Modificarea Modificări

Administratorii de rețea modifică o listă standard de control al accesului (ACL) adăugând linii. Fiecare nouă înregistrare pe care o adăugați în lista de control al accesului (ACL) apare în partea de jos a listei.

Spre deosebire de tabela de rutare, care caută cea mai apropiată potrivire din listă atunci când procesează o intrare ACL care va fi utilizată ca prima intrare de potrivire. Dacă, de exemplu, doriți să aveți o gazdă pe 192. 168. 8. 0/24 blocată pe ACL, atunci ar exista o diferență. Trebuie să adăugați neagă pentru 192. 168. 8. 200 pentru ACL:

Switch1> activați parola: Switch1 # configure terminal Introduceți comenzi de configurare, câte unul pe linie. Sfârșit cu CNTL / Z. Switch1 (config) # acces-list 50 refuză 192. 168. 8. 200 0. 0. 0. 0 Switch1 (config) #end Switch1 # afișare listă de acces 50 Listă de acces IP standard 50 neagă 192. 168. 8. 200 permise 192. 168. 8. 0, biți wildcard 0. 0. 0. 255 permit 192. 168. 9. 0, biți wildcard 0. 0. 0. 255

Notă de avertizare a fost adăugată în partea de sus a listei, întrucât permisul suplimentar a fost adăugat în partea de jos a listei. În plus, această intrare nu include biți de tip wildcard. Comportamentul de comandă este conceput, fiecare intrare pentru o singură gazdă fiind mai importantă și, prin urmare, este filtrată în partea de sus a listei.

De asemenea, se așteaptă reducerea ACE pentru gazda unică. Ați putea adăuga gazdă unică în acest fel, în loc să scrie toate zerourile din masca wildcard.

Switch1 (config) # acces-list 50 refuză gazdă 192. 168. 8. 200

Puteți crea un nou ACL care va nega aceleași două blocuri de adrese de clasă C, dar permite primelor patru adrese din 192 168. 8. Intervalul 0/24 (192. 168. 8. 0-192, 168. 8. 3). Iată rezultatul dacă construiți ACL în această ordine.

Terminal de configurare Switch1 # Introduceți comenzi de configurare, câte unul pe linie. Sfârșit cu CNTL / Z. Switch1 (config) # acces-list 60 refuza 192. 168. 8. 0 0. 0. 0. 255 Switch1 (config) # acces-list 60 refuza 192. 168. 9. 0 0. 0. 0. 255 Switch1 (config) # acces-list 60 permite 192. 168. 8. 0 0. 0. 0. 3 Switch1 (config) #end Switch1 # afișare listă de acces 60 Listă de acces IP standard 60 refuză 192. 168. 8. 0, wildcard biți 0. 0. 0. 255 deny 192. 168. 9. 0, biți wildcard 0. 0. 0. 255 permit 192. 168. 8. 0 biți wildcard 0. 0. 0. 3

Deoarece intrările sunt adăugate la ACL în ordinea în care le introduceți, permisul se termină în partea de jos a listei. Dacă testați acest ACL, o adresă ca 192. 168. 8. 2 ar fi preluată de primul ACE și nu ar primi permisul de la ACE treia. Cum rezolvi asta? Ei bine, aveți câteva opțiuni:

• Puteți să eliminați ACL de unde este utilizat, să ștergeți ACL, să creați unul nou în ordinea corectă și să îl adăugați înapoi acolo unde este utilizat.Acest proces de lungă durată lasă sistemul să se deschidă din momentul în care eliminați ACL de unde este utilizat, până când acesta este adăugat înapoi. Aceasta a fost metoda standard de gestionare a ACL-urilor.

  Atunci când lucrați cu ACL-uri în acest fel, ați copia toți pașii necesari în Notepad. executabil. Acestea includ pașii de eliminare a ACL vechi și adăugarea noului ACL. După ce întregul proces este organizat în notepad. exe, utilizați comanda de copiere pentru a copia și lipi în aplicația de gestionare CLI, cum ar fi chit. executabil.

