-nacl)# permit tcp 192.168.0.0 0.0.255.255 any reflect TCPTRAFFIC
R2(config-ext-nacl)# permit icmp 192.168.0.0 0.0.255.255 any reflect ICMPTRAFFIC R2(config)# ip access-list extended OUTBOUNDFILTERS
R2(config-ext-nacl)# permit tcp 192.168.0.0 0.0.255.255 any reflect TCPTRAFFIC
R2(config-ext-nacl)# permit icmp 192.168.0.0 0.0.255.255 any reflect ICMPTRAFFIC - राउटर को अंदर से शुरू किए गए ट्रैफ़िक की निगरानी करने के लिए मजबूर करता है।
R2(config)# ip access-list extended INBOUNDFILTERS
R2(config-ext-nacl)# evaluate TCPTRAFFIC
R2(config-ext-nacl)# evaluate ICMPTRAFFIC R2(config)# ip access-list extended INBOUNDFILTERS
R2(config-ext-nacl)# evaluate TCPTRAFFIC
R2(config-ext-nacl)# evaluate ICMPTRAFFIC - एक इनबाउंड पॉलिसी बनाएं जिसमें राउटर को आने वाले ट्रैफ़िक को देखने के लिए यह देखने की आवश्यकता होती है कि क्या यह अंदर से शुरू किया गया था और TCPTRAFFIC को INBOUNDFILTERS से बांधता है।
R2(config)# interface serial 0/1/0
R2(config-if)# ip access-group INBOUNDFILTERS in
R2(config-if)# ip access-group OUTBOUNDFILTERS out R2(config)# interface serial 0/1/0
R2(config-if)# ip access-group INBOUNDFILTERS in
R2(config-if)# ip access-group OUTBOUNDFILTERS out - इंटरफ़ेस पर इनकमिंग और आउटगोइंग ACL का उपयोग करता है।

समय सीमा

R1(config)# time-range EVERYOTHERDAY
R1(config-time-range)# periodic Monday Wednesday Friday 8:00 to 17:00 R1(config)# time-range EVERYOTHERDAY
R1(config-time-range)# periodic Monday Wednesday Friday 8:00 to 17:00 - एक समय सूची बनाएं जिसमें हम सप्ताह और समय के दिनों को जोड़ते हैं।
R1(config)# access-list 101 permit tcp 192.168.10.0 0.0.0.255 any eq telnet time-range EVERYOTHERDAY - ACL में टाइम-रेंज लागू करें।
R1(config)#interface s0/0/0
R1(config-if)# ip access-group 101 out R1(config)#interface s0/0/0
R1(config-if)# ip access-group 101 out - हम इंटरफ़ेस में ACL को ठीक करते हैं।

खोजें मुद्दों

R # शो एक्सेस-लिस्ट {ACL नंबर | नाम} - पहुंच सूची की जानकारी देखें।
R # शो एक्सेस-लिस्ट - राउटर पर सभी एक्सेस लिस्ट देखें।

उदाहरण

Router# show access-lists
Extended IP access list nick
permit ip host 172.168.1.1 host 10.0.0.5
deny ip any any (16 match(es))
Standard IP access list nick5
permit 172.16.0.0 0.0.255.255

हम देखते हैं कि हमारे पास निक और निक 5 नाम के तहत दो एसीएल (मानक और उन्नत) हैं। पहली सूची होस्ट को 172.16.1.1 आईपी के माध्यम से उपयोग करने की अनुमति देती है (इसका मतलब है कि आईपी पर चलने वाले सभी प्रोटोकॉल की अनुमति दी जाती है) मेजबान को 10.0.0.5। अन्य सभी ट्रैफ़िक को किसी भी कमांड से इनकार करने वाले आईपी द्वारा अस्वीकार कर दिया जाता है। इस स्थिति के आगे, हमारे उदाहरण में, लिखते हैं (16 मैच)। इससे पता चलता है कि इस हालत में 16 पैकेट गिर गए।
दूसरा एसीएल 172.16.0.0/16 नेटवर्क पर किसी भी स्रोत से यातायात को गुजरने की अनुमति देता है।

अभ्यास

मैंने CCNA 4 ACL पाठ्यक्रम के अध्याय 5 से पैकेट ट्रेसर के लिए प्रयोगशाला कार्य एकत्र किया है। यदि आप अभ्यास में ज्ञान को मजबूत करने की इच्छा रखते हैं, तो कृपया - लिंक , दर्पण - एफ़टीपी । आकार - 865.14 KB।

साहित्य

CCNA अन्वेषण: वान पहुंच (5 अध्याय)