प्रशिक्षण सिस्को 200-125 CCNA v3.0। दिन 28. एसीएल का गहन अध्ययन

आज हम 27 वें दिन वीडियो ट्यूटोरियल के विषय को जारी रखेंगे और एसीएल का गहन अध्ययन करेंगे: हम वाइल्डकार्ड मास्क रिवर्स मास्क, विस्तारित एसीएल सूची, विस्तारित एसीएल सूची स्थापित करने और नेटवर्क डिजाइन समस्याओं का निदान करने में मदद करने वाले आदेशों के बारे में थोड़ी बात करेंगे।
पिछले पाठ में, हमने हमारे लिए एक नया उलटा मुखौटा अवधारणा पेश की, और अब मैं वाइल्डकार्ड मास्क के बारे में अधिक विस्तार से बात करूंगा। अगर आपको याद है, तो सबनेट मास्क हमें नेटवर्क को नेटवर्क के एड्रेस हिस्से और होस्ट के एड्रेस वाले हिस्से में नेत्रहीन रूप से विभाजित करने में मदद करता है।



यदि आप बिट स्तर पर जाते हैं, तो आप देख सकते हैं कि सबनेट मास्क में नेटवर्क भाग को दर्शाती इकाइयों की एक श्रृंखला होती है, और शून्य की एक श्रृंखला होती है जो मेजबान का हिस्सा दर्शाती है। रिवर्स मास्क सबनेट मास्क के समान है, केवल "उलटा" रूप में - जहां सबनेट मास्क में इकाइयाँ होती हैं, रिवर्स मास्क में शून्य होते हैं, और इसके विपरीत। यह एक अनिवार्य नियम नहीं है - कुछ मामलों में, उलटा मुखौटा एक अलग सिद्धांत के अनुसार बनता है; CCNA सीखने पर, यह नियम हमेशा लागू होता है।

उलटे मास्क की गणना करने का सबसे अच्छा तरीका है कि ग्लोबल मास्क से सबनेट मास्क ऑक्टेट को घटाया जाए, जो हमेशा 255.255.255.255 जैसा दिखता है।
इसलिए, सबनेट मास्क 255.255.255.0 के लिए व्युत्क्रम मुखौटा की गणना करने के लिए, हम इसे वैश्विक मास्क से घटाते हैं और 0.0.0.255 प्राप्त करते हैं।



इस उदाहरण में, हमने नेटवर्क 192.168.100.255/24 को देखा, और अब नेटवर्क / 26 को देखते हैं। यदि आपके पास / 26 है, तो सबनेट मास्क का अंतिम ऑक्टेट 192 होगा।



यदि आप इन आईपी पते के बिट फॉर्म को देखते हैं, तो आप देखेंगे कि सबनेट मास्क में 26 सिंगल और 6 शून्य बिट्स होते हैं।



इस मामले में, रिवर्स मास्क में 26 शून्य और 6 इकाइयां शामिल होनी चाहिए। जैसा कि हमने पहले ही कहा था कि जिन स्थानों पर 0 स्थित हैं, वे मिलान पता मापदंडों को दिखाते हैं, और वे स्थान जहाँ इकाइयाँ स्थित हैं, आप अनदेखा कर सकते हैं।



इसे स्पष्ट करने के लिए, मैं शीर्ष पर दशमलव रूप में आईपी पता लिखूंगा। उलटा मुखौटा का अंतिम ओकटेट संख्या 63 से मेल खाता है, और मैं इसे 0.0.0.63 के रूप में प्रदर्शित कर सकता हूं। सीधे शब्दों में कहें, / 26 का मतलब है कि 26 शून्य, या आईपी पते के पहले 3 ओकटेट्स समान हैं, और अंतिम 6 बिट्स कुछ भी हो सकते हैं - शून्य या वाले।



देखो - अगर हम आईपी एड्रेस के इन अंतिम 6 बिट्स को शून्य से बदलते हैं, तो हमें 192 नंबर मिलता है, और यदि हमें नंबर 255 मिलता है। इस प्रकार, रिवर्स मास्क दिखाता है कि आईपी पते के साथ सबनेट जिसका अंतिम ऑक्टेट 192 से 255 तक है। , जो कि 192.168.100.225/26 नेटवर्क का हिस्सा है, निर्दिष्ट ACL शर्त के अधीन है।

आप पूछ सकते हैं कि दो मास्क की आवश्यकता क्यों है: एक सबनेट मास्क और वाइल्डकार्ड मास्क। मैंने खुद से यह सवाल पूछा था कि जब मैं एक छात्र था, और अभी भी कई लोग, सिस्को में काम कर रहे हैं, तो यह सवाल पूछें। मैं इसका जवाब देने की कोशिश करूंगा। सामान्य तौर पर, सबनेट मास्क और रिवर्स मास्क एक ही चीज दिखाते हैं जब यह सबनेट पर आता है, यानी, नेटवर्क को सूचित करते हुए आईपी पते का हिस्सा। जब हम पूरे नेटवर्क की पहचान करते हैं, तो उलटा मास्क सीधे मास्क का "उलटा" संस्करण होता है।

