6–AMALIY ISH
MAVZU: ACL RO`YXATINI SOZLASH (STANDART, EXTENDED)
Ishdan maqsad: Ma’lumot uzatish tarmoqlarida qo‘llaniluvchi ACL-ro`yxati
tuzish, sozlash va tekshirish qoidalarini tadqiq qilish.
Nazariy ma’lumotlar
Tarmoq trafigini filtrlash uchun ACL (Access Control List)
marshrutizatorning infterfeysida uzatilayotgan paketni o‘tkazishni yoki blokka
tushirishni tekshiradi. Marshrutizator har bir paketni tekshiradi va ACL da
o‘rnatilgan mezonlarga asosan paketni nima qilish: uzatish yoki tashlab yuborish
kerakligini aniqlaydi.
ACL ni mezonlari quyidagilar:
– trafikni uzatuvchi manzili;
– trafikni qabul qiluvchi manzili;
– yuqori pog‘ona protokollari.
IP ACL – bu IP paketga qo‘llaniladigan rad etish va ruxsat berish
xolatlarining ketma – ket buyruqlar to‘plami. Marshrutizator ACL ni shartlariga
mos ravishda bittalab paketni tekshiradi. IP ACL ni quyidagi turlari sozlanishi
mumkin:
– standart ACL;
– kengaytirilgan ACL;
– dinamik ACL (qulf va kalit);
– nomlangan ACL IP – ro‘yxatlar;
– refleksif ACL;
– proksi – autentifikatsiya;
– Turbo ACL.
Standart ACL buyrug‘ini ko‘rinishi quyidagicha:
1.
Standart ACL (faqat ro‘yxatdan o‘tgan mijozlar uchun) IP
paketlarni uzatuvchi manzili bilan ro‘yxatga kiritilgan manzillarni solishtirish
orqali trafikni boshqaradi.
Standart ACL ro‘yxatini
qabul qiluvchi manziliga yaqinroq
joylashtirilishi maqbul hisoblanadi, chunki ushbu trafikning ACL qo‘llaniladigan
interfeysidagi boshqa tarmoqlarga yetib borishini oldini oladi. Kirish ro‘yxatlari
ramziy nomlar yoki nomerlar bilan belgilanadi:
standart: 1 dan 99 gacha;
kengaytirilgan: 100 dan 199 gacha.
Standart ACL ro‘yxati
Router(config)#access-list <ro‘yxat nomeri 1 dan
99 gacha > {permit | deny | remark} {address | any |
host}[source-wildcard] [log]
permit: ruhsat;
deny: rad etish;
remark: kirish ro‘yxati bo‘yicha sharx;
address: tarmoqqa ruxsat berish yoki rad etish;
any: barcha ruxsat yoki rad etish;
host: hostga ruxsat yoki rad etish;
source-wildcard: WildCard tarmoq maskasi;
log: ushbu ACL yozuvidan o‘tadigan paketlarni jurnalga yozishni yoqish.
Interfeysga biriktirish
Router(config-if)#ip access-group < ACL nomi yoki
ro‘yxat nomeri> {in | out}
in: kiruvchi yo‘nalish;
out: chiquvchi yo‘nalish;
access-list access-list-number {permit|deny} {host|source sourcewildcard|any}.
Standart ACL (faqat ro`yxatdan o‘tgan mijozlar uchun) IP paketlarni
uzatuvchi manzili bilan ro`yxatga kiritilgan manzillarni solishtirish orqali trafikni
boshqaradi.
Standart ACL ro`yxat bo`yicha tanlangan hostni tarmoqqa kirishiga
ruxsat berish
6.1- rasm. Standart ACL ro`yxat bo`yicha tarmoq tuzilishi
6.1– rasmda Hostni tarmoqqa kirishiga ruxsat berilishi ko‘rsatilgan. B
tarmoqdagi xost 192.168.10.1 dan A tarmoqqa yo‘naltirilgan barcha trafiklarni
qabul qiladi va bir vaqtda boshqa B tarmoqdan A tarmoqqa yo‘naltirilgan barcha
trafiklar rad etiladi.
