نگارش یافته توسط شاهین غرقی
Cisco Access List در ترجمه لغوی به معنای لیست دسترسی سیسکو می باشد که زیاد هم از معنای واقعی خود دور نیست.
همانطور که از اسم آن بر می آید به وسیله این ابزار میتوانیم بر روی سخت افزارهای سیسکو فایروال ایجاد کنیم.
از آنجا که بحث فایروال بسیار گسترده است و تنها به یک access list منتهی نمیشود به این نوع فایروال packet filter گفته میشود.
حتما خوانندگان عزیز سیسکو را شناخته و از کارایی آن خبر دارند.
از آنجا که ورودی اینترنت 80 درصد شبکه هایی که ما با آنها کار می کنیم Cisco هست میتوانیم با بکار گیری Access list در آنها امنیت زیادی را برای خود به ارمغان بیاوریم. نا گفته نماند که مهمترین گزینه در Packet filter ها کانفیگ خوب آنهاست نه Brand یا مدل دستگاه. شما اگر با اصول Packet Filtering آشنایی داشته باشید بر روی هر سیستم عامل یا سخت افزاری تنها با آموختن Syntax آن میتوانید یک فایروال ایجاد کنید.
من در اینجا به توضیح قوائد آن در سیسکو میپردازم.
برای ایجاد access list شما نیاز به IOS های بالاتر از ورژن 8.3 دارید.
دو مرحله برای ایجاد یک access list داریم. اول میبایست ACL مربوطه را نوشته و دوم آن را به یک اینترفیس اعمال کنیم.
بدیهیست در صورت عدم اعمال ACL به یک اینترفیس ACL مذکور بلا استفاده می ماند.
پر کاربردترین ACL ها IP Access list است. زیرا اکثر ترافیکها بر روی پروتکل IP انتقال می یابد.
خود IP access list دو نوع است. Standard و Extended
Standard تنها بر اساس SOURCE IP address می تواند کنترل کند.
Extended بر حسب SOURCE and DESTINATION IP address و SOURCE and DESTINATION Port می تواند محدودیت ایجاد کند.
معمولا برای نام گذاری access list ها از اعداد استفاده میشود. که از شماره 1 تا 99 برای Standard و 100 تا 199 برای Extended استفاده میشود. البته اعداد 1300 تا 1999 برای Standard و 2000 تا 2699 برای Extended رزرو شده اند.
قائده یک Standard Access list بدین صورت است:یعنی در ابتدا میبایست عبارت access-list را تایپ نموده سپس یک شماره به آن اختصاص میدهیم و در آخر وظیفه آن که نابودی یا اجازه عبور یک پکت هست را مشخص میکنیم.کد PHP:access-list access-list-number {permit|deny} {host|source source-wildcard|any}
در مثال زیر میخواهیم تنها به یک رنج IP اجازه عبور از اینترفیس Ethernet0 را بدهیم.
ابتدا access list مورد نظر را می نویسیمسپس به یک اینترفیس اعمال میکنیمکد PHP:access-list 10 permit 192.168.20.0 0.0.0.255
access-list 10 deny any
Extended access list ها را وقتی به کار میگیریم که نیاز به انعطاف بیشتری داریم. مثلا وقتی نیاز به ***** یک پورت خاص است.کد PHP:interface ethernet0
ip access-group 10 in
exit
قائده آن بدین صورت است:پس از عبارت access-list میبایست شماره آن را از همان رنج ذکر شده انتخاب کنیم .سپس action آن را که حذف یا عبور packet است را انتخاب کرده و آدرس مقصد و مبدا و همچنین پروتکل یا پورت آن را مشخص میکنیم.کد PHP:access-list access-list-number {deny|permit} protocol source source-wildcard destination destination-wildcard [precedence precedence][tostos][log]
برای نوشتن پروتکل ما مجاز به استفاده از پروتکل های زیر هستیم:همچنین می توان از یک keyword بین 0 تا 255 استفاده کرد که هر کدام بیانگر پروتکلی خاص است.کد PHP:eigrp, gre, icmp, igmp, igrp, ip, ipinip, nos, ospf, tcp, or udp
اگر ما عبارت ip را استفاده کنیم به عنوان تمامی پروتکل های IP شناخته میشود.
