Standard tilgangskontrollliste (ACL) Modifisering - dummies <[SET:descriptionno]Nettverksadministratorer endrer en standard tilgangskontrollliste (ACL-modifikasjon)

Nettverksadministratorer endrer en standard tilgangskontrollliste (ACL) ved å legge til linjer. Hver ny oppføring du legger til i tilgangskontrollisten (ACL) vises nederst på listen.

I motsetning til rutingtabellen, som ser etter nærmeste kamp i listen når du behandler en ACL-oppføring som vil bli brukt som den første matchende oppføringen. Hvis du for eksempel vil ha en vert på 192. 168. 8. 0/24 blokkert på din ACL, så ville det være en forskjell. Du må legge til benekt for 192. 168. 8. 200 til din ACL:

Switch1> aktiver passord: Switch1 # configure terminal Angi konfigurasjonskommandoer, en per linje. Slutt med CNTL / Z. Switch1 (config) # tilgangsliste 50 nekte 192. 168. 8. 200 0. 0. 0. 0 Switch1 (config) #end Switch1 # vise tilgangsliste 50 Standard IP tilgangsliste 50 nekte 192. 168. 8. 200 tillat 192. 168. 8. 0, wildcard bits 0. 0. 0. 255 tillatelse 192. 168. 9. 0, wildcard bits 0. 0. 0. 255

Merknad nektet ble lagt til toppen av listen, mens tilleggstillatelsen ble lagt til bunnen av listen. I tillegg inkluderer ikke denne oppføringen ikke wildcard-brikkene. Bestillingsadferdene er utformede, med en oppføring for en enkelt vert som er viktigere og derfor filtrert til toppen av listen.

Reduksjonen av ACE for den enkelte verten forventes også. Du kan legge til den enkelte verten på denne måten, i stedet for å skrive ut alle nullene i wildcard-masken.

Switch1 (config) # tilgangsliste 50 nekter verten 192. 168. 8. 200

Du kan lage en ny ACL som nekter de samme to klasse C-adresseblokker, men tillater de første fire adressene i 192. 168. 8. 0/24 rekkevidde (192. 168. 8. 0-192. 168. 8. 3). Her er resultatet hvis du bygger ACL i denne rekkefølgen.

Switch1 # configure terminal Angi konfigurasjonskommandoer, en per linje. Slutt med CNTL / Z. Switch1 (config) # tilgangsliste 60 nekte 192. 168. 8. 0 0. 0. 0. 255 Switch1 (config) # tilgangsliste 60 nekte 192. 168. 9. 0 0. 0. 0. 255 Switch1 (config) # tilgangsliste 60 tillatelse 192. 168. 8. 0 0. 0. 0. 3 Switch1 (config) #end Switch1 # vis tilgangsliste 60 Standard IP-tilgangsliste 60 nekte 192. 168. 8. 0, jokertegn biter 0. 0. 0. 255 nekte 192. 168. 9. 0, wildcard-biter 0. 0. 0. 255 tillate 192. 168. 8. 0, wildcard-biter 0. 0. 0. 3

Fordi oppføringene blir lagt til ACL i den rekkefølgen du skriver dem, tillates sluttgruppen nederst på listen. Hvis du tester denne ACL, vil en adresse som 192. 168. 8. 2 bli hentet av den første ACE og vil ikke motta tillatelsen fra tredje ACE. Hvordan løser du dette? Vel, du har noen valg:

• Du kan fjerne ACL fra hvor den blir brukt, slette ACL, lag en ny i riktig rekkefølge, og legg den til der den blir brukt.Denne lange prosessen forlater faktisk systemet åpent fra det tidspunktet du fjerner ACL fra hvor det blir brukt, til det blir lagt tilbake. Dette har vært standardmetoden for å administrere ACLer.

  Når du arbeider med ACLer på denne måten, vil du kopiere alle trinnene som kreves i notisblokken. exe. Dette inkluderer trinnene for å fjerne den gamle ACL-en og legge til den nye ACL-en. Etter hele prosessen er iscenesatt i notisblokk. exe, bruk kopieringskommandoen til å kopiere og lime inn i CLI-administrasjonsprogrammet ditt, for eksempel kitt. exe.

