1. Phân loại: ACLs được phân làm các loại sau: Standard ACLs, Extended

ACLs, Dynamic ACLs (Lock and Key), Reflexive ACLs, Time-based ACLs.

ACLs có thể được tạo ra bằng hai cách là dùng Numbered ACLs hay Name ACLs

Chúng ta đi tìm hiểu từng loại ACLs gồm đặc điểm, ứng dụng và cách tạo các loại ACLs đã kể bên trên

2. Standard ACLs Đặc điểm: Standard ACLs là bảng lọc traffic đơn giản nhất

trong các loại ACLs. Standard ACLs lọc traffic chỉ dựa vào thông số source address của gói tin.

Ứng dụng: Dùng để lọc traffic đơn giản chi dựa vào địa chỉ source address.

Cách tạo Standard ACLs:Command:Router(config)#access-list access-list-number [deny/permit] remark source [source-wildcard] [log]

Ví dụ:

R3(config)#access-list 99 deny 192.168.10.0 0.0.0.255R3(config)#access-list 99 permit anyR3(config)#interface s0/0/1R3(config-if)#ip access-group 99 in

3. Extended ACLs

Đặc điểm: Extended ACLs là bảng lọc traffic dựa vào các thông tin trong gói tin gồm source address, destination address, protocols, port-number

Ứng dụng: Dùng để lọc gói tin dựa vào nhiều thông tin hơn standard ACL Cách tạo Extended ACLs:

Command:

Ví dụ:

R3(config)#access-list 102 deny tcp 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 equal 23R3(config)#access-list 102 deny tcp 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 equal 21R3(config)#access-list 102 deny tcp 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 equal 20R3(config)#interface f0/2R3(config-if)#ip access-group 102 in

4. Cách cấu hình Name ACLs: Ta dùng lệnh ip access-list sau đó chỉ định loại standard hay extended và cuối cùng là tên của ACLsVí dụ:

5. Dynamic ACLs

Đặc điểm: chỉ sử dụng lọc các IP traffic, Dynamic ACLs bị phụ thuộc vào sự kết nối Telnet, sự xác thực (local or remote), và extended ACLs.

+ Một user sẽ mở kết nối đến router biên được cấu hình lock-and-key. Những kết nối của user thông qua virtual terminal port trên router.+ Khi nhận telnet packet router sẽ mỡ một telnet session và yêu cầu xác thực một password hoặc một tài khoản username. User phải vượt qua sát thực mới được cho phép đi qua router. Quá trình xác thực sẽ thực hiện bởi router hoặc một server xác thực sử dụng giao thức RADIUS hoặc TACACS server.+ Khi user qua được sát thực, chúng sẽ thoát ra khỏi telnet session và một entry sẽ xuất hiện trọng Dynamic ACLs + Lúc đó, các người dùng sẽ trao đổi dữ liệu thông qua Firewall. + Khi dúng khoảng thời gian timeout được cấu hình, router sẽ xóa entry vừa tạo trong dynamic ACLs hoặc người quản trị có thể xóa bằng tay. Timeout có hai loại là idle timeout hoặc absolute timeout. Idle timeout là nếu user không sử dụng session này trong một khoảng thời gian thì entry trong Dynamip sẽ bị xóa. Absolute timeout là khoảng thời gian cố định cho phép user sử dụng session này khi hết thời gian thì entry trong Dynamic ACLs sẽ bị xóa.

Ứng dụng:+ Khi bạn muốn chỉ định một user hay một group user truy cập đến một host nào đó trong mạng của bạn, hay kết nối tới những host từ xa thông qua Internet. Lock-and-key ACLs sẽ xác thực người dùng và sau đó cho phép giới hạn truy cập thông qua router firewall cho một host hay một mạng con trong một chu kỳ thời gian giới hạn. + Khi bạn muốn một đường mạng con trong mạng local network truy cập tới một host nào đó trong mạng từ xa mà được bảo vệ bởi một firewall. Với lock-and-key ACLs, bạn có thể truy cập tới host ở xa chỉ với một nhóm host được đề nghị. Lock-and-key ACLs yêu cầu những người dùng xác thực thông qua một AAA, TACACS+ server, hay những server bảo mật khác trước khi cho phép những host truy cập đến những host ở xa.

Cách tạo Dynamic ACLs:

Ví dụ

Các bước cấu hình:

Step 1: Tạo một tài khoản người dùng local trên routerStep 2: Tạo một Extended ACLs cho phép tất cả các host được telnet đến host 10.2.2.2. Khi telnet thành công sẽ cho phép đường mạng 192.168.10.0 đi qua đường mạng 192.168.30.0 với thời gian timeout 15 phút (absolute time)(ALCs động sẽ sinh ra khi lệnh access-enable được bật lên và sẽ mất đi sau 15 phút bất chấp user có sử dụng nó hay ko)Step 3: Gán ACLs cho interface chỉ địnhStep 4: Chỉ định nếu user telnet và xác thực thành công thì sẽ thiết lập một session 5 phút, nếu user ko sử dụng session này nó sẽ kết thúc sau 5 phút (idle timeout) nếu user sử dụng session này nó sẽ kết thúc sau 120 phút. 