हालाँकि, होस्ट की पहचान अलग है। यदि आप इसमें शामिल सभी पतों के साथ पूरे सबनेट की पहचान करना चाहते हैं, तो आप सबनेट मास्क का उपयोग कर सकते हैं। लेकिन अगर आपको केवल इस नेटवर्क से कुछ मेजबानों की पहचान करने की आवश्यकता है ताकि चुनिंदा रूप से उन पर ACL नियम लागू किए जा सकें, तो आपको एक रिवर्स मास्क की आवश्यकता है।

आपको कभी भी एक सबनेट मास्क नहीं दिखाई देगा, जिसमें बारी-बारी से वाले और शून्य हों - इसमें हमेशा सबसे पहले यूनिट और अंत में शून्य होते हैं। वाइल्डकार्ड को इसलिए "वाइल्ड" कहा जाता है क्योंकि इसमें किसी भी क्रम और शून्य शामिल हो सकते हैं। इसे स्पष्ट करने के लिए, आइए समस्या को हल करें: "किसी दिए गए नेटवर्क पर मेजबानों की पहचान करें जिनके पास चौथे ऑक्टेट में भी संख्याएं हैं।"



इस प्रकार का एसीएल नियम बनाना आवश्यक है: परमिट 192.168.100.0 <रिवर्स मास्क>, अर्थात्, इस सबनेट के आईपी पते के लिए केवल चौथे ऑक्टेट के साथ यातायात की अनुमति होगी। क्या यह सबनेट मास्क का उपयोग करके किया जा सकता है? मुझे ऐसा नहीं लगता, क्योंकि एक नियमित सबनेट मास्क के चौथे ऑक्टेट में केवल एक विशिष्ट संख्या हो सकती है। आइए 4 ऑक्टेट व्युत्क्रम मुखौटा देखें।



उलटे मास्क के अंतिम ऑक्टेट में, आप निम्न बिट्स रख सकते हैं: 11111110। मैं बताऊंगा कि यह क्या है। यदि 4 वें ऑक्टेट में सम संख्याएँ हैं, तो ऑक्टेट का अंतिम बिट आवश्यक 0 है, और यदि अंतिम बिट 1 है, तो संख्या विषम है। यदि हम / 24 सबनेट के बारे में बात कर रहे हैं, तो इसमें केवल अंतिम ऑक्टेट में सम संख्या हो सकती है।

रिवर्स मास्क के मामले में, पहले तीन ओकटेट्स 0 हैं, और चौथे ऑक्टेट के पहले सात बिट्स हमें परेशान नहीं करते हैं, मुख्य बात यह है कि ओकटेट का आठवां बिट शून्य है, क्योंकि यह नेटवर्क आईपी पते के अंतिम ऑक्टेट के साथ मेल खाना चाहिए, जो 0 है।

यदि IP पते का अंतिम बिट 1 है, तो इस पते को अस्वीकार कर दिया जाएगा, अब मैं शर्त को हमारे ACL में जोड़ दूंगा - किसी को भी अस्वीकार कर दूंगा। इस प्रकार, केवल अगर हमारे सबनेट के किसी भी आईपी पते का अंतिम ऑक्टेट 0 में समाप्त होता है, अर्थात, यह भी है, हम पिछड़े हुए मुखौटे के मिलान के लिए शर्त को पूरा करेंगे, जो कि 0 के साथ समाप्त होता है, और एसीएल स्थिति "4 वें ऑक्टेट के साथ सभी पते की अनुमति देते हैं" संतुष्ट हो जाएगा। अन्यथा, यह है कि सभी विषम आईपी पते के लिए, किसी भी शर्त को अस्वीकार कर दिया जाएगा।

इस प्रकार, हमें परवाह नहीं है कि एक भी ऑक्टेट का सही मूल्य क्या होगा - 2,4,6, 8 और इसी तरह, मुख्य बात यह है कि इसके अंत में एक शून्य बिट होगा। यदि हमने एक नियमित सबनेट मास्क का उपयोग किया है, तो हमें प्रत्येक आईपी पते के लिए एक अलग प्रविष्टि बनाने की आवश्यकता होगी जिसमें 4 जी ऑक्टेट भी हो। उलटा मास्क का उपयोग करना आपको इन सभी प्रविष्टियों को एक के साथ बदलने की अनुमति देता है।
सटीक रूप से एक ही सिद्धांत 4 डी ऑक्टेट की विषम संख्याओं पर लागू होता है, बस इस मामले में रिवर्स मास्क का अंतिम सा होना चाहिए। 1 इस मामले में, एक सामान्य नियम स्थापित किया जाएगा, परमिट या इनकार, एक विषम 4- होने वाले सबनेट के सभी आईपी पते के लिए वें अष्टक देखें कि यह दशमलव उदाहरण कैसा दिखता है।



