Wednesday, July 25, 2018
TỔNG QUAN VỀ ACCESS-LIST
I- MỘT SỐ KHÁI NIỆM VỀ ACCESS-LIST
1. ACL(Access control lists) là gì?
– ACL là một danh sách các câu lệnh được áp đặt vào các cổng (interface) của router. Danh sách này chỉ ra cho router biết loại packet nào được chấp nhận (allow) và loại packet nào bị hủy bỏ (deny). Sự chấp nhận và huỷ bỏ này có thể dựa vào địa chỉ nguồn, địa chỉ đích hoặc chỉ số port.
– Quản lý các IP traffic
– Hỗ trợ mức độ cơ bản về bảo mật cho các truy cập mạng, thể hiện ở tính năng lọc các packet qua router
• Chức năng:
+Xác định tuyến đường thích hợp cho DDR (dial-on-demand routing)
+ Thuận tiện cho việc lọc gói tin ip
+ Cung cấp tính sẵn sàn mạng cao
Có 2 loại Access lists là: Standard Access lists và Extended Access lists
– Standard (ACLs): Lọc (Filter) địa chỉ ip nguồn (Source) vào trong mạng – đặt gần đích (Destination).
– Extended (ACLs): Lọc địa chỉ ip nguồn và đích của 1 gói tin (packet), giao thức tầng “Network layer header” như TCP, UDP, ICMP…, và port numbers trong tầng “Transport layer header”. Nên đặt gần nguồn (source).
+ Inbound: nói nôm na là 1 cái cổng vào(theo chiều đi vào của gói tin) trên Router những gói tin sẽ được xử lý thông qua ACL trước khi được định tuyến ra ngoài (outbound interface). Tại đây những gói tin sẽ “dropped” nếu không trùng với bảng định tuyến (routing table), nếu gói tin (packet) được chấp nhận nó sẽ được xử lý trước khi chuyển giao (transmission).
+Outbound: là cổng đi ra của gói tin trên Router, những gói tin sẽ được định tuyến đến outbound interface và xử lý thông qua ACLs, trước khi đưa đến ngoài hàng đợi (outbound queue).
– ACL sẽ được thực hiện theo trình tự của các câu lệnh trong danh sách cấu hình khi tạo access-list. Nếu có một điều kiện được so khớp (matched) trong danh sách thì nó sẽ thực hiện, và các câu lệnh còn lại sẽ không được kiểm tra nữa.Trường hợp tất cả các câu lệnh trong danh sách đều không khớp (unmatched) thì một câu lệnh mặc định “deny any” được thực hiện. Cuối access-list mặc định sẽ là lệnh loại bỏ tất cả (deny all). Vì vậy, trong access-list cần phải có ít nhất một câu lệnh permit.
• Khi packet đi vào một interface, router sẽ kiểm tra xem có một ACL trong inbound interface hay không, nếu có packet sẽ được kiểm tra đối chiếu với những điều kiện trong danh sách.
• Nếu packet đó được cho phép (allow) nó sẽ tiếp tục được kiểm tra trong bảng routing để quyết định chọn interface để đi đến đích.
• Tiếp đó, router sẽ kiểm tra xem outbound interface có ACL hay không. Nếu không thì packet có thể sẽ được gửi tới mạng đích. Nếu có ACL ở outbound interface, nó sẽ kiểm tra đối chiếu với những điều kiện trong danh sách ACL đó.
* Chỉ có thể thiết lập 1 ACL trên giao thức cho mỗi hướng trên mỗi interface. Một interface có thể có nhiều ACL.
* Router không thể lọc traffic mà bắt đầu từ chính nó.
* Câu lệnh nào đặt trước thì xử lý trước. Khi 1 câu lệnh mới thêm vào danh sách, nó sẽ đặt cuối danh sách.
* Standard ACLs: Nên đặt gần đích của traffic.
* Extended ACLs: Nên đặt gần nguồn của traffic.
* Mặc định cả hai lệnh “the Access-Group” hay “the Access-Class” theo chiều “OUT”
#: Standard ACLs sử dụng số từ 1 -> 99 hay 1300 -> 1999.
Có 2 bước để tạo ACLs:
+ Định nghĩa danh sách ACLs để đặt vào interface.
router(config)#access-list [#] [permit deny] [wildcard mask] [log]
Hoặc là :
router(config)#access-list [#] [permit deny] [host any] ßThường thì ta dùng lệnh này
Sau đó đặt danh sách(ACLs) vào interface trên router mà ta muốn chặn gói tin ngay tại đó.
router(config)#interface [interface-number]
router(config-if)#ip access-group [#] [in out] – interface access control
Ví dụ cụ thể
Ta thực hiện trên mô hình sau đã đuợc cấu hình hoạt động trên giao thức RIP các router và pc đã ping được với nhau.
