Standardänderung der Zugriffssteuerungsliste (ACL) - Dummys

Netzwerkadministratoren modifizieren eine Standard-Zugriffssteuerungsliste (ACL), indem sie Zeilen hinzufügen. Jeder neue Eintrag, den Sie der Zugriffssteuerungsliste (ACL) hinzufügen, wird am Ende der Liste angezeigt.

Im Gegensatz zur Routing-Tabelle, die bei der Verarbeitung eines ACL-Eintrags, der als erster übereinstimmender Eintrag verwendet wird, nach der nächsten Übereinstimmung in der Liste sucht. Wenn Sie zum Beispiel einen Host auf dem 192. 168. 8. 0/24 in Ihrer ACL blockieren möchten, dann gäbe es einen Unterschied. Sie müssen Ihre ACL zu 192. 168. 8. 200 mit verweigern:

Switch1> aktivieren Passwort: Switch1 # Terminal konfigurieren Geben Sie Konfigurationsbefehle ein, einen pro Zeile. Beenden Sie mit CNTL / Z. Switch1 (config) # Zugriffsliste 50 deny 192. 168. 8. 200 0. 0. 0. 0 Switch1 (config) #end Switch1 # Zugriffsliste anzeigen 50 Standard IP-Zugriffsliste 50 deny 192. 168. 8. 200 permit 192. 168. 8. 0, Platzhalterbits 0. 0. 0. 255 allow 192. 168. 9. 0, Platzhalterbits 0. 0. 0. 255

Hinweis deny wurde am Anfang der Liste hinzugefügt. Die zusätzliche Genehmigung wurde am Ende der Liste hinzugefügt. Darüber hinaus enthält dieser Eintrag die Platzhalter-Bits nicht. Das Bestellverhalten ist beabsichtigt, wobei jeder Eintrag für einen einzelnen Host wichtiger ist und daher an die Spitze der Liste gefiltert wird.

Die Reduzierung des ACE für den einzelnen Host wird ebenfalls erwartet. Sie könnten den einzelnen Host auf diese Weise hinzufügen, anstatt alle Nullen in die Wildcard-Maske zu schreiben.

Switch1 (config) # Zugriffsliste 50 Deny 192. 168. 8. 200

Sie können eine neue ACL erstellen, die die gleichen beiden Class C-Adressblöcke verweigert, aber die ersten vier Adressen in der 192 168. 8. 0/24 Bereich (192. 168. 8. 0-192. 168. 8. 3). Hier ist das Ergebnis, wenn Sie die ACL in dieser Reihenfolge erstellen.

Switch1 # Terminal konfigurieren Geben Sie Konfigurationsbefehle ein, einen pro Zeile. Beenden Sie mit CNTL / Z. Switch1 (config) # Zugriffsliste 60 deny 192. 168. 8. 0 0. 0. 0. 255 Switch1 (config) # Zugriffsliste 60 deny 192. 168. 9. 0 0. 0. 0. 255 Switch1 (config) # access-list 60 permit 192. 168. 8. 0 0. 0. 0. 3 Switch1 (config) #end Switch1 # Zugriffsliste anzeigen 60 Standard IP-Zugriffsliste 60 deny 192. 168. 8. 0, Wildcard Bits 0. 0. 0. 255 deny 192. 168. 9. 0, Platzhalterbits 0. 0. 0. 255 allow 192. 168. 8. 0, Platzhalterbits 0. 0. 0. 3

Da die Einträge werden der ACL in der Reihenfolge hinzugefügt, in der Sie sie eingeben, die Genehmigung endet am Ende der Liste. Wenn Sie diese ACL testen, würde eine Adresse wie 192. 168. 8. 2 vom ersten ACE abgeholt werden und würde die Genehmigung vom dritten ACE nicht erhalten. Wie behebt man das? Nun, Sie haben ein paar Möglichkeiten:

• Sie können die ACL an der Stelle entfernen, an der sie verwendet wird, die ACL löschen, eine neue in der richtigen Reihenfolge erstellen und wieder an der Stelle einfügen, an der sie verwendet wird.Dieser langwierige Prozess lässt das System tatsächlich von dem Zeitpunkt an offen, an dem Sie die ACL von der Verwendungsstelle entfernen, bis sie wieder hinzugefügt wird. Dies war die Standardmethode für die Verwaltung von ACLs.

  Wenn Sie auf diese Weise mit ACLs arbeiten, kopieren Sie alle erforderlichen Schritte in Notepad. exe. Dazu gehören die Schritte zum Entfernen der alten ACL und Hinzufügen der neuen ACL. Nachdem der gesamte Prozess im Editor ausgeführt wurde. exe, verwenden Sie den Befehl copy zum Kopieren und Einfügen in Ihre CLI-Verwaltungsanwendung, z. B. putty. exe.

