(Microsoft PowerPoint - Lab 22.ppt [\254\333\256e\274\322\246\241])

Size: px

Start display at page:

Download "(Microsoft PowerPoint - Lab 22.ppt [\254\333\256e\274\322\246\241])"

费翁顾
5 years ago
Views:

1 實驗 22 NetSim-Cisco 存取規則清單實驗目的 : 明瞭 Cisco 安全管理法則建立 ACLs-Standard Extended

2 背景資料 Access List( 存取規則清單 ) 或 Access Control List(ACL) 是網路安全中的一項必要功能, 當網路規模還很小時, 常會使用密碼來允許使用者得到設備的權限, 但如果網路規模愈來愈大時, 網路管理者會開始面臨到存取上的管理問題, 而 Access List 就是用來解決大中型網路上存取關係問題的方式當 Access List 功能啟動之後, 如果有個封包進入路由器時, 路由器所扮演的不再只是轉送的角色而已, 而是要經過 Access List 的測試, 才可以轉送出去, 假若無法通過 Access List 中的存取規則, 該封包就會被丟棄 (drop)

3 IP 存取列表 IP 網路環境中, 我們使用 IP 存取列表有分成 IP 標準的存取列表 (IP Standard Access Lists) 及 IP 延伸的存取列表 (IP extended Access Lists), 範圍如下表所示

4 標準的 IP 存取列表標準的 IP 存取列表如圖示, 只有比對封包的來源位址, 然後進行允許 (permit) 或拒絕 (deny) 的限制動作

5 標準的 IP 存取列表標準的 IP 存取列表的語法, 如下所示 : access-list access-list-number {permit deny} source [wildcard mask] access-list 是主要的指令, 而後面的參數說明如下 : access-list-number: 存取列表的號碼, 標準的 IP 存取列表號碼是 1~99 permit deny: 指定這條規則是 [ 允許拒絕 ] source: 要使用這條規則的來源 IP 位址 wildcard mask: 通配遮罩,0 是進行檢查,1 是不檢查

6 通配遮罩 (wildcard mask) 範例一 :source: Wildcard mask: , 代表每個位元都必需符合, 此規則只針對範例二 :source: Wildcard mask: , 代表後面的 256 個位置會符合規則, 也就是 ~ 都符合

7 標準的 IP 存取列表在訪問列表的最後有一條隱含聲明.. deny any, 即使並沒有設定, 所以每一條正確的訪問列表都至少應該有一條允許語句

8 通配遮罩通配遮罩用來設定個別的主機網路區塊或特定範圍的一個網路或多個網路, 和子網路遮罩不同的是它並不需要連續的 0 再接上連續的 1, 其中 0 是進行檢查,1 是不檢查, 例如 ( ), 表示不檢查最後第 5,2,1 位元, 不過除非是考試需要否則一般並不會如此設定, 底下用一些實用範例來說明通配遮罩的設定

9 通配遮罩個別的主機標準存取列表 Access-list 1 permit Access-list 1 permit ( 標準存取列表預設值 ) Access-list 1 permit host 延伸存取列表 Access-list 101 permit ip any Access-list 101 permit ip host any

10 通配遮罩

11 通配遮罩

12 通配遮罩

13 通配遮罩

14 通配遮罩

15 啟動 Access List 設定好存取列表的規則後, 我們必需在指定的介面上啟動列表才算完成設定啟動的語法如下所示 : ip access-group access-list-number {in out} ip access-group 是主要指令, 其後面的參數說明如下 : access-list-number: 是已設定好的存取列表編號 in/out:in 是進入介面,out 是從介面輸出, 預設是 out

16 路由器有 ACL 的封包處理流程路由器待處理的封包數量眾多, 所以增加 ACL 會增加路由器的負擔, 有時會建議使用專用防火牆來過濾封包

17 路由器有 ACL 的封包處理流程

18 路由器有 ACL 的封包處理流程

19 延伸的 IP 存取列表 IP 延伸存取列表, 顧名思義, 就是 IP 標準存取列表的進階版本 IP 延伸存取列表如圖示, 可以使用較多的控制參數, 比對封包的來源位址目的位址埠號和協定, 然後進行允許 (permit) 或拒絕 (deny) 的限制動作

20 延伸的 IP 存取列表

21 延伸的 IP 存取列表延伸的 IP 存取列表的語法如下所示 : access-list access-list-number {permit deny} protocol source source-wildcard [operator port] destination destination-wildcard [operator port] [established] [log]

