Standard Access Control List (ACL) Modification - dummies

Administrator jaringan memodifikasi Daftar Kontrol Akses standar (ACL) dengan menambahkan baris. Setiap entri baru yang Anda tambahkan ke Access Control List (ACL) muncul di bagian bawah daftar.

Tidak seperti tabel routing, yang mencari kecocokan terdekat dalam daftar saat memproses entri ACL yang akan digunakan sebagai entri pencocokan pertama. Jika, misalnya, Anda ingin memiliki satu host di 192. 168. 8. 0/24 diblokir di ACL Anda, maka akan ada perbedaan. Anda perlu menambahkan menyangkal untuk 192. 168. 8. 200 ke ACL Anda:

Switch1> enable Password: Switch1 # configure terminal Masukkan perintah konfigurasi, satu per baris. Akhiri dengan CNTL / Z. Switch1 (config) # access-list 50 menolak 192. 168. 8. 200 0. 0. 0. 0 Switch1 (config) #end Switch1 # show access-list 50 Daftar akses standar IP 50 menolak 192. 168. 8. 200 izin 192. 168. 8. 0, bit wildcard 0. 0. 0. 255 izin 192. 168. 9. 0, bit wildcard 0. 0. 0. 255

Pemberitahuan penolakan ditambahkan ke bagian atas daftar, sedangkan izin tambahan ditambahkan ke bagian bawah daftar. Selain itu, entri ini tidak menyertakan bit wildcard. Perilaku pemesanan adalah dengan desain, dengan entri untuk satu host menjadi lebih penting dan oleh karena itu disaring ke bagian atas daftar.

Pengurangan ACE untuk host tunggal juga diharapkan. Anda bisa menambahkan host tunggal dengan cara ini, daripada menuliskan semua angka nol di topeng wildcard.

Switch1 (config) # access-list 50 menolak host 192. 168. 8. 200

Anda dapat membuat ACL baru yang akan menolak dua blok alamat Kelas C yang sama, namun mengizinkan empat alamat pertama di 192 168. 8. 0/24 kisaran (192. 168. 8. 0-192 168. 8. 3). Inilah hasilnya jika Anda membangun ACL dalam urutan ini.

Switch1 # configure terminal Masukkan perintah konfigurasi, satu per baris. Akhiri dengan CNTL / Z. Switch1 (config) # access-list 60 menolak 192. 168. 8. 0 0. 0. 0. 255 Switch1 (config) # access-list 60 menyangkal 192. 168. 9. 0 0. 0. 0. 255 Switch1 (config) # access-list 60 permit 192. 168. 8. 0 0. 0. 0. 3 Switch1 (config) #end Switch1 # show access-list 60 Daftar akses standar IP 60 menolak 192. 168. 8. 0, wildcard bit 0. 0. 0. 255 menolak 192. 168. 9. 0, bit wildcard 0. 0. 0. 255 izin 192. 168. 8. 0, bit wildcard 0. 0. 0. 3

Karena entri ditambahkan ke ACL sesuai urutan yang Anda ketik, izin tersebut berakhir di bagian bawah daftar. Jika Anda menguji ACL ini, alamat seperti 192. 168. 8. 2 akan diambil oleh ACE pertama dan tidak akan menerima izin dari ACE ketiga. Bagaimana Anda memperbaiki ini? Nah, Anda punya beberapa pilihan:

• Anda dapat menghapus ACL dari tempat penggunaannya, hapus ACL, buat yang baru dengan urutan yang benar, dan tambahkan kembali ke tempat yang digunakan.Proses panjang ini benar-benar membuat sistem terbuka sejak Anda melepaskan ACL dari tempat ia digunakan, sampai ditambahkan kembali. Ini adalah metode standar untuk mengelola ACL.