• Wenn Ihr Gerät dies unterstützt, können Sie die ACL mithilfe des Befehls IP im folgenden Code bearbeiten. Auf diese Weise können Sie Zeilennummern in Ihre ACL aufnehmen, eine Option, die Sie nicht haben, wenn Sie die ACL im globalen Konfigurationsmodus bearbeiten. Dies verwendet den ACL-Konfigurationsmodus. Wenn Sie Ihre Zeilennummern eingeben, möchten Sie eine Lücke zwischen den Einträgen in der ACL lassen.

Router1 (config) #ip Zugriffsliste Standard 60 Router1 (config-ext-nacl) # 10 deny 192. 168. 8. 0 0. 0. 0. 255 Router1 (config-ext-nacl) # 20 deny 192. 168. 9. 0 0. 0. 0. 255 Router1 (config-ext-nacl) # 30 erlauben 192. 168. 8. 0 0. 0. 0. 3

Mit dieser Vorplanung haben Sie kann dann einen neuen ACL-Eintrag am Anfang der ACL hinzufügen, indem Sie eine Nummer wählen, die kleiner als 10 ist, ähnlich der folgenden:

Router1> enable Passwort: Router1 # configure terminal Router1 (config) # ip access-list standard 60 Router1 (config-ext-nacl) # 5 erlauben 192. 168. 8. 0 0. 0. 0. 3 Router1 (config-ext-nacl) # end Router1 # Zugriffsliste anzeigen 60 Standard IP-Zugriffsliste 60 5 erlauben 192. 168. 9. 0, Platzhalterbits 0. 0. 0. 3 10 deny 192. 168. 9. 0, Platzhalterbits 0. 0. 0. 255 20 deny 192. 168. 9. 0, Platzhalterbits 0. 0. 0. 255 30 allow 192. 168. 8. 0, Platzhalterbits 0. 0. 0. 3 Damit können Sie die ACL im laufenden Betrieb bearbeiten (d. H. ohne es von den Schnittstellen zu entfernen, wo es verwendet wird, ohne die ACL zu entfernen und recrea Es spart Ihnen viel Zeit und Mühe, solange es eine Lücke in der Nummerierung gibt, wo Sie Ihren neuen Eintrag hinzufügen können.

Abhängig von der IOS-Version und dem Gerät haben Sie möglicherweise andere Optionen. Wenn Sie sich die Adaptive Security Appliance (ASA) ansehen, müssen Sie nicht vorplanen. Überprüfen Sie daher den folgenden Code, bei dem der ASA automatisch die Zeilen für Sie nummeriert:

ASAFirewall1> enable Kennwort: ASAFirewall1 # configure Terminal ASAFirewall1 (config) # Zugriffsliste 60 deny 192. 168. 8. 0 255. 255. 255. 0 ASAFirewall1 (config) # Zugriffsliste 60 deny 192. 168. 9. 0 255. 255. 255. 0 ASAFirewall1 (config) # exit ASAFirewall1 # show access-list 60 Zugriffsliste 60; 2 Elemente Zugriffsliste 60 Zeile 1 Standard deny 192. 168. 8. 0 255. 255. 255. 0 (hitcnt = 0) 0x318d5521 Zugriffsliste 60 Zeile 2 Standard deny 192. 168. 9. 0 255. 255. 255 0 (hitcnt = 0) 0xba5e90e1 ASAFirewall1 # Konfigurationsterminal ASAFirewall1 (config) # Zugriffsliste 60 Zeile 1 zulassen 192. 168. 9. 0 255. 255. 255. 248 ASAFirewall1 (config) # exit ASAFirewall1 # Zugriffsliste 60 anzeigen Zugriffsliste 60; 3 Elemente Zugriffsliste 60 Zeile 1 Standard Erlaubnis 192. 168. 9. 0 255.255. 255. 248 (hitcnt = 0) 0x451bbe48 Zugriffsliste 60 Zeile 2 Standard deny 192. 168. 8. 0 255. 255. 255. 0 (hitcnt = 0) 0x318d5521 Zugriffsliste 60 Zeile 3 Standard deny 192. 168 9. 0 255. 255. 255. 0 (hitcnt = 0) 0xba5e90e1

Mit der ASA können Sie immer noch Zeilen hinzufügen oder ACL-Einträge manuell nummerieren. Wenn Sie dieselbe Zeile erneut verwenden möchten, wird die ASA die gesamte Liste neu nummerieren, falls erforderlich. Das ist wirklich das Beste aus beiden Welten.