अगर मैं रिवर्स मास्क 0.0.0.254 का उपयोग करता हूं, तो हमारी समस्या हल हो जाएगी: एक चौथाई ऑक्टेट वाले सभी होस्ट की अनुमति है, और अन्य सभी होस्ट निषिद्ध हैं। रिवर्स मास्क का लाभ यह है कि जब आप एसीएल बनाते हैं, तो आप इसे अपनी आवश्यकताओं के अनुसार कॉन्फ़िगर कर सकते हैं। आपको विशिष्ट रिवर्स मास्क के बारे में अधिक चिंता करने की ज़रूरत नहीं है, क्योंकि CCNA को इसकी आवश्यकता नहीं है। यह केवल नियम को याद रखने के लिए पर्याप्त है: रिवर्स मास्क तब प्राप्त होता है जब सबनेट मास्क को ग्लोबल मास्क 255.255.255.255 से हटा दिया जाता है। ध्यान दें कि CCNA कोर्स मेजबानों के बजाय सबनेट पर अधिक ध्यान केंद्रित करता है।

चलो पिछली स्लाइड पर वापस जाते हैं, और मैं वाइल्डकार्ड मास्क की गणना करने के दूसरे तरीके के बारे में बात करूंगा।



यदि आपको हमारी "मैजिक" टेबल से याद है, तो / 26 का मतलब बिट्स के ब्लॉक का आकार 64 के बराबर है। यदि यह ब्लॉक 64 है, तो उलटा मास्क के अंतिम ऑक्टेट का मान (64-1) = 63 होगा। यदि हमारे पास / 25 है, तो ब्लॉक का आकार 128 होगा, जिसका अर्थ है कि व्युत्क्रम मुखौटा का अंतिम ओकटेट (128-1 = = 127) होगा। यह व्युत्क्रम मुखौटा मान की गणना को सुविधाजनक बनाने के लिए एक और संकेत है। लेकिन अगर आप इसका उपयोग नहीं करना चाहते हैं, तो वैश्विक मास्क से सबनेट मास्क को घटाते हुए, सामान्य विधि का उपयोग करें।

अब चलो विस्तारित ACL कमांड के सिंटैक्स पर चलते हैं। मानक ACL के साथ, दो प्रकार की कमांड रिकॉर्डिंग हैं: क्लासिक और आधुनिक।



क्लासिक कमांड एंट्री एक्सेस-लिस्ट <ACL नंबर> <अक्षम / अनुमति> <प्रोटोकॉल> है। इस प्रकार, पहला विस्तारित एसीएल कमांड एक प्रोटोकॉल निर्दिष्ट करके मानक एसीएल कमांड से अलग होता है, न कि एक मानदंड। इसका मतलब यह है कि यहां यातायात को स्रोत या गंतव्य के आईपी पते से नहीं, बल्कि उपयोग किए गए प्रोटोकॉल द्वारा फ़िल्टर किया जाता है।
सभी मामलों में, हम आईपी प्रोटोकॉल का उपयोग करते हैं, जो तीन प्रकार के होते हैं: आईसीएमपी, या हमारे लिए जाना जाने वाला पिंग, टीसीपी, जो कि विशिष्ट पोर्ट 21,23 और इसी तरह, और यूडीपी पर निर्भर करता है। आपको याद दिला दूं कि विकिपीडिया में सभी प्रोटोकॉलों की सूची और उनके संबंधित पोर्ट नंबरों के साथ एक लेख है।
निम्नलिखित कमांड लाइन <स्रोत आईपी> <रिवर्स मास्क> [प्रोटोकॉल जानकारी] है। प्रोटोकॉल जानकारी का मतलब पोर्ट नंबर को निर्दिष्ट करना है। यही है, पिछले प्रोटोकॉल में <प्रोटोकॉल> के रूप में आप आईसीएमपी, टीसीपी या यूडीपी निर्दिष्ट करते हैं, और दूसरे कमांड में पैरामीटर [प्रोटोकॉल जानकारी] के रूप में पोर्ट नंबर 21.23, आदि निर्दिष्ट करते हैं।

कमांड की तीसरी लाइन <डेस्टिनेशन आईपी> <रिवर्स मास्क> [प्रोटोकॉल इंफॉर्मेशन] है, यानी डेस्टिनेशन के बारे में पैरामीटर।