• Tạo access list tại global config mode:
Tạo access-list trên R2 cấm PC0(10.0.0.2) vào mạng 220.0.0.0ngay tại cổng vào của Router 2.
R2(config)# access-list 1 deny host 10.0.0.2
R2(config)# access-list 1 permit any <<< Chú ý sau khi đã liệt kê các danh sách địa chi muốn cấp hoặc cho phép thì cuối cùng phải đặt lệnh permit any bởi vì mặc định của router sau khi ta thiêt lập danh sách thì kể từ sau đó router sẽ deny tất cả, vì vậy ta phải dùng lệnh permit any để thay đổi.
• Áp access-list vào cổng.
–Áp access-list này vào Inbound s0/3/0 trên R2.
–Khi áp access-list vào một cổng, xem như đang trên router. Vì vậy nếu muốn cấm dữ liệu đi ra khỏi cổng, ta dùng từ khóa “out”; muốn cấm dữ liệu vào một cổng, ta dùng từ khóa “in”.
R2(config)# interface s0/3/0
R2(config-if)# ip access-group 1 out
Sau đó ta vào PC0(10.0.0.2) dùng lệnh ping vào mạng 220.0.0.0 để kiểm tra.
Ta thử dùng máy PC1(10.0.0.3) ping vào mạng 220.0.0.0.
–Vì standard access-list chỉ kiểm tra được địa chỉ nguồn nên phải áp access-list vào cổng gần đích nhất.
Cũng giống standard ACL và thêm một số cách lọc gói tin như:
+ Source and destination IP address (Địa chỉ nguồn địa chỉ đích)
+ IP protocol – TCP, UDP, ICMP, and so on( cấm giao thức)
+ Port information (WWW, DNS, FTP, TELNET, etc)( cấm các dịch vụ thông qua các cổng hoạt động của nó)
Các lệnh cấu hình:
Ta cũng thực hiện 2 bước giống như Standard ACLs
• Tạo access list tại global config mode:
router(config)#access-list [#] [permit deny] [protocol] [wildcard mask] [operator source port] [destination address] [wildcard mask] [operator destination port] [log]
Hoặc
router(config)#access-list [#] [permit deny] [protocol] [host] [host] [destination address][ lt, gt, neq, eq, range] [port number]
• Áp access-list vào cổng.
router(config)#interface [interface-number]
router(config-if)#ip access-group [#] [in out] – interface access control
Ví dụ:
Tạo ACls tại router R1 cấm R2 truy cập vào Router 1 dưới giao thức TCP bằng dịch vụ Telnet.
Đầu tiên ta mở dịch vụ telnet cho các Router
Tại global config mode ta gõ các lệnh sau.
router(config)#line vty 0 4
router(config)#password telnet <<<<Đặt pass tùy ý cho telnet
router(config)#login
Khi cấu hình xong ta đứng tại 1 Router nào đó telnet qua Các router còn lại để Test.
Vậy là các Router đã telnet được với nhau
Bây giờ ta thiết lập ACL tại R1
R1(config)# access-list 101 deny TCP host 200.0.0.2 host 200.0.0.1 eq telnet
R1(config)# access-list 101 deny tcp any any
Áp ACL vào cổng muốn chặn lại ngay đó.
R1(config)# interface s0/3/0
R1(config-if)#ip access-group 101 in
Sau khi cấu hình xong ta Telnet thử
Đứng tại Router 2 Telnet qua Router 1 bằng lệnh
R2#telnet 200.0.0.1
Router 1 không trả lời vậy là ta đã cấu hình thành công
Một số port thông dụng:
——————————————————————–
Port Number ——-TCP port names —-UDP port names
——————————————————————–
6 ———————-TCP————————————–
21———————-FTP————————————–
23 ———————TELNET——————————–
25 ———————SMTP————————————
53———————————————-DNS————-
69 ———————————————TFTP————-
80 ———————WWW———————————–
161 ——————————————–SNMP———–
520 ——————————————–RIP—————
III- QUẢN LÝ CÁC ACCESS-LIST (ACLs)
• Hiển thị tất cả ACLs đang sử dụng. Router(config)#show running-config
• Xem ACLs hoạt động trên interface nào đó. Router(config)#show interface [ # ]
• Xem việc đặt và hướng đi của ip ACLs: Router(config)#show ip interfaces [ # ]
• Xem những câu lệnh ACLs: Router(config)#show access-list [ # ]
• Hiển thị tất cả ip ACLs: Router#show ip access-list
• Hiển thị ip ACL 100: Router#show ip access-list 100
• Xóa bộ đếm (to clear the counters use):
router(config)#show access-list [ # ]
router(config)#clear access-list counter [ # ]
• Xóa Access list
router(config)#no ip access-list [standard-extended][#]
router(config)#interface [interface-number]
router(config-if)#no access-list [#] [permit deny] [wildcard mask]
Bạn có thể bình luận bài viết tại đây...
