ACL: named extended — proto + src + dst

Sicherheit
Fortgeschritten
12 Min.
4 Schritte
Cisco IOS-style

Baue eine *named* extended ACL WEB-IN, die HTTP von einem vertrauenswürdigen Host erlaubt, aber ICMP vom selben Host blockiert, und binde sie eingehend auf R2.

Dieses Lab im Browser öffnen →

Kostenlos · ohne Installation · ohne Konto

Szenario

Nummerierte ACLs funktionieren, skalieren aber nicht: 100-199 bedeutet höchstens 100 extended ACLs, die Namen sind opak, und es gibt keine Möglichkeit, einen Eintrag *einzufügen* ohne die ganze Liste neu zu tippen. Named extended ACLs sind die moderne Cisco-Antwort: beschreibende Namen, Sequence-Nummern pro Eintrag, Sub-Mode-Editing. `` ip access-list extended <NAME> permit|deny <proto> <src-form> <dst-form> ` Im Sub-Mode ist jede Zeile permit|deny <proto> <src> <dst>. Die Adressformen — host, any, <network> <wildcard>` — sind identisch zur numbered-ACL-Syntax, die du schon kennst.

Topologie

1 × Switch, 3 × Router · Cisco IOS-style

HUB — Switch
H1 — Router
H2 — Router
R2 — Router

Das machst du

Auf R2: geh in den Named-Extended-ACL-Sub-Mode für WEB-IN: ip access-list extended WEB-IN. Die Liste ist leer, bis du Einträge hinzufügst.
Im Sub-Mode erlaube TCP von H1 (10.0.0.10) überallhin: permit tcp host 10.0.0.10 any.
Füge deny icmp host 10.0.0.10 any *nach* dem Permit hinzu. Mit First-Match-Semantik heißt das, dass ICMP von H1 blockiert wird, während TCP weiterhin durchkommt.
Wende WEB-IN eingehend auf R2.Gi0/0 an mit ip access-group WEB-IN in.

Dieses Lab im Browser öffnen →

Weitere Labs zu diesem Thema

Dieses Lab in anderen Sprachen