Cisco packet tracer настройка расширенных списков контроля доступа сценарий 2

Packet Tracer – Configuring Extended ACLs – Scenario 2 (Instructor Version)

Instructor Note: Red font color or Gray highlights indicate text that appears in the instructor copy only.

Topology

Addressing Table

Objectives

Part 1: Configure, Apply and Verify an Extended Numbered ACL

Part 2: Reflection Questions

Background / Scenario

In this scenario, devices on one LAN are allowed to remotely access devices in another LAN using the Telnet protocol. Besides ICMP, all traffic from other networks is denied.

Part 1: Configure, Apply and Verify an Extended Numbered ACL

Configure, apply and verify an ACL to satisfy the following policy:

Telnet traffic from devices on the 10.101.117.32/28 network is allowed to devices on the 10.101.117.0/27 networks.

ICMP traffic is allowed from any source to any destination

All other traffic to 10.101.117.0/27 is blocked.

Step 1: Configure the extended ACL.

a.  From the appropriate configuration mode on RTA, use the last valid extended access list number to configure the ACL. Use the following steps to construct the first ACL statement:

1) The last extended list number is 199.

2) The protocol is TCP.

3) The source network is 10.101.117.32.

4) The wildcard can be determined by subtracting 255.255.255.240 from 255.255.255.255.

5) The destination network is 10.101.117.0.

6) The wildcard can be determined by subtracting 255.255.255.224 from 255.255.255.255.

7) The protocol is Telnet.

What is the first ACL statement?

access-list 199 permit tcp 10.101.117.32 0.0.0.15 10.101.117.0 0.0.0.31 eq telnet.

b.  ICMP is allowed, and a second ACL statement is needed. Use the same access list number to permit all ICMP traffic, regardless of the source or destination address. What is the second ACL statement? (Hint: Use the any keywords)

access-list 199 permit icmp any any

c.  All other IP traffic is denied, by default.

Step 2: Apply the extended ACL.

The general rule is to place extended ACLs close to the source. However, since access list 199 affects traffic originating from both networks 10.101.117.48/29 and 10.101.117.32/28, the best placement for this ACL might be on interface Gigabit Ethernet 0/2 in the outbound direction. What is the command to apply ACL 199 to the Gigabit Ethernet 0/2 interface?

 ip access-group 199 out

Step 3: Verify the extended ACL implementation.

a.  Ping from PCB to all of the other IP addresses in the network. If the pings are unsuccessful, verify the IP addresses before continuing.

b.  Telnet from PCB to SWC. The password is cisco.

c.  Exit the Telnet service of the SWC.

d.  Ping from PCA to all of the other IP addresses in the network. If the pings are unsuccessful, verify the IP addresses before continuing.

e.  Telnet from PCA to SWC. The access list causes the router to reject the connection.

f.  Telnet from PCA to SWB. The access list is placed on G0/2 and does not affect this connection.

g.  After logging into SWB, do not log out. Telnet to SWC.

Part 2: Reflection Questions

a.  How was PCA able to bypass access list 199 and Telnet to SWC?

Two steps were used: First, PCA used Telnet to access SWB. From SWB, Telnet was allowed to SWC.

b.  What could have been done to prevent PCA from accessing SWC indirectly, while allowing PCB Telnet access to SWC?

Access list 199 should have been written to deny Telnet traffic from the 10.101.117.48 /29 network while permitting ICMP. It should have been placed on G0/0 of RTA.

Suggested Scoring Rubric

[sociallocker id=”54558″]

[/sociallocker]

В этом сценарии
устройствам в одной сети LAN
разрешается удалённый доступ к устройствам
другой LAN
через протокол Telnet.
За исключением ICMP,
весь трафик от других сетей запрещён.
Схема сети представлена на рисунке 33.

Рисунок 33 – Схема
сети

Настраиваем
расширенный нумерованный ACL-список
следующими командами:

accesslist
199 permittcp
10.101.117.32 0.0.0.15 10.101.117.0 0.0.0.31 eqtelnet–
трафик по протоколу Telnet
в сети 10.101.117.32/28 разрешён для передачи
на устройства в сетях 10.100.117.0/27.

access-list
199 permiticmpanyany
– трафик ICMP
разрешён от любого устройства и в любом
направлении.

Остальной трафик
запрещён по умолчанию.

interface
gigabitethernet0/2

ipaccess-group
199 out
– размещениесписканаинтерфейсе.

Для проверки работы
расширенного списка сначала необходимо
отправить эхо-запросыот компьютера PCB
на все остальные IP-адреса в сети (рисунок
34). Далее отправляютсяэхо-запросы от
компьютера PCA
на все остальные IP-адреса
в сети (рисунок 35).

Рисунок 34–Эхо-запрос
от РСВ

Рисунок 35 –
Эхо-запрос от РСА

6 Настройка расширенных acl-списков. Сценарий 3

В этом сценарии
конкретным устройствам сети LAN разрешается
доступ к нескольким службам серверов,
размещённых в сети Интернет. Используемая
сеть представлена на рисунке 36.

