نمایش نتایج: از شماره 1 تا 5 از مجموع 5
سپاس ها 3سپاس

موضوع: access-list

  
  1. #1


    عضو عادی
    تاریخ عضویت
    Dec 2005
    نوشته
    649
    سپاسگزاری شده
    7
    سپاسگزاری کرده
    2

    access-list

    من دستورات زیر را به یک اینترفیس 2960 بصورت in دادم ولی ping قطع نمیشه
    access-list 102 deny icmp any any echo-reply
    access-list 102 permit ip any any



    موضوعات مشابه:

  2. #2


    خواننده شناسه تصویری miskoolak
    تاریخ عضویت
    Jan 2006
    نوشته
    237
    سپاسگزاری شده
    49
    سپاسگزاری کرده
    21
    چون داری برای این باند ترافیکت میزاری براب اینکه کار کنه باید به اون اینتر فیسی اتچ بکنیش که اون دستگاهی که میخواد ریپلای بده بهش وصله . در غیر اینصورت بیاد icm echo رو ببندی.

    access-list 102 deny icmp any any echo
    access-list 102 permit ip any any



  3. #3
    نام حقيقي: شاهین غرقی

    خواننده شناسه تصویری webgard3
    تاریخ عضویت
    Feb 2006
    محل سکونت
    iran/shiraz
    نوشته
    3,401
    سپاسگزاری شده
    1040
    سپاسگزاری کرده
    147
    ان شا الله به اینترفیس اعمالش میکنید که؟



  4. #4
    نام حقيقي: شاهین غرقی

    خواننده شناسه تصویری webgard3
    تاریخ عضویت
    Feb 2006
    محل سکونت
    iran/shiraz
    نوشته
    3,401
    سپاسگزاری شده
    1040
    سپاسگزاری کرده
    147
    Cisco Access List در ترجمه لغوی به معنای لیست دسترسی سیسکو می باشد که زیاد هم از معنای واقعی خود دور نیست.
    همانطور که از اسم آن بر می آید به وسیله این ابزار میتوانیم بر روی سخت افزارهای سیسکو فایروال ایجاد کنیم.
    از آنجا که بحث فایروال بسیار گسترده است و تنها به یک access list منتهی نمیشود به این نوع فایروال packet filter گفته میشود.
    حتما خوانندگان عزیز سیسکو را شناخته و از کارایی آن خبر دارند.
    از آنجا که ورودی اینترنت 80 درصد شبکه هایی که ما با آنها کار می کنیم Cisco هست میتوانیم با بکار گیری Access list در آنها امنیت زیادی را برای خود به ارمغان بیاوریم. نا گفته نماند که مهمترین گزینه در Packet filter ها کانفیگ خوب آنهاست نه Brand یا مدل دستگاه. شما اگر با اصول Packet Filtering آشنایی داشته باشید بر روی هر سیستم عامل یا سخت افزاری تنها با آموختن Syntax آن میتوانید یک فایروال ایجاد کنید.
    من در اینجا به توضیح قوائد آن در سیسکو میپردازم.
    برای ایجاد access list شما نیاز به IOS های بالاتر از ورژن 8.3 دارید.
    دو مرحله برای ایجاد یک access list داریم. اول میبایست ACL مربوطه را نوشته و دوم آن را به یک اینترفیس اعمال کنیم.
    بدیهیست در صورت عدم اعمال ACL به یک اینترفیس ACL مذکور بلا استفاده می ماند.
    پر کاربردترین ACL ها IP Access list است. زیرا اکثر ترافیکها بر روی پروتکل IP انتقال می یابد.
    خود IP access list دو نوع است. Standard و Extended
    Standard تنها بر اساس SOURCE IP address می تواند کنترل کند.
    Extended بر حسب SOURCE and DESTINATION IP address و SOURCE and DESTINATION Port می تواند محدودیت ایجاد کند.
    معمولا برای نام گذاری access list ها از اعداد استفاده میشود. که از شماره 1 تا 99 برای Standard و 100 تا 199 برای Extended استفاده میشود. البته اعداد 1300 تا 1999 برای Standard و 2000 تا 2699 برای Extended رزرو شده اند.

