ACL: named extended — proto + src + dst

Безопасность
Средний
12 мин
шагов: 4
Cisco IOS-style

Построй *named* extended ACL WEB-IN, который пропускает HTTP с доверенного хоста, но блокирует ICMP с того же хоста, и привяжи на входе R2.

Открыть эту лабораторную в браузере →

Бесплатно · без установки · без регистрации

Сценарий

Нумерованные ACL работают, но не масштабируются: 100-199 — это не больше 100 extended ACL, имена непрозрачны, и нет способа *вставить* запись, не перенабирая весь список. Named extended ACL — современный ответ Cisco: описательные имена, sequence-номера на каждую запись, редактирование в sub-mode. `` ip access-list extended <NAME> permit|deny <proto> <src-form> <dst-form> ` Внутри sub-mode каждая строка — permit|deny <proto> <src> <dst>. Формы адресов — host, any, <network> <wildcard>` — идентичны синтаксису numbered-ACL, который ты уже знаешь.

Топология

1 × коммутатор, 3 × маршрутизатор · Cisco IOS-style

HUB — коммутатор
H1 — маршрутизатор
H2 — маршрутизатор
R2 — маршрутизатор

Что предстоит сделать

На R2 войди в sub-mode named-extended-ACL для WEB-IN: ip access-list extended WEB-IN. Пока не добавишь записи, список пуст.
Внутри sub-mode разреши TCP с H1 (10.0.0.10) куда угодно: permit tcp host 10.0.0.10 any.
Добавь deny icmp host 10.0.0.10 any *после* permit. С семантикой first-match это значит, что ICMP с H1 блокируется, а TCP продолжает проходить.
Применяй WEB-IN на входе Gi0/0 R2 командой ip access-group WEB-IN in.

Открыть эту лабораторную в браузере →

Другие лабораторные по теме

Эта лабораторная на других языках