Рисунок 36 – Схема
сети

Необходимо
использовать один именованный ACL-список
для реализации следующих правил:

1 Запретить доступ
через протоколы HTTP и HTTPS с PC1 на серверы
Server1 и Server2. Эти серверы находятся внутри
облака, известны только их IP-адреса.

2Заблокировать
FTP-доступ с PC2 к серверам Server1 и Server2.

3Заблокировать
ICMP-доступ с PC3 к серверам Server1 и Server2.

Настройка
расширенного именованного ACL-списка
осуществлялась следующими командами:

ip
access-list extended ACL
– создаемсписок.

denytcphost
172.31.1.101 host
64.101.255.254 eqwww–
правило, запрещающее доступ с PC1
к серверу Server1,
только для HTTP.

denytcphost
172.31.1.101 host
64.101.255.254 eq
443 – правило,
запрещающее доступ с PC1
к серверу Server1,
только для HTTPS.

denytcphost
172.31.1.101 host
64.103.255.254 eqwww–
правило, запрещающее доступ с PC1
к серверу Server2,
только для HTTP.

denytcphost
172.31.1.101 host
64.103.255.254 eq
443 – правило,
запрещающее доступ с PC1
к серверу Server2,
только для HTTPS.

denytcphost
172.31.1.102 host
64.101.255.254 eqftp–
правило, запрещающее доступ с PC2
к серверу Server1,
только для FTP.

denytcphost
172.31.1.102 host
64.103.255.254 eqftp
– правило, запрещающее доступ с PC2
к серверу Server2,
только для FTP.

denyicmphost
172.31.1.103 host
64.101.255.254 –
правило, запрещающее ICMP-доступ
с PC3
к серверу Server1.

denyicmphost
172.31.1.103 host
64.103.255.254 –
правило, запрещающее ICMP-доступ
с PC3
к серверу Server2.

permitipanyany
– разрешение остальногоIP-трафика.

interfacegigabitEthernet
0/0

ipaccess-groupACLin
– применениеACL-списка
на соответствующем интерфейсе и
направлении.

Проверка расширенного
ACL-списка заключается в следующем:
проверяется доступ к веб-сайтам на
серверах Server1 и Server2, используя веб-браузер
PC1, а также протоколы HTTP и HTTPS (рисунок
6.2), проверяется FTP-доступ к серверам
Server1 и Server2 с компьютера PC1 (рисунок
6.3),выполняются эхо-запросы на серверы
Server1 и Server2 от PC1 (рисунок 6.4). Аналогично
поверяются РС2 и РС3. Удачный доступ к
веб-сайтам на серверах от РС2 и РС3 – на
рисунке 6.5. Неудачный FTP-доступ к серверам
от РС2 – на рисунке 6.6. Неудачные
эхо-запросы от РС3 к серверам представлены
на рисунке 6.7.

Рисунок 6.2 –
Проверка доступа через HTTP и HTTPS

Рисунок 6.3 —
FTP-доступ к серверам Server1 и Server2 с PC1

Рисунок 6.4 —
Эхо-запросы на серверы Server1 и Server2 от PC1

Рисунок 6.5 — Удачный
доступ к веб-сайтам на серверах от РС2
и РС3

Рисунок 6.6 — Неудачный
FTP-доступ к серверам от РС2

Рисунок 6.7 — Неудачные
эхо-запросы от РС3 к серверам

Таблица распределения адресов

оборудование

интерфейс

айпи адрес

Маска подсети

Шлюз по умолчанию

RTA
G0/0
10.101.117.49
255.255.255.248
не применимо
G0/1
10.101.117.33
255.255.255.240
не применимо
G0/2
10.101.117.1
255.255.255.224
не применимо
PCA
NIC
10.101.117.51
255.255.255.248
10.101.117.49
PCB
NIC
10.101.117.35
255.255.255.240
10.101.117.33
SWC
VLAN1
10.101.117.2
255.255.255.224
10.101.117.1
цель

Часть 1. Настройка, применение и проверка ACL с расширенным номером

Часть 2: вопросы для размышления

Фон / сцена

В этом сценарии система позволяет устройствам в одной локальной сети получать удаленный доступ к устройствам в другой локальной сети с помощью протокола Telnet. За исключением ICMP, весь трафик из других сетей будет отклонен.

Часть 1. Настройка, применение и проверка расширенного номера ACL
Настраивать, применять и проверять списки управления доступом, чтобы обеспечить соответствие следующим политикам:

· Разрешить трафик Telnet, генерируемый устройствами в сети 10.101.117.32/28, входить в устройства в сети 10.101.117.0/27.
ICMP-трафик может достигать любого адреса назначения с любого адреса источника.
· Весь другой трафик, входящий в 10.101.117.0/27, будет заблокирован.
Шаг 1. Настройте расширенный ACL.