Ví dụ 2: Xác thực với TACACS server

//Enable chức năng xác thực AAAaaa new-modelaaa authentication login default group tacacs+ enableaaa accounting exec stop-only group tacacs+aaa accounting network stop-only group tacacs+enable password ciscotac!isdn switch-type basic-dms100!interface ethernet0ip address 172.18.23.9 255.255.255.0

!interface BRI0ip address 172.18.21.1 255.255.255.0encapsulation pppdialer idle-timeout 3600dialer wait-for-carrier-time 100dialer map ip 172.18.21.2 name dianadialer-group 1isdn spid1 2036333715291isdn spid2 2036339371566ppp authentication chapip access-group 102 in!//Cho phép các host telnet tới 172.18.21.2 bằng giao thức telnet. Khi telnet tới sẽ xác thực với tacacs server nếu xác thực thành công thì sẽ cho tất cả các traffic qua lại router và sẽ tự đóng session trong 5 phútaccess-list 102 permit tcp any host 172.18.21.2 eq telnetaccess-list 102 dynamic testlist timeout 5 permit ip any any!!ip route 172.18.250.0 255.255.255.0 172.18.21.2priority-list 1 interface BRI0 high//Khai báo IP của taccas server và key để xác thực với tacacs servertacacs-server host 172.18.23.21tacacs-server host 172.18.23.14tacacs-server key test1tftp-server rom alias all!dialer-list 1 protocol ip permit!line con 0password ciscoline aux 0//Thời gian idle timeout cho session là 5 phútline VTY 0 4autocommand access-enable timeout 5password cisco !

6. Reflexive ACLs: 

Đặc điểm: ACLs này chỉ đc tạo bởi Extend Name ACLs không đc tạo bởi Numbering hay Standard Name ACL

Ứng dụng: được sử dụng để cho phép các IP traffic từ bên ngoài của session mà khởi tạo từ bên trọng nội mạng và ngăn những IP traffic khởi tạo session từ mạng bên ngoài. ACLs này sẽ xem xét gói tin gởi ra ngoài nếu là gói khởi tạo session nó tự động thêm vào một outbound entry để cho phép traffic trả lời về. Rèflexive ACLs có thể lọc session tốt hơn thay vì chỉ ACK và RST bit như câu lệnh permit…established. Rèflexive lọc cả địa chỉ nguồn, đích, port, ACK và RST bit của gói tin. Ngoài ra, session filtering sử dụng những bộ lọc tạm thời cái mà được xóa khi một session kết thúc.

Cách tạo Reflexive ACLs:Ví dụ

+ Cấu hình ACLs cho phép ICMP và TCP traffic cả chiều inbound và outbound nhưng chỉ cho phép nếu gói tin đầu tiên của session bắt nguồn từ mạng nội bộ. Tất cả các traffic khác sẽ bị cấm. Reflexive ACLs được gán trên interface s0/1/0+ Các bước cấu hình:Step 1: Tạo một Extend name ACLs để cho phép các traffic đi ra ngoài InternetStep 2: Tạo một Extend name ACLs để chứa Reflexive ACLs tự động được tạo ra khi có gói outbound match với Name ACLs ở bước 1.Step 3: Gán các name ACLs cho interface

7. Time-based ACLs

Đặc điểm: chức năng tương tự extended ACLs, nhưng chúng cho phép điều khiển truy cập dựa vào thời gian

Ứng dụng: Dùng để lọc gói tin dựa vào nhiều thông tin như Exended ACLs và dựa vào cả thông tin về thời gian.

Cách tạo Time-based ACLs:Ví dụ: Thiết lập ACLs cho phép một kết nối Telnet được cho phép từ inside network tới the outside network vào Monday, Wednesday, and Friday trong suốt giờ hành chánh.+ Các bước cấu hình:Step 1. Định nghĩa khoảng thời gian để thi hành ACLs và đặt cho nó một cái tên.(khoảng thời gian này phụ thuộc vào giờ hệ thống trên router, chức năng này làm việc tốt với sự đồng bộ thời gian của giao thức Network Time Protocol (NTP) nhưng lúc này đồng hồ của router không được sử dụng. )Step 2. Áp dụng khoảng thời gian này cho ACLsStep 3. ÁP dụng ACL cho interface.