برای مشخص کردن هر آدرسی (any) نیز باید از عبارت 255.255.255.255 استفاده کرد.
Option های precedence و tos نیز دو ابزار اختیاریست که برای سرویس های خاص به کار می رود. که باید سرویس مورد نظر را با وارد کردن کد آن که precedence از 0 تا 7 و tos از 0 تا 15 مشخص شده اند را فعال کرد.
Log نیز یک ابزار اختیاری دیگر است که با فعال کردن آن میتوانیم از access list خود گزارش برداریم.
با مثالی بیشتر با Extended access list آشنا میشویم:
اجازه دسترسی سابنت 217.219.102.0/24 با آدرس 192.168.20.27 با هر پروتکلیاجازه دسترسی آدرس 217.219.108.15 به سابنت 192.168.20.0/24 با هر پروتکلیکد PHP:access-list 105 permit ip 217.219.102.0 0.0.0.255 192.168.20.27 0.0.0.0
اجازه دسترسی سابنت 10.0.0.0/24 به سابنت 172.22.18.0/24 تنها با پورت 23 (telnet)کد PHP:access-list 105 permit ip 217.219.108.15 0.0.0.0 192.168.20.0 0.0.0.255
عدم اجازه دسترسی همه جا به همه جا روی پورت snmp که 161 استکد PHP:access-list 105 permit tcp 10.0.0.0 0.255.255.255 172.22.18.0 0.0.0.255 eq 23
عدم اجازه پینگ (echo reply icmp type 0) از سابنت 172.12.0.0/16 به همه جاکد PHP:access-list 105 permit udp any any eq 161
عدم دسترسی کلیه packet های دیگرکد PHP:access-list 105 deny icmp 172.12.0.0 0.0.255.255 any 0
و در آخر اعمال آن به یک اینترفیسکد PHP:access-list 105 deny ip any any
همانطور که میدانید ترتیب در access list ها مهم است.کد PHP:interface serial0
ip access-group 105 out
exit
به همین علت وقتی که لیست ACL ها را مشاهده میکنیم یک سری اعداد کنار آنها مینویسد که بیانگر اولویت آنهاست.
ما میتوانیم خود دستی آنها را وارد کنیم:
مثال 1:
ACL ما بدین صورت استحال میخواهیم در ابتدای آن یک خط اضافه کنیمکد PHP:Router#show access-list
Extended IP access list 101
10 permit tcp any any
20 permit udp any any
30 permit icmp any any
هم اکنون بدین صورت می شود.کد PHP:Router#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#ip access-list extended 101
Router(config-ext-nacl)#5 deny tcp any any eq telnet
Router(config-ext-nacl)#exit
Router(config)#exit
Router#
مثال 2:کد PHP:Router#show access-list
Extended IP access list 101
5 deny tcp any any eq telnet
10 permit tcp any any
20 permit udp any any
30 permit icmp any any
Router#
قبلا یکبار به آن یک خط اضافه کرده ایم. برای بار دوم چنین عمل میکنیمترتیب آن بدین صورت می شود:کد PHP:routerB#show access-lists
Extended IP access list 101
10 permit tcp any any
15 permit tcp any host 172.162.2.9
20 permit udp host 172.16.1.21 any
30 permit udp host 172.16.1.22 any
routerB#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
routerB(config)#ip access-list extended 101
routerB(config-ext-nacl)#18 per tcp any host 172.162.2.11
routerB(config-ext-nacl)#^Z
نکته 1:کد PHP:routerB#show access-lists
Extended IP access list 101
10 permit tcp any any
15 permit tcp any host 172.162.2.9
18 permit tcp any host 172.162.2.11
20 permit udp host 172.16.1.21 any
30 permit udp host 172.16.1.22 any
routerB#
برای برداشتن یک access list میبایست همان ACL را تایپ نموده و در ابتدای سطر یک no قرار دهیم:نکته2:کد PHP:no access-list 105 deny ip any any
برای مشاهده ACL ها از دستور زیر استفاده میکنیم.کد PHP:show access-list
