Списки доступа (Access list)

Списки доступа (acess list) используются для управления входящими и исходящими данными. В данном уроке мы рассмотрим 2 типа списков доступа (acees list) (стандартные и расширенные).
Настраиваются списки доступа на маршрутизаторах Cisco в два этапа. Сначала создается сам список доступа (access list), то есть задаются правила, определяющие действия маршрутизатора с определенными пакетами. Затем список доступа связывается с необходимым интерфейсом. Таким образом разные списки доступа могут быть связаны с разными интерфейсами.

Каждый список доступа (access list) идентифицируется номером. Стандартным спискам доступа назначается номер из диапазона от 1 до 99, расширенному - от 100 до 199. Стандартные списки доступа прекрасно подходят для небольших сред, они позволяют запрещать или разрешать весь трафик с определенного адреса. Расширенные списки доступа позволяют настраивать правила более гибко.

Настройка списка доступа:
1) Стандартный список доступа (standart access list). Используя команду
"access-list <номер (1-99)> <действие (deny|permit)> <адрес источника>"
в режиме конфигурирования создается список доступа. Затем, используя команду
"ip access-group <номер списка доступа> in|out"
в режиме конфигурирования интерфейса список доступа связывается с интерфейсом. Правило in или out определяет к каким пакетам будет применяться это правило (к входящим или исходящим).
Пример настройки:
Router#conf term
Router(config)#access-list 10 permit 192.168.1.1 (создаем список доступа)
Router(config)#interface fa0/0
Router(config-if)#ip access-group 10 in (связываем с интерфейсом)

2) Расширенный список доступа (extended access list). Используя команду
"access-list <номер (100-199)> <действие (permit|deny)> <протокол> <адрес источника> <адрес получателя> <порт>"
создаем расширенный список доступа (extended access list). Далее с помощью команды
"ip access-group <номер списка доступа> in|out"
связываем список доступа (access list) с интерфейсом.
Пример настройки:
Router#conf term

Router(config)#access-list 110 deny icmp 192.168.1.0 0.0.0.255 host 192.168.10.1 (создаем список доступа)

Router(config)#interface fa0/0

Router(config-if)#ip access-group 110 in (связываем с интерфейсом)

InterVLAN routing

В данном уроке мы рассмотрим как настраивается InterVLAN routing (маршрутизация между VLAN) на маршрутизаторах cisco.

Если вы настраиваете VLAN на коммутаторе третьего уровня, то для маршрутизации между VLAN необходимо просто ввести команду ip routing на коммутаторе.

Видео урок (скачать):

Настройка VLAN

VLAN (Virtual Local Area Network) — группа устройств, имеющих возможность взаимодействовать между собой напрямую на канальном уровне, хотя физически при этом они могут быть подключены к разным сетевым коммутаторам. И наоборот, устройства, находящиеся в разных VLAN'ах, невидимы друг для друга на канальном уровне, даже если они подключены к одному коммутатору, и связь между этими устройствами возможна только на сетевом и более высоких уровнях.

В современных сетях VLAN — главный механизм для создания логической топологии сети, не зависящей от её физической топологии. VLAN'ы используются для сокращения широковещательного трафика в сети. Имеют большое значение с точки зрения безопасности, в частности как средство борьбы с ARP-spoofing'ом.

Как правило, одному VLAN соответствует одна подсеть. Устройства, находящиеся в разных VLAN, будут находиться в разных подсетях. Но в то же время VLAN не привязан к местоположению устройств и поэтому устройства, находящиеся на расстоянии друг от друга, все равно могут быть в одном VLAN независимо от местоположения.
Каждый VLAN — это отдельный широковещательный домен. Например, коммутатор — это устройство 2 уровня модели OSI. Все порты на коммутаторе, где нет VLANов, находятся в одном широковещательном домене. Создание VLAN на коммутаторе означает разбиение коммутатора на несколько широковещательных доменов. Если один и тот же VLAN есть на разных коммутаторах, то порты разных коммутаторов будут образовывать один широковещательный домен.
Когда сеть разбита на VLAN, упрощается задача применения политик и правил безопасности. С VLAN политики можно применять к целым подсетям, а не к отдельному устройству. Кроме того, переход из одного VLAN в другой предполагает прохождение через устройство 3 уровня, на котором, как правило, применяются политики разрешающие или запрещающие доступ из VLAN в VLAN.

Компьютер при отправке трафика в сеть даже не догадывается, в каком VLAN'е он размещён. Об этом думает коммутатор. Коммутатор знает, что компьютер, который подключен к определённому порту, находится в соответствующем VLAN'e. Трафик, приходящий на порт определённого VLAN'а, ничем особенным не отличается от трафика другого VLAN'а. Другими словами, никакой информации о принадлежности трафика определённому VLAN'у в нём нет.
Однако, если через порт может прийти трафик разных VLAN'ов, коммутатор должен его как-то различать. Для этого каждый кадр (frame) трафика должен быть помечен каким-то особым образом. Пометка должна говорить о том, какому VLAN'у трафик принадлежит.
Наиболее распространённый сейчас способ ставить такую пометку описан в открытом стандарте IEEE 802.1Q.

Порты коммутатора, поддерживающие VLAN'ы, (с некоторыми допущениями) можно разделить на два множества:
-Тегированные порты (или транковые порты, trunk-порты в терминологии Cisco).
-Нетегированные порты (или порты доступа, access-порты в терминологии Cisco);
Тегированные порты нужны для того, чтобы через один порт была возможность передать несколько VLAN'ов и, соответственно, получать трафик нескольких VLAN'ов на один порт. Информация о принадлежности трафика VLAN'у, как было сказано выше, указывается в специальном теге. Без тега коммутатор не сможет различить трафик различных VLAN'ов.
Если порт нетегированный в каком-то VLAN'е, то трафик этого VLAN передается без тега.

Порядок конфигурирования vlan:
1)access-port:
switch1(config)# interface fa0/1 - входим в конфигурирование необходимого порта
switch1(config-if)# switchport mode access - задаем режим access
switch1(config-if)# switchport access vlan 2 - назначаем какому vlan соответствует данный порт

2)trunk-port:
switch1(config)# interface fa0/2 - входим в конфигурирование необходимого порта
switch1(config-if)# switchport mode trunk - задаем режим работы trunk
switch1(config-if)# switchport trunk allowed vlan all - указываем какие vlan будет пропускать данный порт

Видео урок(скачать):