1. Phân loại: ACLs được phân làm các loại sau: Standard ACLs, Extended

ACLs, Dynamic ACLs (Lock and Key), Reflexive ACLs, Time-based ACLs.

ACLs có thể được tạo ra bằng hai cách là dùng Numbered ACLs hay Name ACLs

Chúng ta đi tìm hiểu từng loại ACLs gồm đặc điểm, ứng dụng và cách tạo các loại ACLs đã kể bên trên 2. Standard ACLs Đặc điểm: Standard ACLs là bảng lọc traffic đơn giản nhất

trong các loại ACLs. Standard ACLs lọc traffic chỉ dựa vào thông số source address của gói tin.

Ứng dụng: Dùng để lọc traffic đơn giản chi dựa vào địa chỉ source address.

Cách tạo Standard ACLs:Command:Router(config)#access-list access-list-number [deny/permit] remark source [source-wildcard] [log]Ví dụ:

R3(config)#access-list 99 deny 192.168.10.0 0.0.0.255R3(config)#access-list 99 permit anyR3(config)#interface s0/0/1R3(config-if)#ip access-group 99 in

3. Extended ACLs

Đặc điểm: Extended ACLs là bảng lọc traffic dựa vào các thông tin trong gói tin gồm source address, destination address, protocols, port-number

Ứng dụng: Dùng để lọc gói tin dựa vào nhiều thông tin hơn standard ACL Cách tạo Extended ACLs:

Command:

Ví dụ:

R3(config)#access-list 102 deny tcp 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 equal 23R3(config)#access-list 102 deny tcp 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 equal 21R3(config)#access-list 102 deny tcp 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 equal 20R3(config)#interface f0/2R3(config-if)#ip access-group 102 in

4. Cách cấu hình Name ACLs: Ta dùng lệnh ip access-list sau đó chỉ định loại standard hay extended và cuối cùng là tên của ACLsVí dụ:

5. Dynamic ACLs

Đặc điểm: chỉ sử dụng lọc các IP traffic, Dynamic ACLs bị phụ thuộc vào sự kết nối Telnet, sự xác thực (local or remote), và extended ACLs.

+ Một user sẽ mở kết nối đến router biên được cấu hình lock-and-key. Những kết nối của user thông qua virtual terminal port trên router.+ Khi nhận telnet packet router sẽ mỡ một telnet session và yêu cầu xác thực một password hoặc một tài khoản username. User phải vượt qua sát thực mới được cho phép đi qua router. Quá trình xác thực sẽ thực hiện bởi router hoặc một server xác thực sử dụng giao thức RADIUS hoặc TACACS server.+ Khi user qua được sát thực, chúng sẽ thoát ra khỏi telnet session và một entry sẽ xuất hiện trọng Dynamic ACLs + Lúc đó, các người dùng sẽ trao đổi dữ liệu thông qua Firewall. + Khi dúng khoảng thời gian timeout được cấu hình, router sẽ xóa entry vừa tạo trong dynamic ACLs hoặc người quản trị có thể xóa bằng tay. Timeout có hai loại là idle timeout hoặc absolute timeout. Idle timeout là nếu user không sử dụng session này trong một khoảng thời gian thì entry trong Dynamip sẽ bị xóa. Absolute timeout là khoảng thời gian cố định cho phép user sử dụng session này khi hết thời gian thì entry trong Dynamic ACLs sẽ bị xóa.

Ứng dụng:+ Khi bạn muốn chỉ định một user hay một group user truy cập đến một host nào đó trong mạng của bạn, hay kết nối tới những host từ xa thông qua Internet. Lock-and-key ACLs sẽ xác thực người dùng và sau đó cho phép giới hạn truy cập thông qua router firewall cho một host hay một mạng con trong một chu kỳ thời gian giới hạn. + Khi bạn muốn một đường mạng con trong mạng local network truy cập tới một host nào đó trong mạng từ xa mà được bảo vệ bởi một firewall. Với lock-and-key ACLs, bạn có thể truy cập tới host ở xa chỉ với một nhóm host được đề nghị. Lock-and-key ACLs yêu cầu những người dùng xác thực thông qua một AAA, TACACS+ server, hay những server bảo mật khác trước khi cho phép những host truy cập đến những host ở xa.

Cách tạo Dynamic ACLs:

Ví dụ

Các bước cấu hình:

Step 1: Tạo một tài khoản người dùng local trên routerStep 2: Tạo một Extended ACLs cho phép tất cả các host được telnet đến host 10.2.2.2. Khi telnet thành công sẽ cho phép đường mạng 192.168.10.0 đi qua đường mạng 192.168.30.0 với thời gian timeout 15 phút (absolute time)(ALCs động sẽ sinh ra khi lệnh access-enable được bật lên và sẽ mất đi sau 15 phút bất chấp user có sử dụng nó hay ko)Step 3: Gán ACLs cho interface chỉ địnhStep 4: Chỉ định nếu user telnet và xác thực thành công thì sẽ thiết lập một session 5 phút, nếu user ko sử dụng session này nó sẽ kết thúc sau 5 phút (idle timeout) nếu user sử dụng session này nó sẽ kết thúc sau 120 phút. 

