TẤT CẢ CÁC LỆNH CẤU HÌNH CCNA THEO CHUYÊN MỤC - P3

Phần 3. Access-list và các cấu hình liên quan.

1.Nhắc lại về lý thuyết.

Có 2 loại access-list.

Loại thứ nhất: Standard IP Access-list chỉ lọc dữ liệu dựa vào địa chỉ IP nguồn. Range của loại này là từ 1à 99. Nên được áp dụng với cổng gần đích nhất.

Loại thứ hai: Extended IP Access-list lọc dữ liệu dựa vào
- Địa chỉ IP nguồn
- Địa chỉ IP đích
- Giao thức (TCP, UDP)
- Số cổng (HTTP, Telnet…)
- Và các thông số khác như Windcard mask
- Range của loại này là từ 100 à199. Nên được áp dụng với cổng gần nguồn nhất.

Hai bước để cấu hình Access-list
Bước 1: Tạo access-list trong chế độ cấu hình config.
Bước 2: Áp dụng access-list cho từng cổng tuỳ theo yêu cầu ở chế độ cấu hình (config-if)

Lưu ý:
Mặc định của tất cả Access-list là deny all, vì vậy trong tất cả các access-list tối thiểu phải có 1 lệnh permit. Nếu trong access-list có cả permit và deny thì nên để các dòng lệnh permit bên trên.

Về hướng của access-list (In/Out) khi áp dụng vào cổng có thể hiểu đơn giản là: In là từ host, Out là tới host hay In vào trong Router, còn Out là ra khỏi Router.

Đối với IN router kiểm tra gói tin trước khi nó được đưa tới bảng xử lý. Đối vơi OUT, router kiểm tra gói tin sau khi nó vào bảng xử lý.
Windcard mask được tính bằng công thức:
WM = 255.255.255.255 – Subnet mask (Áp dụng cho cả Classful và Classless addreess)
0.0.0.0 255.255.255.255 = any.
Ip address 0.0.0.0 = host ip address (chỉ định từng host một )

2.Cấu hình Standard Access-list (Ví dụ)

Router(config)#access-list 1 deny 172.16.0.0 0.0.255.255
Router(config)#access-list 1 permit any
Router(config)#interface fastethernet 0/0
Router(config-in)#ip access-group in

3.Cấu hình Extended Access-list (Ví dụ)

Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.1 eq telnet
Router(config)#access-list 101 deny tcp 172.16.0.0 0.0.255.255 host 192.168.1.2 eq ftp
Router(config)#access-list 101 permit any any
Router(config)#interface fastethernet 0/0
Router(config-int)#ip access-group out

4.Cấu hình named ACL thay cho các số hiệu.

Router(config)#ip access-list extended server-access (tên của access-list)
Router(config-ext-nacl)#permit tcp any host 192.168.1.3 eq telnet
Router(config)#interface fastethernet 0/0
Router(config-int)#ip access-group server-access out

5.Permit hoặc Deny Telnet sử dụng Standard Acl (Ví dụ)

Router(config)#access-list 2 permit 172.16.0.0 0.0.255.255
Router(config)#access-list 2 deny any
Router(config)#line vty 0 4
Router(config-line)#password cisco
Router(config-line)#login
Router(config-line)#ip access-class 2 in

6.Xoá và kiểm tra Access-list

Muốn xoá thì ta dùng lệnh sau:
Router(config)# no ip access-list số hiệu

Kiểm tra Acl ta dùng các lệnh sau:

show access-list
show running-config
show ip interface

 (sưu tầm)

Leave a comment

3 Comments.

  1. Tình cờ đọc được bài viết này, nó thật hay và bổ ích với em.
    Cảm ơn anh và mong thêm nhiều những bài viết khác từ blog.

  2. @Tuấn: Cảm ơn thông tin phản hỏi của bạn.
    Hiện tại các bài viết liên quan đến IT đều được thảo luận tại http://forum.itlab.com.vn/ hoặc blog cá nhân http://blog.banbeit.com

  3. hay. mình cũng đang cần tìm những bài thuộc dạng này, nhưng bạn cho ví dụ thì kèm theo câu hỏi trước đó yêu cầu làm gì rồi mới cho ví dụ để người đọc hiểu rằng yêu cầu như thế thi giải quyết như thế nào. cảm ơn bạn

Leave a Reply

Các bạn có thể viết lời nhận xét cho bài viết, nhưng cần tuân thủ một số quy tắc sau:

» Các bài comment phải nghiêm túc, không dung tục, không spam.
» Nội dung phải liên quan tới chủ đề bài viết.
» Viết bằng tiếng việt có dấu hoặc tiếng Anh. Các comment viết không dấu sẽ bị xóa.
» Hãy để lại tên của bạn khi comment, để tôi có thể dễ dàng trả lời comment của bạn khi cần.

Xin cảm ơn & chúc các bạn tìm được những kiến thức bổ ích khi tình cờ ghé thăm blog này.