Packet Tracer: 拡張 ACL の設定 : シナリオ 1 トポロジアドレステーブル R1 デバイスインターフェイス IP アドレスサブネットマスクデフォルトゲートウェイ G0/ N/A G0/

Size: px

Start display at page:

Download "Packet Tracer: 拡張 ACL の設定 : シナリオ 1 トポロジアドレステーブル R1 デバイスインターフェイス IP アドレスサブネットマスクデフォルトゲートウェイ G0/ N/A G0/"

あゆみわくや
5 years ago
Views:

トポロジアドレステーブル R1 デバイスインターフェイス IP アドレスサブネットマスクデフォルトゲートウェイ G0/0 172.22.34.65 255.255.255.224 N/A G0/1 172.22.34.97 255.255.255.240 N/A G0/2 172.22.34.1 255.255.255.192 N/A Server NIC 172.22.34.62 255.

1 トポロジアドレステーブル R1 デバイスインターフェイス IP アドレスサブネットマスクデフォルトゲートウェイ G0/ N/A G0/ N/A G0/ N/A Server NIC PC1 NIC PC2 NIC 学習目標パート 1: 番号付き拡張 ACL の設定適用および確認パート 2: 名前付き拡張 ACL の設定適用および確認背景 / シナリオ 2 人の社員がサーバによって提供されるサービスにアクセスする必要があります PC1 は FTP アクセスだけを必要とし PC2 は Web アクセスだけを必要としていますどちらのコンピュータもサーバに ping できますが互いにはできません 2014 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public. 1 / 5 ページ

2 パート 1: 番号付き拡張 ACL を設定適用および確認する手順 1: FTP および ICMP を許可するように ACL を設定します a. R1 でグローバルコンフィギュレーションモードから次のコマンドを入力して拡張アクセスリストの最初の有効な番号を決定します R1(config)# access-list? <1-99> IP standard access list < > IP extended access list b. コマンドに 100 を追加しその後に疑問符を付けます R1(config)# access-list 100? deny Specify packets to reject permit Specify packets to forward remark Access list entry comment c. FTP トラフィックを許可するには permit を入力して疑問符を付けます R1(config)# access-list 100 permit? ahp Authentication Header Protocol eigrp Cisco's EIGRP routing protocol esp Encapsulation Security Payload gre Cisco's GRE tunneling icmp Internet Control Message Protocol ip Any Internet Protocol ospf OSPF routing protocol tcp Transmission Control Protocol udp User Datagram Protocol d. この ACL では FTP と ICMP が許可されます ICMP は上記のとおりですが FTP は TCP を使用するのでリストされていませんしたがって TCP を入力します ACL のヘルプを絞り込むには tcp を入力します R1(config)# access-list 100 permit tcp? A.B.C.D Source address any Any source host host A single source host e. host キーワードを使用して PC1 だけをフィルタリングすることも任意の (any) ホストを許可することもできますこの場合 /27 ネットワークに属するアドレスを持つデバイスが許可されますネットワークアドレスを入力してその後に疑問符を入力します R1(config)# access-list 100 permit tcp ? A.B.C.D Source wildcard bits f. サブネットマスクのバイナリの逆を求めるワイルドカードマスクを計算します = = Cisco and/or its affiliates. All rights reserved. This document is Cisco Public. 2 / 5 ページ

3 g. ワイルドカードマスクを入力してその後に疑問符を入力します R1(config)# access-list 100 permit tcp ? A.B.C.D Destination address any Any destination host eq Match only packets on a given port number gt Match only packets with a greater port number host A single destination host lt Match only packets with a lower port number neq Match only packets not on a given port number range Match only packets in the range of port numbers h. 宛先アドレスを設定しますこのシナリオでは単一の宛先 ( サーバ ) へのトラフィックをフィルタリングします host キーワードを入力してその後にサーバの IP アドレスを入力します R1(config)# access-list 100 permit tcp host ? dscp Match packets with given dscp value eq Match only packets on a given port number established established gt Match only packets with a greater port number lt Match only packets with a lower port number neq Match only packets not on a given port number precedence Match packets with given precedence value range Match only packets in the range of port numbers <cr> i. オプションの 1 つは <cr>( キャリッジリターン ) です言い換えると Enter キーを押すと文はすべての TCP トラフィックを許可しますただしこの例では FTP トラフィックだけを許可するので eq キーワードの後に疑問符を続けて利用可能なオプションを表示します次に ftp と入力し Enter キーを押します R1(config)# access-list 100 permit tcp host eq? < > Port number ftp File Transfer Protocol (21) pop3 Post Office Protocol v3 (110) smtp Simple Mail Transport Protocol (25) telnet Telnet (23) www World Wide Web (HTTP, 80) R1(config)# access-list 100 permit tcp host eq ftp j. PC1 から Server への ICMP(ping など ) トラフィックを許可するために 2 番目のアクセスリスト文を作成しますアクセスリスト番号は同じままであり特定のタイプの ICMP トラフィックを指定する必要がないことに注意してください R1(config)# access-list 100 permit icmp host k. 他のすべてのトラフィックはデフォルトで拒否されます 2014 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public. 3 / 5 ページ

