1. Tổng quan về Access-list: Access-list (ACLs) là một danh sách các câu lệnh được áp đặt vào các cổng (interface) của Router Cisco / Switch Cisco. Danh sách này chỉ ra cho router / switch biết loại packet nào được chấp nhận (allow) và loại packet nào bị hủy bỏ (deny). Sự chấp nhận và huỷ bỏ này có thể dựa vào địa chỉ nguồn, địa chỉ đích hoặc chỉ số port. 2. Có 2 loại access-list: 2.1 Standard IP Access-list (Standard ACLs) Loại này chỉ lọc(filter) dữ liệu dựa vào địa chỉ IP nguồn. Range của loại này là từ 1->99. Khuyến nghị nên được áp dụng với cổng gần đích nhất (đặt gần đích của traffic)-Destination. Có 2 bước để tạo ACLs IP Standard trên thiết bị Cisco: B1: Định nghĩa danh sách ACLs để đặt vào interface. (config)#access-list [#number] [permit | deny] [wildcard mask] [log] Hoặc là : (config)#access-list [#number] [permit | deny] [host | any] B2: Đặt danh sách(ACLs) vào interface trên router / switch mà ta muốn chặn gói tin ngay tại đó. (config)#interface [interface-number] (config-if)#ip access-group [#number] [in | out] Ví dụ: (config)#access-list 1 deny 172.16.0.0 0.0.255.255 (config)#access-list 1 permit any (config)#interface fastethernet 0/0 (config-if)#ip access-group 1 in 2.2 Extended IP Access-list (Extended ACLs) Loại này lọc(filter) dữ liệu dựa vào: Địa chỉ IP nguồn, Địa chỉ IP đích, Giao thức (TCP, UDP), Số cổng (HTTP, Telnet…), Và các thông số khác như Wildcard mask. Range của loại này là từ 100 ->199. Khuyến nghị nên được áp dụng với cổng gần nguồn nhất (Source). Có 2 bước để cấu hình Extended IP Access-list trên thiết bị Cisco: B1: Tạo access-list trong chế độ cấu hình config. router(config)#access-list [#number] [permit | deny] [protocol] [wildcard mask] [source port] [destination address] [wildcard mask] [destination port] [log] B2: Áp dụng access-list cho từng cổng tuỳ theo yêu cầu ở chế độ cấu hình (config-if) (config)#interface [interface-number] (config-if)#ip access-group [#number] [in | out] Lưu ý: - Mặc định của tất cả Access-list là deny all, vì vậy trong tất cả các access-list tối thiểu phải có 1 lệnh permit. Nếu trong access-list có cả permit và deny thì nên để các dòng lệnh permit lên trên. - Về hướng của access-list (In/Out) khi áp dụng vào cổng có thể hiểu đơn giản là: In là từ host, Out là tới host hay In vào trong Router, còn Out là ra khỏi Router. - Đối với IN router kiểm tra gói tin trước khi nó được đưa tới bảng xử lý. Đối vơi OUT, router kiểm tra gói tin sau khi nó vào bảng xử lý. - Wildcard mask được tính bằng công thức: Wildcard Mask = 255.255.255.255 – Subnet mask (Áp dụng cho cả Classful và Classless addreess) - Địa chỉ 0.0.0.0 255.255.255.255 = any. - Ip_address 0.0.0.0 = host ip_address (chỉ định từng host một ) Ví dụ: (config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.1 eq telnet (config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.2 eq ftp (config)#access-list 101 permit any any (config)#interface fastethernet 0/0 (config-if)#ip access-group 101 out 3. Cấu hình tên access-list (named ACLs) thay cho các số hiệu. (config)#ip access-list extended tgm-access (tên của access-list) (config-ext-nacl)#permit tcp any host 192.168.1.3 eq telnet (config)#interface fastethernet 0/0 (config-if)#ip access-group tgm-access out 4. Permit hoặc Deny Telnet sử dụng Standard Acl (config)#access-list 2 permit 172.16.0.0 0.0.255.255 (config)#access-list 2 deny any (config)#line vty 0 4 (config-line)#password cisco (config-line)#login (config-line)#ip access-class 2 in 5. Kiểm tra và xoá Access-list (ACLs) - Hiển thị tất cả ACLs đang sử dụng (config)#show running-config - Xem ACLs hoạt động trên interface nào đó (config)#show interface [#number] - Xem việc đặt và hướng đi của ip ACLs (config)#show ip interfaces [#number] - Xem những câu lệnh ACLs (config)#show access-list [#number] - Hiển thị tất cả ip ACLs #show ip access-list - Hiển thị ip ACL 101 #show ip access-list 101 - Xóa bộ đếm (to clear the counters use) (config)#show access-list [#number] (config)#clear access-list counter [#number] - Xóa Access list (config)#no ip access-list [standard-extended][#number] (config)#interface [interface-number] (config-if)#no access-list [#number] [permit deny] [wildcard mask] 6. Một số port thông dụng: ——————————————————————– Port Number ——-TCP port names —-UDP port names ——————————————————————– 6 ———————-TCP————————————– 21———————-FTP————————————– 23 ———————TELNET——————————– 25 ———————SMTP———————————— 53———————————————-DNS————- 69 ———————————————TFTP————- 80 ———————WWW———————————– 161 ——————————————–SNMP———– 520 ——————————————–RIP———— Đến đây hy vọng các bạn đã hiểu và có thể áp dụng được ACL lên thiết bị mạng Cisco trong công ty hoặc khách hàng của bạn. Chúc các bạn thành công.