• Hvis enheten støtter den, kan du redigere ACL ved å bruke IP-kommandoen i følgende kode. Dette gjør det mulig å sette linjenumre i din ACL, et alternativ som du ikke har når du redigerer ACL fra Global Configuration-modus. Dette gjør bruk av ACL-konfigurasjonsmodus. Når du legger inn linjenumrene dine, vil du legge et mellomrom mellom oppføringene i ACL.

Router1 (config) #ip tilgangsliste standard 60 Router1 (config-ext-nacl) # 10 nekte 192. 168. 8. 0 0. 0. 0. 255 Router1 (config-ext-nacl) # 20 nekte 192. 168. 9. 0 0. 0. 0. 255 Router1 (config-ext-nacl) # 30 tillatelse 192. 168. 8. 0 0. 0. 0. 3

Med denne forhåndsplaneringen gjort, gjør du kan deretter legge til en ny ACL-oppføring øverst i ACL ved å velge et tall som er mindre enn 10, ligner på følgende:

Router1> aktiver Passord: Router1 # configure terminal Router1 (config) # ip tilgangsliste standard 60 Router1 (config-ext-nacl) # 5 tillate 192. 168. 8. 0 0. 0. 0. 3 Router1 (config-ext-nacl) # ende Router1 # vis tilgangsliste 60 Standard IP-tilgangsliste 60 5 tillatelse 192. 168. 9. 0, wildcard bits 0. 0. 3 10 nekte 192. 168. 9. 0, wildcard bits 0. 0. 0. 255 20 deny 192. 168. 9. 0, wildcard bits 0. 0. 0. 255 30 tillatelse 192. 168. 8. 0, wildcard bits 0. 0. 0. 3 Dette lar deg redigere ACL på fly (det vil si, uten å fjerne den fra grensesnittene der den brukes) uten å fjerne ACL og gjenopprette ting det, og sparer mye tid og krefter, så lenge det er et gap i nummereringen der du kan legge til din nye oppføring.

Avhengig av IOS-versjonen og enheten, kan det hende du har andre alternativer. Hvis du ser på Adaptive Security Appliance (ASA), trenger du ikke å forhåndsplanere. Så gå gjennom følgende kode, hvor ASA automatisk nummererer linjene for deg:

ASAFirewall1> aktiver Passord: ASAFirewall1 # konfigurer terminal ASAFirewall1 (config) # tilgangsliste 60 nekte 192. 168. 8. 0 255. 255. 255. 0 ASAFirewall1 (config) # Avslutt ASAFirewall1 # Vis tilgangsliste 60 tilgangsliste 60; 2 elementer tilgangsliste 60 linje 1 standard nekte 192. 168. 8. 0 255. 255. 255. 0 (hitcnt = 0) 0x318d5521 tilgangsliste 60 linje 2 standard nekte 192. 168. 9. 0 255. 255. 255. 0 (hitcnt = 0) 0xba5e90e1 ASAFirewall1 # konfigurere terminal ASAFirewall1 (config) # tilgangsliste 60 linje 1 tillate 192. 168. 9. 0 255. 255. 255. 248 ASAFirewall1 (config) # exit ASAFirewall1 # vise tilgangsliste 60 tilgangsliste 60; 3 elementer tilgangsliste 60 linje 1 standard tillatelse 192. 168. 9. 0 255.255. 255. 248 (hitcnt = 0) 0x451bbe48 tilgangsliste 60 linje 2 standard nekte 192. 168. 8. 0 255. 255. 255. 0 (hitcnt = 0) 0x318d5521 tilgangsliste 60 linje 3 standard nekte 192. 168 9. 0 255. 255. 255. 0 (hitcnt = 0) 0xba5e90e1

Ved å bruke ASA kan du fremdeles legge til linjer på fly eller manuelt nummer ACL-poster. Hvis du vil bruke samme linje igjen, vil ASA omnummerere hele listen hvis den trenger det. Dette er virkelig det beste fra begge verdener.