1. Tổng quan về Access-list:
Access-list (ACLs) là một danh sách các câu lệnh được áp đặt vào các cổng (interface) của router (switch) Cisco. Danh sách này chỉ ra cho router (switch) biết loại packet nào được chấp nhận (allow) và loại packet nào bị hủy bỏ (deny). Sự chấp nhận và huỷ bỏ này có thể dựa vào địa chỉ nguồn, địa chỉ đích hoặc chỉ số port.
2. Có 2 loại access-list:
2.1 Standard IP Access-list (Standard ACLs)
Loại này chỉ lọc(filter) dữ liệu dựa vào địa chỉ IP nguồn. Range của loại này là từ 1->99. Khuyến nghị nên được áp dụng với cổng gần đích nhất (đặt gần đích của traffic)-Destination.
Có 2 bước để tạo ACLs IP Standard:
B1: Định nghĩa danh sách ACLs để đặt vào interface.
(config)#access-list [#number] [permit | deny] [wildcard mask] [log]
Hoặc là :
(config)#access-list [#number] [permit | deny] [host | any]
B2: Đặt danh sách(ACLs) vào interface trên router(switch) mà ta muốn chặn gói tin ngay tại đó.
(config)#interface [interface-number]
(config-if)#ip access-group [#number] [in | out]
Ví dụ:
(config)#access-list 1 deny 172.16.0.0 0.0.255.255
(config)#access-list 1 permit any
(config)#interface fastethernet 0/0
(config-if)#ip access-group 1 in
2.2 Extended IP Access-list (Extended ACLs)
Loai này lọc(filter) dữ liệu dựa vào: Địa chỉ IP nguồn, Địa chỉ IP đích, Giao thức (TCP, UDP), Số cổng (HTTP, Telnet…), Và các thông số khác như Windcard mask. Range của loại này là từ 100 ->199. Khuyến nghị nên được áp dụng với cổng gần nguồn nhất (Source).
Có 2 bước để cấu hình Extended IP Access-list:
B1: Tạo access-list trong chế độ cấu hình config.
router(config)#access-list [#number] [permit | deny] [protocol] [wildcard mask] [source port] [destination address] [wildcard mask] [destination port] [log]
B2: Áp dụng access-list cho từng cổng tuỳ theo yêu cầu ở chế độ cấu hình (config-if)
(config)#interface [interface-number]
(config-if)#ip access-group [#number] [in | out]
Lưu ý:
– Mặc định của tất cả Access-list là deny all, vì vậy trong tất cả các access-list tối thiểu phải có 1 lệnh permit. Nếu trong access-list có cả permit và deny thì nên để các dòng lệnh permit bên trên.
– Về hướng của access-list (In/Out) khi áp dụng vào cổng có thể hiểu đơn giản là: In là từ host, Out là tới host hay In vào trong Router, còn Out là ra khỏi Router.
– Đối với IN router kiểm tra gói tin trước khi nó được đưa tới bảng xử lý. Đối vơi OUT, router kiểm tra gói tin sau khi nó vào bảng xử lý.
– Wildcard mask được tính bằng công thức:
Wildcard Mask = 255.255.255.255 – Subnet mask (Áp dụng cho cả Classful và Classless addreess)
– Địa chỉ 0.0.0.0 255.255.255.255 = any.
– Ip_address 0.0.0.0 = host ip_address (chỉ định từng host một )
Ví dụ:
(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.1 eq telnet
(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.2 eq ftp
(config)#access-list 101 permit any any
(config)#interface fastethernet 0/0
(config-if)#ip access-group 101 out
3. Cấu hình tên access-list (named ACLs) thay cho các số hiệu.
(config)#ip access-list extended tgm-access (tên của access-list)
(config-ext-nacl)#permit tcp any host 192.168.1.3 eq telnet
(config)#interface fastethernet 0/0
(config-if)#ip access-group tgm-access out
4. Permit hoặc Deny Telnet sử dụng Standard Acl
(config)#access-list 2 permit 172.16.0.0 0.0.255.255
(config)#access-list 2 deny any
(config)#line vty 0 4
(config-line)#password cisco
(config-line)#login
(config-line)#ip access-class 2 in
5. Kiểm tra và xoá Access-list (ACLs)
– Hiển thị tất cả ACLs đang sử dụng
(config)#show running-config
– Xem ACLs hoạt động trên interface nào đó
(config)#show interface [#number]
– Xem việc đặt và hướng đi của ip ACLs
(config)#show ip interfaces [#number]
– Xem những câu lệnh ACLs
(config)#show access-list [#number]
– Hiển thị tất cả ip ACLs
#show ip access-list
– Hiển thị ip ACL 101
#show ip access-list 101
– Xóa bộ đếm (to clear the counters use)
(config)#show access-list [#number]
(config)#clear access-list counter [#number]
– Xóa Access list
(config)#no ip access-list [standard-extended][#number]
(config)#interface [interface-number]
(config-if)#no access-list [#number] [permit deny] [wildcard mask]
6. Một số port thông dụng:
——————————————————————–
Port Number ——-TCP port names —-UDP port names
——————————————————————–
6 ———————-TCP————————————–
21———————-FTP————————————–
23 ———————TELNET——————————–
25 ———————SMTP————————————
53———————————————-DNS————-
69 ———————————————TFTP————-
80 ———————WWW———————————–
161 ——————————————–SNMP———–
520 ——————————————–RIP————