• Dacă dispozitivul dvs. o acceptă, puteți să editați ACL utilizând comanda IP din următorul cod. Acest lucru vă permite să introduceți numere de linii în ACL, o opțiune pe care nu o aveți la editarea ACL din modul Global Configuration. Aceasta folosește modul de configurare ACL. Când introduceți numerele de linie, doriți să lăsați un gol între intrările din ACL.

Router1 (config) #ip acces-list standard 60 Router1 (config-ext-nacl) # 10 deny 192. 168. 8. 0 0. 0. 0. 255 Router1 (config-ext-nacl) 192. 168. 9. 0 0. 0. 0. 255 Router1 (config-ext-nacl) # 30 permis 192. 168. 8. 0 0. 0. 0. 3

Cu această pre-planificare făcut, tu poate adăuga o nouă intrare ACL în partea de sus a ACL, alegând un număr mai mic de 10, similar cu următorul:

Router1> enable Parola: Router1 # configura terminalul Router1 (config) # ip acces-list standard 60 Router1 (config-ext-nacl) # 5 permis 192. 168. 8. 0 0. 0. 0. 3 Router1 (config-ext-nacl) # end Router1 # arată lista de acces 60 Lista de acces IP standard 60 5 permite 192. 168. 9. 0, biți de tip wildcard 0. 0. 0. 3 10 deniți 192. 168. 9. 0, biți wildcard 0. 0. 0. 255 20 deni 192. 168. 9. 0, biți de tip wildcard 0. 0. 0. 255 30 permit 192. 168. 8. 0, biți wildcard 0. 0. 0. 3 Aceasta vă permite să editați ACL în zbor (adică, fără a le elimina din interfețele în care sunt utilizate), fără a elimina ACL și recrea o cu mult timp și efort, atâta timp cât există un decalaj în numerotarea în care puteți adăuga noua dvs. înregistrare.

În funcție de versiunea și dispozitivul IOS, este posibil să aveți alte opțiuni. Dacă te uiți la dispozitivul de securitate adaptat (ASA), nu trebuie să preplanzi. Deci, revedeți următorul cod, în care ASA numără automat liniile pentru dvs.:

ASAFirewall1> activați Parola: ASAFirewall1 # configurarea terminalului ASAFirewall1 (config) # acces-list 60 refuza 192. 168. 8. 0 255. 255. 255. 0 ASAFirewall1 (config) # ieșire ASAFirewall1 # afișează lista de acces 60 lista de acces 60; 2 elemente acces-list 60 linia 1 standard negati 192. 168. 8. 0 255. 255. 255. 0 (hitcnt = 0) 0x318d5521 lista de acces 60 linia 2 standard negati 192. 168. 9. 0 255. 255. 255 0 (hitcnt = 0) 0xba5e90e1 ASAFirewall1 # configurare terminal ASAFirewall1 (config) # acces-list 60 permis 1 linie 192. 168. 9. 0 255. 255. 255. 248 ASAFirewall1 (config) # ASAFirewall1 # arată lista de acces 60 lista de acces 60; 3 elemente acces-list 60 permis 1 standard 192. 168. 9. 0 255.255. 255. 248 (hitcnt = 0) 0x451bbe48 lista de acces 60 linia 2 standard ignorați 192. 168. 8. 0 255. 255. 255. 0 (hitcnt = 0) 0x318d5521 lista de acces 60 linia 3 deny standard 192. 168 9. 0 255. 255. 255. 0 (hitcnt = 0) 0xba5e90e1 Folosind ASA, puteți adăuga în continuare linii în zbor sau intrări ACL cu numărul manual. Dacă doriți să utilizați din nou aceeași linie, ASA va renumerota întreaga listă dacă este necesar. Aceasta este cu adevărat cea mai bună din ambele lumi.