ACL : nommée étendue — proto + src + dst

Sécurité
Intermédiaire
12 min
4 étapes
Cisco IOS-style

Construis une ACL étendue *nommée* WEB-IN qui autorise HTTP depuis un hôte de confiance mais bloque ICMP du même hôte, puis lie-la en entrée sur R2.

Ouvrir ce lab dans le navigateur →

Gratuit · sans installation · sans compte

Scénario

Les ACL numérotées fonctionnent mais ne passent pas à l'échelle : 100-199 veut dire au plus 100 ACL étendues, les noms sont opaques, et il n'y a aucun moyen d'*insérer* une entrée sans re-taper toute la liste. Les ACL étendues nommées sont la réponse Cisco moderne : noms descriptifs, numéros de séquence par entrée, édition en sous-mode. `` ip access-list extended <NAME> permit|deny <proto> <src-form> <dst-form> ` Dans le sous-mode chaque ligne est permit|deny <proto> <src> <dst>. Les formes d'adresse — host, any, <network> <wildcard>` — sont identiques à la syntaxe d'ACL numérotée que tu connais déjà.

Topologie

1 × switch, 3 × routeur · Cisco IOS-style

HUB — switch
H1 — routeur
H2 — routeur
R2 — routeur

Ce que tu vas faire

Sur R2, entre dans le sous-mode d'ACL étendue nommée pour WEB-IN : ip access-list extended WEB-IN. La liste est vide tant que tu n'ajoutes pas d'entrées.
Dans le sous-mode, autorise TCP depuis H1 (10.0.0.10) vers n'importe où : permit tcp host 10.0.0.10 any.
Ajoute deny icmp host 10.0.0.10 any *après* le permit. Avec la sémantique first-match, ça veut dire qu'ICMP depuis H1 est bloqué alors que TCP passe toujours.
Applique WEB-IN en entrée sur Gi0/0 de R2 avec ip access-group WEB-IN in.

Ouvrir ce lab dans le navigateur →

Autres labs sur ce thème

Ce lab dans d'autres langues