4 手順 2: ACL を正しいインターフェイスに適用してトラフィックをフィルタリングします R1 から見て ACL 100 が適用されるトラフィックはギガビットイーサネット 0/0 インターフェイスに接続されているネットワークからのインバウンドですインターフェイスコンフィギュレーションモードを開始し ACL を適用します R1(config)# interface gigabitethernet 0/0 R1(config-if)# ip access-group 100 in 手順 3: ACL の実装を確認します a. PC1 から Server に ping します ping が失敗した場合は続行する前に IP アドレスを確認します b. PC1 から Server に FTP しますユーザ名とパスワードは両方とも cisco です PC> ftp c. Server の FTP サービスを終了します ftp> quit d. PC1 から PC2 に ping しますトラフィックが明示的に許可されないので宛先ホストに到達不能ですパート 2: 拡張名前付き ACL の設定適用および確認手順 1: HTTP アクセスと ICMP を許可するように ACL を設定します a. 名前付き ACL は ip キーワードで始まります R1 のグローバルコンフィギュレーションモードから次のコマンドを入力し疑問符を続けます R1(config)# ip access-list? extended Extended Access List standard Standard Access List b. 名前付き標準 ACL および拡張 ACL を設定できますこのアクセスリストは発信元と宛先の両方の IP アドレスをフィルタリングするので拡張する必要があります名前として HTTP_ONLY と入力します (Packet Tracer 採点のために名前は大文字と小文字が区別されます ) R1(config)# ip access-list extended HTTP_ONLY c. プロンプトの表示が変わります名前付き拡張 ACL コンフィギュレーションモードになります PC2 LAN 上のすべてのデバイスは TCP アクセスを必要としますネットワークアドレスを入力してその後に疑問符を入力します R1(config-ext-nacl)# permit tcp ? A.B.C.D Source wildcard bits d. ワイルドカードを計算する別の方法としてからサブネットマスクを引きます = R1(config-ext-nacl)# permit tcp ? e. パート 1 で行ったようにサーバのアドレスを指定し www トラフィックをフィルタリングすることによって文を終了します R1(config-ext-nacl)# permit tcp host eq www 2014 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public. 4 / 5 ページ

5 f. PC2 から Server への ICMP(ping など ) トラフィックを許可するために 2 番目のアクセスリスト文を作成します注 : プロンプトは同じままであり特定のタイプの ICMP トラフィックを指定する必要はありません R1(config-ext-nacl)# permit icmp host g. 他のすべてのトラフィックはデフォルトで拒否されます名前付き拡張 ACL コンフィギュレーションモードを終了します手順 2: ACL を正しいインターフェイスに適用してトラフィックをフィルタリングします R1 から見てアクセスリスト HTTP_ONLY が適用されるトラフィックはギガビットイーサネット 0/1 インターフェイスに接続されているネットワークからのインバウンドですインターフェイスコンフィギュレーションモードを開始し ACL を適用します R1(config)# interface gigabitethernet 0/1 R1(config-if)# ip access-group HTTP_ONLY in 手順 3: ACL の実装を確認します a. PC2 から Server に ping します ping が失敗した場合は続行する前に IP アドレスを確認します b. PC2 から Server に FTP します接続は失敗するはずです c. PC2 で Web ブラウザを開き URL として Server の IP アドレスを入力します接続は成功するはずです 2014 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public. 5 / 5 ページ

実習 : 拡張 ACL の設定と確認トポロジ 2014 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public. 1 / 9 ページ

実習 : 拡張 ACL の設定と確認トポロジ 2014 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public. 1 / 9 ページトポロジ 2014 Cisco and/or its affiliates. All rights reserved. This document is Cisco Public. 1 / 9 ページアドレステーブルデバイスインターフェイス IP アドレスサブネットマスクデフォルトゲートウェイ R1 G0/1 192.168.10.1 255.255.255.0 N/A Lo0 192.168.20.1

Packet Tracer: 拡張 ACL の設定 : シナリオ 1 トポロジ アドレステーブル R1 デバイスインターフェイス IP アドレスサブネットマスクデフォルトゲートウェイ G0/ N/A G0/

Packet Tracer: 拡張 ACL の設定 : シナリオ 1 トポロジアドレステーブル R1 デバイスインターフェイス IP アドレスサブネットマスクデフォルトゲートウェイ G0/ N/A G0/