Lọc lưu lượng (Telnet) sử dụng ACL trên thiết bị chuyển mạch Cisco Layer 3 Như bạn đã học trong CCNA, bạn có thể lọc lưu lượng truy cập bằng ACL có thể là: ACL tiêu chuẩn: Chỉ chứa địa chỉ IP nguồn. ACL mở rộng: Chứa cả IP nguồn / đích và các cổng. Cũng có thể thực hiện lọc bằng cách sử dụng danh sách tiền tố(prefix-lists) và bản đồ tuyến đường (route-maps). Trong ví dụ lọc ACL đơn giản đầu tiên này, yêu cầu là chặn lưu lượng telnet từ Host1 đến Host2. Để đạt được điều này, chúng ta sẽ sử dụng ACL mở rộng được áp dụng hường vào (inbound) trên một trong các Giao diện VLAN Switch (SVI) (vlan 10) của Switch Layer3 như được hiển thị bên dưới. Trước tiên, hãy xác minh kết nối giữa các máy (hosts) trước khi áp dụng ACL: H1#ping 172.16.0.1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 172.16.0.1, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms H1#telnet 172.16.0.1 Trying 172.16.0.1 … Open User Access Verification Username: Như hình trên, chúng ta có kết nối giữa hai máy (hosts). Chúng ta có thể sử dụng lọc ACL, cụ thể sẽ chặn phiên telnet từ Host1 đến Host2 bằng cách sử dụng ACL được áp dụng gửi đến trên giao diện SVI cho VLAN10 của chuyển mạch (Switch Layer3). GHI CHÚ: Một ACL được áp dụng theo hướng vào trên giao diện SVI (giao diện vlan 10) chặn lưu lượng truy cập đến từ các máy (hosts) được kết nối với các cổng VLAN10 về phía chuyển mạch. Cấu hình trên Switch Cisco L3 chặn telnet từ Host1 sang Host2. 1. Cấu hình ACL trên Switch để chặn telnet (Configure ACL on the switch to block telnet) ip access-list extended Block_Telnet deny tcp host 192.168.1.1 host 172.16.0.1 eq 23 permit ip any any <--- Cho phép tất cả 2. Áp dụng ACL cho giao diện SVI của Switch (Apply the ACL to the SVI Interface of the switch) interface Vlan10 <--- Giao diện SVI (Vlan10) của Layer3 switch description to Host1 ip address 192.168.1.2 255.255.255.0 ip access-group Block_Telnet in <--- Áp dụng ACL để lọc lưu lượng truy cập đến SVI (Vlan10) từ Host1 interface Vlan20 <--- Giao diện SVI (Vlan20) của Layer3 switch (no ACL on this one) description to Host2 ip address 172.16.0.2 255.255.255.0 3. Kiểm tra H1#telnet 172.16.0.1 Trying 172.16.0.1 …. % Connection timed out; remote host not responding --> Như bạn có thể thấy, lưu lượng telnet đã bị chặn. Chúc các bạn thành công. Bài viết liên quan: - Cấu hình Port Security trên Switch Cisco - Cấu hình Express mode trên Switch Cisco - Cấu hình MultiLayer Switching & InterVLan Routing - Cấu hình mạng LAN doanh nghiệp: VLAN, VTP, TRUNKING - Cấu hình giao thức VTP trên Switch Cisco - Cấu hình căn bản Switch Cisco Catalyst 2960