22 延伸的 IP 存取列表其中 access-list 是主要的指令, 而後面的參數說明如下 : access-list-number: 存取列表的號碼, 延伸的 IP 存取列表號碼是 100~199 permit deny: 指定這條規則是 [ 允許拒絕 ] protocol: 可以使用的協定, 有 tcp udp IP ICMP IGRP EIGRP OSPF 等 source source-wildcard: 來源位址的 IP source-wildcard 是用來辨識來源 IP 位址是否符合我們想要制定的規則, 當 source-wildcard 為 1 時忽略不檢查, 若為 0 則是需要檢查, 用法和標準存取列表相同, 而 any 是代表任何來源的 IP 封包, 也就是 destination destination-wildcard: 目的位址的 IP, 和 source sourcewildcard 的用法一樣 operator port: 協定指定的選項 log: 記錄有關封包進入存取列表的資訊

23 延伸的 IP 存取列表 access-list 101 permit tcp any eq telnet access-list 102 permit ip any access-list 101 deny tcp eq 21 access-list 101 deny tcp eq 20 access-list 101 permit ip any any

24 實驗方法實驗要求 : 不允許 /16, /0, 連線至 PC1 首先建立存取列表 (config)#access-list 1 deny (config)#access-list 1 deny (config)#access-list 1 deny host (config)#access-list 1 permit any

25 標準存取列表啟動這條規則, 並可用 show ip interface f0/0 來驗證, 過程如下所示 : (config)#interface f0/0 (config-if)#ip access-group 1 out

26 延伸存取列表實驗要求 : 新竹 (Router 2) 只允許由高雄 (Router 3) 來 telnet 路由器要使用 telnet 命令來被遠端虛擬終端控制的話, 其路由器需在 vty 上設有密碼, 本實驗要求新竹 (Router 2) 可被 telnet, 相關命令請參考實驗十六首先建立存取列表 (config)#access-list 101 permit tcp host any eq telnet (config)#access-list 101 permit tcp host any eq telnet (config)#access-list 101 permit tcp host any eq telnet (config)#access-list 101 deny tcp any any eq telnet (config)#access-list 101 permit ip any any

27 延伸存取列表啟動這條規則, 並可用 show ip interface f0/0 來驗證, 過程如下所示 : (config)#interface s0 (config-if)#ip access-group 101 in (config-if)#interface s1 (config-if)#ip access-group 101 in

28 延伸存取列表

29 延伸存取列表接下來分別使用台北 (Router 1) 和高雄 (Router 3) 對新竹 (Router 2) telnet 來驗證

30 延伸存取列表實驗要求 : 高雄 (Router 3) 不允許 PING 首先建立存取列表 (config)#access-list 101 deny icmp any any (config)#access-list 101 permit ip any any 接下來, 啟動這條規則, 過程如下所示 : (config-if)#interface s0 (config-if)#ip access-group 101 in (config-if)#interface s1 (config-if)#ip access-group 101 in (config-if)#interface s2 (config-if)#ip access-group 101 in (config-if)#interface f0/0 (config-if)#ip access-group 101 in

31 名稱式存取清單名稱式存取清單不是另外種類存取清單, 僅是一種產生標準與延伸式存取清單的方法, 名稱式存取清單可用名稱來產生, 讓我們以較有意義的方式來參考, 這存取清單沒有任何新的或不同的意義, 命令如下 : ip access-list {extended logging standard} access-list-name 啟動名稱式存取清單的語法如下所示 : ip access-group access-list-name {in out}

32 學習評量 1. 說明建立存取列表的目的 2. 說明標準存取列表的範圍 3. 說明伸存取列表的範圍 4. any 所代表的位址為何? 5. 說明哪個指令是指啟動存取列表? 6. 說明何謂 Source-wildcard? 該如何計算? 7. 說明存取列表和防火牆是否相同? 8. 說明 TCP 和 UDP 常用的 port 號為何? 9. 說明標準存取列表和延伸存取列表的差異性 10. 在延伸存取列表的實驗中, 新竹 (Router 2) 只允許由高雄 (Router 3) 來 telnet, 除實驗範例外有沒有其它的指定方式?

IP Access Lists IP Access Lists IP Access Lists

Chapter 10 Access Lists IP Access Lists IP Access Lists IP Access Lists Security) IP Access Lists Access Lists (Network router For example, RouterA can use an access list to deny access from Network 4