Norme liste de contrôle d'accès (ACL) de modification

Les administrateurs réseau modifier une liste de contrôle d'accès standard (ACL) en ajoutant des lignes. Chaque nouvelle entrée que vous ajoutez à la liste de contrôle d'accès (ACL) apparaît au bas de la liste.

Contrairement à la table de routage, qui ressemble pour le match le plus proche dans la liste lors du traitement d'une entrée d'ACL qui sera utilisé comme première entrée correspondante. Si, par exemple, vous voulez avoir un hôte sur le 192.168.8.0/24 bloqué sur votre ACL, alors il y aurait une différence. Vous devez ajouter nier pour 192.168.8.200 à votre ACL:

Switch1> enablePassword: Switch1 # configure les commandes de configuration de terminalEnter, un par ligne. Terminez avec CNTL / Z.Switch1 (config) # access-list 50 nient 192.168.8.200 0.0.0.0Switch1 (config) # endSwitch1 # show access-list 50Standard IP liste d'accès 50deny 192.168.8.200permit 192.168.8.0, joker Bits 0.0. 0.255permit 192.168.9.0, joker Bits 0.0.0.255

Avis nier a été ajouté au sommet de la liste, alors que le permis supplémentaire a été ajouté au bas de la liste. En outre, cet article ne comprend pas les bits de génériques. Le comportement de la commande est de par leur conception, avec une entrée pour un seul hôte étant plus importante et donc filtré au haut de la liste.

La réduction de l'ACE pour l'hôte unique est également prévu. Vous pouvez ajouter un seul hôte de cette façon, au lieu d'écrire tous les zéros dans le masque générique.

Switch1 (config) # access-list 50 nier hôte 192.168.8.200

Vous pouvez faire une nouvelle ACL qui niera les deux mêmes blocs d'adresses de classe C, mais de permettre aux quatre premières adresses de la plage 192.168.8.0/24 (192.168.8.0-192.168.8.3). Voici le résultat si vous construisez l'ACL dans cet ordre.

# Configure les commandes de configuration de terminalEnter Switch1, un par ligne. Terminez avec CNTL / Z.Switch1 (config) # access-list 60 nient 192.168.8.0 0.0.0.255Switch1 (config) # access-list 60 nier 192.168.9.0 0.0.0.255Switch1 (config) # access-list 60 permis de 192.168. 8,0 0.0.0.3Switch1 (config) # # montrer endSwitch1 liste d'accès IP 60Standard liste d'accès 60deny 192.168.8.0, générique de bits 0.0.0.255deny 192.168.9.0, les bits génériques 0.0.0.255permit 192.168.8.0, joker Bits 0.0.0.3

Parce que les entrées sont ajoutées à la liste ACL dans l'ordre que vous les tapez, le permis se termine au bas de la liste. Si vous testez cette ACL, une adresse du type 192.168.8.2 serait capté par la première ACE et ne recevrait pas le permis de la troisième ACE. Comment fixez-vous cela? Eh bien, vous avez un peu de choix:

• Vous pouvez supprimer l'ACL de l'endroit où il est utilisé, supprimer l'ACL, en créer un nouveau dans le bon ordre, et l'ajouter à l'endroit où il est utilisé. Ce long processus quitte effectivement le système ouvert à partir du moment où vous retirez l'ACL de l'endroit où il est utilisé, jusqu'à ce qu'il soit rajouté. Cela a été la méthode standard de gestion des ACL.

  Lorsque vous travaillez avec ACL de cette façon, vous souhaitez copier toutes les étapes nécessaires en notepad.exe. Cela comprend les mesures pour supprimer les anciens ACL et ajouter la nouvelle ACL. Après tout le processus est mis en scène dans notepad.exe, Utilisez le copie commande pour copier et coller dans votre application de gestion de la CLI, comme putty.exe.

• Si votre appareil le supporte, vous pouvez modifier l'ACL en utilisant la commande IP dans le code suivant. Cela vous permet de mettre des numéros de ligne dans votre ACL, une option que vous ne disposez pas lors de l'édition de l'ACL à partir du mode de configuration globale. Cela rend l'utilisation du mode de configuration ACL. Lors de la remise de vos numéros de ligne, vous voulez laisser un espace entre les entrées de l'ACL.

Router1 (config) # ip access-list 60Router1 standard (config-ext-NaCl) # 10 nient 192.168.8.0 0.0.0.255Router1 (config-ext-NaCl) # 20 nient 192.168.9.0 0.0.0.255Router1 (config-EXT NaCl) # 30 permis 192.168.8.0 0.0.0.3

Avec ce pré-planification fait, vous pouvez alors ajouter une nouvelle entrée d'ACL au sommet de l'ACL en choisissant un nombre qui est inférieur à 10, similaire à la suivante:

Router1>activerMot de passe: Router1 # configure terminalRouter1 (config) # ip access-liste standard 60Router1 (config-ext-NaCl) # 5 permis 192.168.8.0 0.0.0.3Router1 (config-ext-NaCl) #finRouter1 # show access-list 60Standard IP de la liste d'accès 605 permis 192.168.9.0, joker Bits 0.0.0.310 nient 192.168.9.0, les bits génériques 0.0.0.25520 nient 192.168.9.0, les bits génériques 0.0.0.25530 permis 192.168.8.0, joker Bits 0.0. 0.3This vous permet de modifier l'ACL à la volée (qui est, sans le retirer à partir des interfaces où il est utilisé) sans enlever l'ACL et le recréer, vous permet d'économiser beaucoup de temps et d'efforts, aussi longtemps que il ya un fossé dans la numérotation où vous pouvez ajouter votre nouvelle entrée.

Selon la version de l'IOS et le dispositif, vous pouvez avoir d'autres options. Si vous regardez l'Adaptive Security Appliance (ASA), vous ne devez pas planifier à l'avance. Donc examiner le code suivant, où l'ASA numérote automatiquement les lignes pour vous:

ASAFirewall1>activerMot de passe: ASAFirewall1 # configure terminalASAFirewall1 (config) # access-list 60 nient 192.168.8.0 255.255.255.0ASAFirewall1 (config) # access-list 60 nient 192.168.9.0 255.255.255.0ASAFirewall1 (config) # SortieASAFirewall1 # show access-list 60access liste 60- 2 elementsaccess-liste de 60 ligne 1 norme nier 192.168.8.0 255.255.255.0 (hitcnt = 0) 0x318d5521access-liste de 60 ligne standard 2 nier 192.168.9.0 255.255.255.0 (hitcnt = 0) 0xba5e90e1ASAFirewall1 # configure terminalASAFirewall1 (config) # access-list 60 ligne 1 permis 192.168.9.0 255.255.255.248ASAFirewall1 (config) # SortieASAFirewall1 # show access-list 60access liste 60- 3 elementsaccess-liste de 60 ligne 1 permis norme 192.168.9.0 255.255.255.248 (hitcnt = 0) 0x451bbe48access-liste de 60 ligne standard 2 nier 192.168.8.0 255.255.255.0 (hitcnt = 0) 0x318d5521access-liste de 60 ligne standard 3 nier 192.168.9.0 255.255.255.0 (hitcnt = 0) 0xba5e90e1

En utilisant l'ASA, vous pouvez toujours ajouter des lignes à la volée ou le numéro manuellement les entrées ACL. Si vous voulez utiliser la même ligne à nouveau, l'ASA renumérotera votre liste entière si elle doit. Ceci est vraiment le meilleur des deux mondes.