    قائده یک Standard Access list بدین صورت است:

    access-list access-list-number {permit|deny} {host|source source-wildcard|any}
    یعنی در ابتدا میبایست عبارت access-list را تایپ نموده سپس یک شماره به آن اختصاص میدهیم و در آخر وظیفه آن که نابودی یا اجازه عبور یک پکت هست را مشخص میکنیم.

    در مثال زیر میخواهیم تنها به یک رنج IP اجازه عبور از اینترفیس Ethernet0 را بدهیم.

    ابتدا access list مورد نظر را می نویسیم
    access-list 10 permit 192.168.20.0 0.0.0.255
    access-list 10 deny any

    سپس به یک اینترفیس اعمال میکنیم
    interface ethernet0
    ip access-group 10 in
    exit
    Extended access list ها را وقتی به کار میگیریم که نیاز به انعطاف بیشتری داریم. مثلا وقتی نیاز به فیلتر یک پورت خاص است.
    قائده آن بدین صورت است:

    access-list access-list-number {deny|permit} protocol source source-wildcard destination destination-wildcard [precedence precedence][tostos][log]
    پس از عبارت access-list میبایست شماره آن را از همان رنج ذکر شده انتخاب کنیم .سپس action آن را که حذف یا عبور packet است را انتخاب کرده و آدرس مقصد و مبدا و همچنین پروتکل یا پورت آن را مشخص میکنیم.
    برای نوشتن پروتکل ما مجاز به استفاده از پروتکل های زیر هستیم:

    eigrp, gre, icmp, igmp, igrp, ip, ipinip, nos, ospf, tcp, or udp
    همچنین می توان از یک keyword بین 0 تا 255 استفاده کرد که هر کدام بیانگر پروتکلی خاص است.
    اگر ما عبارت ip را استفاده کنیم به عنوان تمامی پروتکل های IP شناخته میشود.
    برای مشخص کردن هر آدرسی (any) نیز باید از عبارت 255.255.255.255 استفاده کرد.

    Option های precedence و tos نیز دو ابزار اختیاریست که برای سرویس های خاص به کار می رود. که باید سرویس مورد نظر را با وارد کردن کد آن که precedence از 0 تا 7 و tos از 0 تا 15 مشخص شده اند را فعال کرد.
    Log نیز یک ابزار اختیاری دیگر است که با فعال کردن آن میتوانیم از access list خود گزارش برداریم.

    با مثالی بیشتر با Extended access list آشنا میشویم:


    اجازه دسترسی سابنت 217.219.102.0/24 با آدرس 192.168.20.27 با هر پروتکلی

    access-list 105 permit ip 217.219.102.0 0.0.0.255 192.168.20.27 0.0.0.0
    اجازه دسترسی آدرس 217.219.108.15 به سابنت 192.168.20.0/24 با هر پروتکلی

    access-list 105 permit ip 217.219.108.15 0.0.0.0 192.168.20.0 0.0.0.255
    اجازه دسترسی سابنت 10.0.0.0/24 به سابنت 172.22.18.0/24 تنها با پورت 23 (telnet)

    access-list 105 permit tcp 10.0.0.0 0.255.255.255 172.22.18.0 0.0.0.255 eq 23
    عدم اجازه دسترسی همه جا به همه جا روی پورت snmp که 161 است

    access-list 105 permit udp any any eq 161
    عدم اجازه پینگ (echo reply icmp type 0) از سابنت 172.12.0.0/16 به همه جا
    access-list 105 deny icmp 172.12.0.0 0.0.255.255 any 0
    عدم دسترسی کلیه packet های دیگر

    access-list 105 deny ip any any
    و در آخر اعمال آن به یک اینترفیس
    interface serial0
    ip access-group 105 out
    exit
    همانطور که میدانید ترتیب در access list ها مهم است.
    به همین علت وقتی که لیست ACL ها را مشاهده میکنیم یک سری اعداد کنار آنها مینویسد که بیانگر اولویت آنهاست.
    ما میتوانیم خود دستی آنها را وارد کنیم:

    مثال 1:
    ACL ما بدین صورت است

    Router#show access-list
    Extended IP access list 101
    10 permit tcp any any
    20 permit udp any any
    30 permit icmp any any
    حال میخواهیم در ابتدای آن یک خط اضافه کنیم

    Router#configure terminal
    Enter configuration commands, one per line. End with CNTL/Z.
    Router(config)#ip access-list extended 101
    Router(config-ext-nacl)#5 deny tcp any any eq telnet
    Router(config-ext-nacl)#exit
    Router(config)#exit
    Router#
    هم اکنون بدین صورت می شود.

    Router#show access-list
    Extended IP access list 101
    5 deny tcp any any eq telnet
    10 permit tcp any any
    20 permit udp any any
    30 permit icmp any any
    Router#
    مثال 2:

    قبلا یکبار به آن یک خط اضافه کرده ایم. برای بار دوم چنین عمل میکنیم

    routerB#show access-lists
    Extended IP access list 101
    10 permit tcp any any
    15 permit tcp any host 172.162.2.9
    20 permit udp host 172.16.1.21 any
    30 permit udp host 172.16.1.22 any

    routerB#configure terminal
    Enter configuration commands, one per line. End with CNTL/Z.
    routerB(config)#ip access-list extended 101
    routerB(config-ext-nacl)#18 per tcp any host 172.162.2.11
    routerB(config-ext-nacl)#^Z
    ترتیب آن بدین صورت می شود:
    routerB#show access-lists
    Extended IP access list 101
    10 permit tcp any any
    15 permit tcp any host 172.162.2.9
    18 permit tcp any host 172.162.2.11
    20 permit udp host 172.16.1.21 any
    30 permit udp host 172.16.1.22 any
    routerB#
    نکته 1:
    برای برداشتن یک access list میبایست همان ACL را تایپ نموده و در ابتدای سطر یک no قرار دهیم:

    no access-list 105 deny ip any any
    نکته2:
    برای مشاهده ACL ها از دستور زیر استفاده میکنیم.

    show access-list


    منبع: www.PersianAdmins.com


    aryagohar، yogishiip و judon3t سپاسگزاری کرده‌اند.

  5. #5


    عضو عادی
    تاریخ عضویت
    Dec 2005
    نوشته
    649
    سپاسگزاری شده
    7
    سپاسگزاری کرده
    2
    با تشکر فراوان
    شاهین جان مقالاتتو می خونم امیدوارم در آینده اگه زمان بیشتری داشتم بتونم من هم مقالاتی برای دوستان آپلود کنم
    ping حل شد ولی همین مشکل را با traceroute دارم وقتی به اینترفیسی که کامپیوتر وصل هست دستورات زیرو بصورت in می دم کار نمی کنه
    access-list 102 deny icmp any any traceroute
    access-list 102 permit ip any any
    من این کار ها را روی 2960 دارم انجام میدم و همونطور که میدونین out نداره



کلمات کلیدی در جستجوها:

دستورات ACL

Cisco Ios Access Lists

دستور Echo در اکسس

نوشتن access list acl در 2960

دستورات access-list

access list کار با در سیسکو

برچسب برای این موضوع

مجوز های ارسال و ویرایش

  • شما نمی توانید موضوع جدید ارسال کنید
  • شما نمی توانید به پست ها پاسخ دهید
  • شما نمی توانید فایل پیوست ضمیمه کنید
  • شما نمی توانید پست های خود را ویرایش کنید
  •