ACL: named extended — proto + src + dst

セキュリティ
中級
12 分
4 ステップ
Cisco IOS-style

信頼できるホストからの HTTP を許可しつつ同じホストからの ICMP をブロックする *named* extended ACL WEB-IN を構築し、R2 で inbound にバインドします。

無料 · インストール不要 · アカウント不要

シナリオ

番号付き ACL は使えますがスケールしません: 100-199 は最大 100 個の extended ACL、名前が不透明、リスト全体を打ち直さずに entry を *挿入する* 方法もありません。Named extended ACL は Cisco の現代的な答えです: わかりやすい名前、エントリごとの sequence 番号、 sub-mode での編集。 `` ip access-list extended <NAME> permit|deny <proto> <src-form> <dst-form> ` sub-mode 内では各行は permit|deny <proto> <src> <dst> です。アドレス形式 — host、any、<network> <wildcard>` — は既に知っている numbered-ACL 構文と同じです。

トポロジー

1 × スイッチ, 3 × ルーター · Cisco IOS-style

HUB — スイッチ
H1 — ルーター
H2 — ルーター
R2 — ルーター

やること

R2 で WEB-IN 用の named-extended-ACL sub-mode に入ります: ip access-list extended WEB-IN。entry を追加するまでリストは空です。
sub-mode 内で、H1 (10.0.0.10) からどこへでも TCP を許可: permit tcp host 10.0.0.10 any。
permit の *後* に deny icmp host 10.0.0.10 any を追加します。first-match セマンティクスでは、これは H1 からの ICMP がブロックされ、TCP は引き続き通る、ということを意味します。
R2 の Gi0/0 に ip access-group WEB-IN in で WEB-IN を inbound 適用します。

この演習をブラウザで開く →

同じテーマの演習

この演習の他の言語版