Phần 3. Access-list và các cấu hình liên quan
1.Nhắc lại về lý thuyết
Có 2 loại access-list.
<!--[if !supLists]-->- <!--[endif]-->Loại thứ nhất: Standard IP Access-list chỉ lọc dữ liệu dựa vào địa chỉ IP nguồn. Range của loại này là từ 1à 99. Nên được áp dụng với cổng gần đích nhất.
<!--[if !supLists]-->- <!--[endif]-->Loại thứ hai: Extended IP Access-list lọc dữ liệu dựa vào
<!--[if !supLists]-->o <!--[endif]-->Địa chỉ IP nguồn
<!--[if !supLists]-->o <!--[endif]-->Địa chỉ IP đích
<!--[if !supLists]-->o <!--[endif]-->Giao thức (TCP, UDP)
<!--[if !supLists]-->o <!--[endif]-->Số cổng (HTTP, Telnet…)
<!--[if !supLists]-->o <!--[endif]-->Và các thông số khác như Windcard mask
Range của loại này là từ 100 à199. Nên được áp dụng với cổng gần nguồn nhất.
Hai bước để cấu hình Access-list
<!--[if !supLists]-->- <!--[endif]-->Bước 1: Tạo access-list trong chế độ cấu hình config.
<!--[if !supLists]-->- <!--[endif]-->Bước 2: Áp dụng access-list cho từng cổng tuỳ theo yêu cầu ở chế độ cấu hình (config-if)
Lưu ý:
<!--[if !supLists]-->- <!--[endif]-->Mặc định của tất cả Access-list là deny all, vì vậy trong tất cả các access-list tối thiểu phải có 1 lệnh permit. Nếu trong access-list có cả permit và deny thì nên để các dòng lệnh permit bên trên.
<!--[if !supLists]-->- <!--[endif]-->Về hướng của access-list (In/Out) khi áp dụng vào cổng có thể hiểu đơn giản là: In là từ host, Out là tới host hay In vào trong Router, còn Out là ra khỏi Router.
<!--[if !supLists]-->- <!--[endif]-->Đối với IN router kiểm tra gói tin trước khi nó được đưa tới bảng xử lý. Đối vơi OUT, router kiểm tra gói tin sau khi nó vào bảng xử lý.
<!--[if !supLists]-->- <!--[endif]-->Windcard mask được tính bằng công thức:
WM = 255.255.255.255 – Subnet mask (Áp dụng cho cả Classful và Classless addreess)
<!--[if !supLists]-->- <!--[endif]-->0.0.0.0 255.255.255.255 = any
<!--[if !supLists]-->- <!--[endif]-->Ip address 0.0.0.0 = host ip address (chỉ định từng host một )
2.Cấu hình Standard Access-list (Ví dụ)
Router(config)#access-list 1 deny 172.16.0.0 0.0.255.255
Router(config)#access-list 1 permit any
Router(config)#interface fastethernet 0/0
Router(config-in)#ip access-group in
3.Cấu hình Extended Access-list (Ví dụ)
Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.1 eq telnet
Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.2 eq ftp
Router(config)#access-list 101 permit any any
Router(config)#interface fastethernet 0/0
Router(config-int)#ip access-group out
4.Cấu hình named ACL thay cho các số hiệu
Router(config)#ip access-list extended server-access (tên của access-list)
Router(config-ext-nacl)#permit tcp any host 92.168.1.3 eq telnet
Router(config)#interface fastethernet 0/0
Router(config-int)#ip access-group server-access out
5.Permit hoặc Deny Telnet sử dụng Standard Acl (Ví dụ)
Router(config)#access-list 2 permit 172.16.0.0 0.0.255.255
Router(config)#access-list 2 deny any
Router(config)#line vty 0 4
Router(config-line)#password cisco
Router(config-line)#login
Router(config-line)#ip access-class 2 in
6.Xoá và kiểm tra Access-list
Muốn xoá thì ta dùng lệnh sau:
Router(config)# no ip access-list số hiệu
Kiểm tra Acl ta dùng các lệnh sau:
<!--[if !supLists]-->- <!--[endif]-->show access-list
<!--[if !supLists]-->- <!--[endif]-->show running-config
<!--[if !supLists]-->- <!--[endif]-->show ip interface