В соответствующем режиме конфигурации RTA используйте последний действительный номер расширенного списка доступа для настройки ACL. Выполните следующие действия, чтобы создать первую инструкцию ACL:

1) Последний номер расширенного списка — 199.

2) Протокол TCP.

3) Исходная сеть — 10.101.117.32.

4) Подстановочный знак можно определить путем вычитания 255.255.255.240 из 255.255.255.255.

5) Целевая сеть — 10.101.117.0.

6) Подстановочный знак можно определить путем вычитания 255.255.255.224 из 255.255.255.255.

7) Протокол — Telnet.

Какая была первая инструкция ACL?
б. Разрешен протокол ICMP, требуется второй оператор ACL. Использование одного и того же номера списка доступа разрешает весь трафик ICMP, независимо от адреса источника или назначения. Что такое второй оператор ACL? (Подсказка: используйте любое ключевое слово)

c. По умолчанию весь другой IP-трафик запрещен.

Шаг 2: Примените расширенный ACL.

В общем, размещайте расширенный ACL рядом с адресом источника. Однако, поскольку список доступа 199 будет влиять на трафик от 10.101.117.48/29 и 10.101.117.32/28, лучше всего разместить этот ACL на интерфейсе Gigabit Ethernet 0/2 в исходящем направлении. Какую команду я могу использовать для применения ACL 199 к интерфейсу Gigabit Ethernet 0/2?

Шаг 3: Проверьте реализацию расширенного ACL.

а. эхо-запрос для всех остальных IP-адресов в сети с платы. Если операция ping не удалась, проверьте IP-адрес перед продолжением.

б) Подключитесь к SWC через Telnet с печатной платы. Пароль — cisco.

в. Закройте службу Telnet SWC.

г. Выполните эхо-запрос всех остальных IP-адресов в сети от PCA. Если операция ping не удалась, проверьте IP-адрес перед продолжением.

д. Подключитесь к SWC с PCA через Telnet. Список доступа заставил маршрутизатор отказаться от подключения.

е. Подключитесь от PCA к SWB через Telnet. Список доступа находится на G0 / 2 и не влияет на это соединение.

g. После входа в SWB не выходите из системы. Подключитесь к SWC через Telnet.

Вот, чтобы следовать подсказкам, просто скопируйте и вставьте следующие команды

en
conf t
access-list 199 permit tcp 10.101.117.32 0.0.0.15 10.101.117.0 0.0.0.31 eq telnet
access-list 199 permit icmp any any
interface g0/2
ip access-group 199 out

You can also learn DHCP Server Configuration With Packet Tracer

Introduction

Access Control Lists (ACL) are used to filter network traffic on Cisco routers. In order to filter network traffic, ACLs control if routed packets have to be forwarded or blocked at the ingress or egress router interface. The router checks each packet to determine whether to forward or drop the packet based on the criteria specified in the ACL applied to the interface.

IP ACL types

Two types of IP ACL can be configured in Cisco Packet Tracer 7.2 :

• Standard ACLs : This is the oldest ACL type which can be configured on Cisco routers. Traffic is filtered based on the source IP address of IP packets. The access-list number can be any number from 1 to 99. This kind of ACL has to be placed near the destination to avoid blocking legitimate trafic from the source.

access-list 1 permit 10.2.25.0 0.0.0.255
access-list 1 deny any

• Extended ACLs : Introduced in IOS version 8.3, the extended ACLs are more complex and allow filtering of the IP traffic based on a combination of multiple criterias : source IP address, destination IP address, TCP or UDP port, protocol, …. In numbered ACLs, the access-list number can be any number from 100 to 199 or 2000 to 2699 (available in IOS versions >12.0.1). Such ACLs can also be named access lists in which the ACL number is replaced by a keyword. This kind of ACL has to be placed near the source as it allows fine grained control to ressources accessed. Placing the ACL near the destination will make the trafic travel through the network before beeing blocked, resulting in bandwidth waste.

access-list 1 permit ip 10.2.25.0 0.0.0.255 10.1.0.0 0.0.255.255
access-list 101 permit icmp any 10.1.0.0 0.0.255.255 echo
access-list 1 deny ip any any

Configuration on Cisco 2911 ISR Router

Restrict remote telnet or SSH access to the ISR router

Access lists can be used to restrict remote SSH or Telnet access to the ISR router management interface (VTY) from specific networks only. Only numbered access-lists are supported on the Virtual Terminal Line.

The access-class command is used to apply the access list on the Virtual Terminal Line. The following configuration deny administrative access to the router except for the 192.168.1.0/24 network hosting admin workstations. Note the wildcard mask used in the access-list configuration for the /24 network.

access-list 1 permit 192.168.1.0 0.0.0.255

line vty 0 4
 access-class 1 in
 login
line vty 5 15
 access-class 1 in
 login