Как стать автором
Поиск
Написать публикацию
Обновить

Комментарии 35

Хорошо изложили материал, и довольно обьемно.
Всего голосов 2: ↑2 и ↓0+2
Я бы порекомендовал приводить не только команды для ввода правил ACL, но и полученные в результате списки (т.е. результат show access-lists). Читается лучше.
Всего голосов 2: ↑2 и ↓0+2
Спасибо за совет, обновил статью.
Всего голосов 3: ↑3 и ↓0+3
Добро пожаловать на Хабр!

Приятно, что в таком достаточно юном возрасте люди увлекаются Циско и, как видно со скриншотов, проходят курс CCNA :-)

Желаю удачи и дальнейших успехов в учебе и карьере!
Всего голосов 3: ↑3 и ↓0+3
Спасибо большое! Буду и дальше стараться писать интересные статьи :)
Всего голосов 3: ↑3 и ↓0+3
В очередной раз расстраиваюсь что хорошая специализированная статья получает так мало голосов =( Обидно.
На счет рефлексивных ACL, у циски есть еще немного похожее средство — ip inspect. Позволяет вешать только один ACL, допустим на IN. После прохождения пакета, инспект открывает входную «дырку» для него и ожидает получения ответа.
Всего голосов 2: ↑2 и ↓0+2
Ничего страшного, блог Cisco — это вообще от своих, для своих, про свое :-) Зато минусов такие статьи почти не получают.
Всего голосов 6: ↑6 и ↓0+6
Да, точно ))) Скажем так — для тех, кто в теме =))
Всего голосов 3: ↑3 и ↓0+3
Да и еще стоит упомянуть, что wildcard — это не просто маска подсети задом на перед) Она дает удивительные возможности в плане выборки адресов =) Что-то вроде — каждый десятый IP из всех четных подсетей =)
Всего голосов 3: ↑3 и ↓0+3
Это discontinuous subnet mask — вроде ж, отменили их поддержку, разве нет?
Всего голосов 2: ↑2 и ↓0+2
Не-не, я знаю про wildcard :-) Я только никогда не понимал, зачем они нужны. Вроде бы ж поддержки discontinuous subnet mask, а следовательно и аналогичных wildcard bits, больше нет.

Кстати, небезызвестный Jeremy Cioara тоже как-то в своем курсе говорил, что он не понимает, зачем нужны wildcard bits :-)
Всего голосов 3: ↑2 и ↓1+1
можно очень хитро группировать строчки в ацл, что маска не позволит
Всего голосов 2: ↑2 и ↓0+2
А можно пример?
Всего голосов 2: ↑2 и ↓0+2
можно. подсети
10.0.0.0/24
10.0.0.0/24
Всего голосов 2: ↑2 и ↓0+2
сорри, отправился.
10.0.0.0/24
10.0.1.0/24
10.1.0.0/24
10.1.1.0/24

группируется в 10.0.0.0 0.1.1.255

с маской без захвата соседних не получится
Всего голосов 2: ↑2 и ↓0+2
1) неявный deny ip any any лучше делать явным и дополнять в конце log
т.е — порой сильно упрощает траблшутинг
2) подробнее написать о редактировании ACL, если строчки в нем не нумерованы(блокнот в помощь) или нумерованы (например не стоит принудительно заполнять строчки подряд 1, 2, 3, 4...)
3) Про обратную маску не стоит писать что это просто инверсия к обычной, это гораздо более мощный инструмент и может сработать неожиданно для тех кто это не понимает. Например, можем разрешить только четные IP. Или «сгруппировать» хосты в разных подсетях
Всего голосов 2: ↑2 и ↓0+2
1-е только на время, т.к. приводит к процесс-свитчингу этих пакетов
2-3 согласен
Всего голосов 2: ↑2 и ↓0+2
хм…
Т.е. явно заданный
deny ip any any
всегда приводит к процесс свитчингу?
Я правильно понял?
Всего голосов 2: ↑2 и ↓0+2
Нет, что Вы. дело в слове log
Всего голосов 2: ↑2 и ↓0+2
Ясно, спасибо за пояснения.
Всего голосов 2: ↑2 и ↓0+2
ACL необходимо размещать как можно ближе к источнику

Не совсем так. Расширенные ACL необходимо размещать как можно ближе к источнику, а стандартные — как можно ближе к назначению.
Всего голосов 4: ↑4 и ↓0+4
Да, вы правы.
Всего голосов 1: ↑1 и ↓0+1
ACL не действует на трафик, сгенерированный самим маршрутизатором
Всего голосов 3: ↑3 и ↓0+3
В NAT'е очень даже хорошо действуют :)
А аксесс-листы на интерфейсе таки да.
Всего голосов 3: ↑3 и ↓0+3
Отличное изложение!

Если хорошо владете предметом было бы интересно увидеть в вашем изложении описание VACL — Vlan ACL, а также их отличия от PACL и RACL.
Всего голосов 2: ↑2 и ↓0+2
К сожалению, не знаю данной темы, возможно в будущем напишу.
Сейчас планирую написать что-то из курса CCNP. Там намного всё сложнее, а свой топик помогает лучше понять материал :)
Всего голосов 2: ↑2 и ↓0+2
в текущем сснп все почти так же просто, сложности начнутся дальше :)
Всего голосов 1: ↑1 и ↓0+1
Если вам просто дается материал CCNP — я за вас только рад!
Мне он в отличие от CCNA идет в разы сложнее, приходится ещё читать литературу чтобы понимать хоть что-то. Это правда касается не всех тем, но многих.

Сложности начнутся дальше
Рассказывайте :)
Всего голосов 1: ↑0 и ↓1-1
это гнутие пальцев, это просто опыт инструктора, на глазах которого поменяли трек ССНП, оставив в нем самые простые и понятные вещи. В том смысле, что не ждите сверхсложностей от него, треки по IP или по SP в разы сложнее и объемнее
Всего голосов 1: ↑1 и ↓0+1
сорри, это не гнутие пальцев
Всего голосов 1: ↑1 и ↓0+1
Я, честно говоря, плохо понимаю смысл таких статей и их (статей) целевую аудиторию. Это люди с ограниченными возможностями имеющие сложности с набором в google словосочетания cisco acl?
Предмет раскрыт где только можно и всеми возможными способами. К чему выкладывать скриншоты с официальных курикулимов в обрамлении переведенного (скопипасченого) текста?
Комментарий пока не оценивали0
Я попытался очень понятным языком объяснить данную тему. Чтобы люди, которые хотят разбираться в ACL или потом будут работать с ACL открыли эту статью, прочитали теорию, посмотрели команды и собственно настроили в своей сети фильтрацию трафика. Я уверен что эта статья пригодится кому-то.
Всего голосов 1: ↑1 и ↓0+1
А может им лучше открыть тот материал, из которого вы просто скопировали это вместе со скриншотами? :) Кстати, как к этому относится сама Cisco? :)
Комментарий пока не оценивали0
Скриншоты видов списков доступа взяты из официальной литературы CCNA Exploration: Accessing the WAN. В пятой главе описываются списки доступа, я написал в конце самой статьи об этом. Первый скриншот нарисован мною в GIMP'e. Что касается копирования, эта статья была опубликована на других ресурсах после того как я опубликовал её на хабре, можете проверить.
Комментарий пока не оценивали0
Зарегистрируйтесь на Хабре, чтобы оставить комментарий

Публикации

Показать лучшие за всё время
Изменить настройки темы

Истории

Ваш аккаунт

Разделы

Информация

Услуги

Техническая поддержка
© 2006–2024, Habr