R1 marshrutizatorning jadvali tarmoq xostga qanday kirishga ruxsat
berishini ko‘rsatadi. Chiqish ma’lumotlari quyidagicha:
– bu konfiguratsiya IP manzili 192.168.10.1 bo‘lgan xostni R1
marshrutizatorga Ethernet 0 interfeys orqali o‘tkazadi;
– bu xostda A tarmoqning IP xizmatlariga kirish mavjud;
– B tarmoqning boshqa xostlari A tarmoqqa kira olmaydi;
– ACL da ruxsat bermaslikning boshqa instruksiyasi sozlanmagan.
Har bir ACL ning oxirida noaniq sharoitda deny all (barchani ta’qiqlash)
mavjud. Barchasi ruxsat etilmasa, barchasi bekor qilinadi.
ACL B tarmoqdan A tarmoqqa yo‘naltirilgan IP paketlarni, B
tarmoqdan chiquvchi paketlardan boshqa barcha paketlarni filtrlaydi. B xostdan
A tarmoqqa yo‘naltirilgan paketlar ruxsat etiladi.
ACL ni sozlashni boshqa usuli:
access-list 1 permit 192.168.10.1 0.0.0.0.
Tarmoqqa tanlangan xostni kirishini ta’qiqlash
6.2 – rasmda B xostdan A tarmoqqa yo‘naltirilgan barcha trafiklarni
o‘tishi bekor qilinadi va shu vaqtda B tarmoqdan A tarmoqqa yo‘naltirilgan
boshqa barcha trafiklarni o‘tishi ruxsat etiladi.
6.2- rasm. Tarmoq tuzilishi
Bu konfiguratsiya 192.168.10.1/32 xostdan qabul qilingan barcha
paketlarni Ethernet 0 yoki R1 orqali ta’qiqlaydi va boshqa barcha paketlarni qabul
qilinishiga ruxsat beradi. Boshqa barcha paketlarga ruxsat berish uchun quyidagi
buyruqni ishlatish kerak: access list 1 permit any. Har bir ACL ning ohirida
noaniq sharoitda deny all (barchani ta’qiqlash) mavjud.
Shartni qo‘yilishi ACL ro`yxatini ishlashi uchun muhim. Agar yozuvni
teskari tartibda joylashtirsak, ushbu buyruqda ko‘rsatilganidek, birinchi qator
paketning ixtiyoriy uzatuvchi manziliga mos keladi. Shu sababli A tarmoqqa
192.168.10.1/32 xostini kirishini blokka tushira olmaydi.
access-list 1 permit any
access-list 1 deny host 192.168.10.1
Amaliy ish
Standart ACL bo’yicha tarmoq yaratish va sozlash
Cisco Packet Tracer dasturida kompyuter, kommutator, router, serverdan iborat
tarmoq quriladi. Kompyuterlarga, routerga, serverga IP manzillar beriladi.
Serverga hamma kompyuterdan so’rov jo’natib ko’riladi.
6.3- rasm. Tarmoq sxemasi
Routerga ACL standart sozlashlarni bajarish uchun quyidagi buyruqlar kiritiladi:
Router#conf t
Router(config)#ip access-list ?
extended Extended Access List
standard Standard Access List
Router(config)#ip access-list standard ?
<1-99> Standard IP access-list number
WORD Access-list name
Router(config)#ip access-list standard 5
Router(config-std-nacl)# ?
<1-2147483647> Sequence Number
default Set a command to its defaults
deny Specify packets to reject
exit Exit from access-list configuration mode
no Negate a command or set its defaults
permit Specify packets to forward
remark Access list entry comment
Router(config-std-nacl)#deny host 192.168.1.2
Router(config-std-nacl)#permit any
Router(config-std-nacl)#exit
Router(config)#int f0/0
Router(config-if)#ip access-group 5 in
Router(config-if)#exit
Router(config)#exit
Router#show access-lists
Standard IP access list 5
10 deny host 192.168.1.2
20 permit any
Keyin belgilangan kompyuterdan serverga ping so’rov beriladi. Natijada o’sha
kompyuterdan serverga so’rov bormaydi:
6.4- rasm. Kompyuterdan serverga ping so’rovi
Topshiriq
– Standart ACL bo`yicha tarmoq yarating va qoidalar ro`yxati bo`yicha
konfiguratsiya sozlamalarini kiriting.
– Extended ACL bo`yicha tarmoq yarating va qoidalar ro`yxati bo`yicha
konfiguratsiya sozlamalarini kiriting.
– Ikkala usul bo`yicha marshrutizator kiritilgan qoidalar ro`yxatini tahlil
qiling