Ví dụ 2: Xác thực với TACACS server

//Enable chức năng xác thực AAAaaa new-modelaaa authentication login default group tacacs+ enableaaa accounting exec stop-only group tacacs+aaa accounting network stop-only group tacacs+enable password ciscotac!isdn switch-type basic-dms100!interface ethernet0ip address 172.18.23.9 255.255.255.0!interface BRI0ip address 172.18.21.1 255.255.255.0encapsulation pppdialer idle-timeout 3600dialer wait-for-carrier-time 100dialer map ip 172.18.21.2 name dianadialer-group 1isdn spid1 2036333715291isdn spid2 2036339371566ppp authentication chapip access-group 102 in!//Cho phép các host telnet tới 172.18.21.2 bằng giao thức telnet. Khi telnet tới sẽ xác thực với tacacs server nếu xác thực thành công thì sẽ cho tất cả các traffic qua lại router và sẽ tự đóng session trong 5 phútaccess-list 102 permit tcp any host 172.18.21.2 eq telnetaccess-list 102 dynamic testlist timeout 5 permit ip any any!!ip route 172.18.250.0 255.255.255.0 172.18.21.2priority-list 1 interface BRI0 high//Khai báo IP của taccas server và key để xác thực với tacacs servertacacs-server host 172.18.23.21tacacs-server host 172.18.23.14tacacs-server key test1tftp-server rom alias all!

dialer-list 1 protocol ip permit!line con 0password ciscoline aux 0//Thời gian idle timeout cho session là 5 phútline VTY 0 4autocommand access-enable timeout 5password cisco !

6. Reflexive ACLs: 

Đặc điểm: ACLs này chỉ đc tạo bởi Extend Name ACLs không đc tạo bởi Numbering hay Standard Name ACL

Ứng dụng: được sử dụng để cho phép các IP traffic từ bên ngoài của session mà khởi tạo từ bên trọng nội mạng và ngăn những IP traffic khởi tạo session từ mạng bên ngoài. ACLs này sẽ xem xét gói tin gởi ra ngoài nếu là gói khởi tạo session nó tự động thêm vào một outbound entry để cho phép traffic trả lời về. Rèflexive ACLs có thể lọc session tốt hơn thay vì chỉ ACK và RST bit như câu lệnh permit…established. Rèflexive lọc cả địa chỉ nguồn, đích, port, ACK và RST bit của gói tin. Ngoài ra, session filtering sử dụng những bộ lọc tạm thời cái mà được xóa khi một session kết thúc.

Cách tạo Reflexive ACLs:Ví dụ

+ Cấu hình ACLs cho phép ICMP và TCP traffic cả chiều inbound và outbound nhưng chỉ cho phép nếu gói tin đầu tiên của session bắt nguồn từ mạng nội bộ. Tất cả các traffic khác sẽ bị cấm. Reflexive ACLs được gán trên interface s0/1/0+ Các bước cấu hình:Step 1: Tạo một Extend name ACLs để cho phép các traffic đi ra ngoài InternetStep 2: Tạo một Extend name ACLs để chứa Reflexive ACLs tự động được tạo ra khi có gói outbound match với Name ACLs ở bước 1.Step 3: Gán các name ACLs cho interface

7. Time-based ACLs

Đặc điểm: chức năng tương tự extended ACLs, nhưng chúng cho phép điều khiển truy cập dựa vào thời gian

Ứng dụng: Dùng để lọc gói tin dựa vào nhiều thông tin như Exended ACLs và dựa vào cả thông tin về thời gian.

Cách tạo Time-based ACLs:Ví dụ: Thiết lập ACLs cho phép một kết nối Telnet được cho phép từ inside network tới the outside network vào Monday, Wednesday, and Friday trong suốt giờ hành chánh.+ Các bước cấu hình:Step 1. Định nghĩa khoảng thời gian để thi hành ACLs và đặt cho nó một cái tên.(khoảng thời gian này phụ thuộc vào giờ hệ thống trên router, chức năng này làm việc tốt với sự đồng bộ thời gian của giao thức Network Time Protocol (NTP) nhưng lúc này đồng hồ của router không được sử dụng. )Step 2. Áp dụng khoảng thời gian này cho ACLs

Step 3. ÁP dụng ACL cho interface.