  Saat bekerja dengan ACL dengan cara ini, Anda akan menyalin semua langkah yang diperlukan ke dalam notepad. exe Ini termasuk langkah-langkah untuk menghapus ACL lama dan menambahkan ACL baru. Setelah seluruh proses dipentaskan di notepad. exe, gunakan perintah copy untuk copy dan paste ke aplikasi manajemen CLI Anda, seperti putty. exe

• Jika perangkat Anda mendukungnya, Anda dapat mengedit ACL dengan menggunakan perintah IP dalam kode berikut. Ini memungkinkan Anda memasukkan nomor telepon ke ACL Anda, opsi yang tidak Anda miliki saat mengedit ACL dari mode Global Configuration. Ini menggunakan mode ACL Configuration. Saat memasukkan nomor telepon Anda, Anda ingin meninggalkan celah di antara entri di ACL.

Router1 (config) #ip access-list standard 60 Router1 (config-ext-nacl) # 10 menolak 192. 168. 8. 0 0. 0. 0. 255 Router1 (config-ext-nacl) # 20 menolak 192. 168. 9. 0 0. 0. 0. 255 Router1 (config-ext-nacl) # 30 mengizinkan 192. 168. 8. 0 0. 0. 0. 3

Dengan perencanaan pra-persiapan ini, Anda Kemudian tambahkan entri ACL baru di bagian atas ACL dengan memilih nomor yang kurang dari 10, sama seperti berikut ini:

Router1> enable Password: Router1 # configure terminal Router1 (config) # ip access-list standard 60 Router1 (config-ext-nacl) # 5 ijin 192. 168. 8. 0 0. 0. 0. 3 Router1 (config-ext-nacl) # akhir Router1 # tampilkan daftar akses 60 Daftar akses IP Standar 60 5 izin 192. 168. 9. 0, bit wildcard 0. 0. 0. 3 10 menolak 192. 168. 9. 0, bit wildcard 0. 0. 0. 255 20 menolak 192. 168. 9. 0, bit wildcard 0. 0. 0. 255 30 izin 192. 168. 8. 0, bit wildcard 0. 0. 0. 3 Ini memungkinkan Anda mengedit ACL dengan cepat (yaitu, tanpa mengeluarkannya dari antarmuka di mana ia digunakan) tanpa melepaskan ACL dan recrea ting itu, menghemat banyak waktu dan tenaga, selama ada celah dalam penomoran di mana Anda bisa menambahkan entri baru Anda.

Bergantung pada versi dan perangkat iOS, Anda mungkin memiliki opsi lain. Jika Anda melihat Adaptive Security Appliance (ASA), Anda tidak perlu melakukan preplan. Jadi tinjau kode berikut, di mana ASA secara otomatis memberi nomor untuk Anda:

ASAFirewall1> enable Password: ASAFirewall1 # configure terminal ASAFirewall1 (config) # access-list 60 deny 192. 168. 8. 0 255. 255. 255. 0 ASAFirewall1 (config) # access-list 60 menolak 192. 168. 9. 0 255. 255. 255. 0 ASAFirewall1 (config) # exit ASAFirewall1 # show access-list 60 daftar akses 60; 2 elemen access-list 60 baris 1 standar menolak 192. 168. 8. 0 255. 255. 255. 0 (hitcnt = 0) 0x318d5521 daftar akses 60 baris 2 standar menolak 192. 168. 9. 0 255. 255. 255. 0 (hitcnt = 0) 0xba5e90e1 ASAFirewall1 # configure terminal ASAFirewall1 (config) # access-list 60 baris 1 izin 192. 168. 9. 0 255. 255. 255. 248 ASAFirewall1 (config) # exit ASAFirewall1 # show access-list 60 daftar akses 60; 3 elemen akses-daftar 60 baris 1 izin standar 192. 168. 9. 0 255.255. 255. 248 (hitcnt = 0) 0x451bbe48 daftar akses 60 baris 2 standar menolak 192. 168. 8. 0 255. 255. 255. 0 (hitcnt = 0) 0x318d5521 daftar akses 60 baris 3 standar menolak 192. 168 9. 0 255. 255. 255. 0 (hitcnt = 0) 0xba5e90e1

Dengan menggunakan ASA, Anda masih dapat menambahkan baris on the fly atau entri ACL secara manual. Jika Anda ingin menggunakan baris yang sama lagi, ASA akan memberi nomor baru daftar keseluruhan Anda jika perlu. Ini benar-benar yang terbaik dari kedua dunia.