यदि आप पिछले पाठों से याद करते हैं, तो स्रोत पोर्ट नंबर एक यादृच्छिक संख्या है, क्योंकि ट्रैफ़िक भेजने वाला उपकरण इसके लिए एक यादृच्छिक संख्या पोर्ट बनाता है। इस संबंध में, ट्रैफ़िक स्रोत के संबंध में पहली पंक्ति में, आप गंतव्य के [प्रोटोकॉल जानकारी] को इंगित करते हैं, उदाहरण के लिए, एफ़टीपी, अर्थात, उस डिवाइस का प्रोटोकॉल, जिसका ट्रैफ़िक आप ब्लॉक करना चाहते हैं।

आपको याद दिला दूं कि क्लासिक प्रकार के विस्तारित एसीएल की सूची में बदलाव करने के लिए, आपको पूरी सूची को मैन्युअल रूप से फिर से बनाना होगा, जैसा कि क्लासिक प्रकार के मानक एसीएल के मामले में है।

एक आधुनिक दिखने वाली टीम अभिव्यक्ति आईपी के साथ शुरू होती है, जिसका आईपी प्रोटोकॉल से कोई लेना-देना नहीं है, यह सिर्फ एक कीवर्ड है। तो, पहली पंक्ति में आईपी कीवर्ड, "विस्तारित एक्सेस-लिस्ट" पैरामीटर और एसीएल का नंबर या नाम शामिल है। पहले कमांड को निष्पादित करने के बाद, आप config-ext-nacl subcommand मोड पर स्विच करते हैं और <ऊपर की चर्चा के अनुसार <अक्षम / अनुमति> <प्रोटोकॉल> दर्ज करते हैं।

निम्नलिखित दो आज्ञाएं हैं <स्रोत आईपी> <रिवर्स मास्क> [प्रोटोकॉल जानकारी] और <गंतव्य आईपी> <रिवर्स मास्क> [प्रोटोकॉल जानकारी], पहला आमतौर पर [स्रोत प्रोटोकॉल जानकारी] पैरामीटर की अनदेखी कर रहा है, और इसके बजाय [प्रोटोकॉल जानकारी] पैरामीटर गंतव्य]। कभी-कभी स्रोत पोर्ट को निर्दिष्ट करना आवश्यक हो सकता है, लेकिन CCNA में, ज्यादातर मामलों में, इस पैरामीटर को अनदेखा किया जा सकता है।

विस्तारित ACL का उपयोग करना मानक ACL का उपयोग करने के समान है। यहां आपको उस डिवाइस के इंटरफ़ेस को भी निर्दिष्ट करना होगा जिसमें सूची लागू की गई है, फिर आईपी एक्सेस-ग्रुप पैरामीटर, एसीएल सूची संख्या या नाम, और ट्रैफ़िक प्रवाह दिशा - इनबाउंड या आउटबाउंड का उपयोग करें। पिछले वीडियो में, हमने पहले ही चर्चा की थी कि किसी विशिष्ट पोर्ट के लिए ट्रैफ़िक दिशा कैसे निर्धारित की जाती है।

आइए योजना पर आगे बढ़ें और पिछले पाठ से नेटवर्क टोपोलॉजी का उपयोग करके उन्नत ACL को कॉन्फ़िगर करें। समस्या संख्या 1 है: "प्रबंधन विभाग के नेटवर्क में कंप्यूटर और वित्तीय विभाग के नेटवर्क HTTP (80) और FTP (21) प्रोटोकॉल के माध्यम से केवल सर्वर नेटवर्क पर स्थित Server0 सर्वर तक पहुंच सकते हैं।"



उसी समय, सभी ट्रैफ़िक की अनुमति नहीं है, लेकिन केवल वही जो पोर्ट 80 और 21 से आता है, उदाहरण के लिए, एसएसएच प्रोटोकॉल के माध्यम से ट्रैफ़िक को अवरुद्ध किया जाना चाहिए। यदि आपको याद है, तो विस्तारित ACL को स्रोत के करीब लागू किया जाना चाहिए, इसलिए प्रबंधन विभाग के लिए इसे रूटर R1 के पोर्ट G0 / 0 और रूटर R2 के G0 / 0 को पोर्ट करने के लिए लागू किया जाना चाहिए। राउटर के संबंध में, हम आने वाले ट्रैफ़िक को रोकते हैं, इसलिए हम सूची कमांड में IN पैरामीटर का उपयोग करते हैं। एसीएल को सूची संख्या 101 में असाइन करें और उन पंक्तियों की एक सूची बनाएं, जिसमें इसे शास्त्रीय दृष्टिकोण का उपयोग करना चाहिए।



पहली पंक्ति टीसीपी की अनुमति देती है, क्योंकि एचटीटीपी पोर्ट 80 का मतलब टीसीपी है, फिर हम प्रबंधन विभाग के नेटवर्क को इंगित करते हैं, 192.168.1.224/28। इस उदाहरण में, मैं रिवर्स मास्क को छोड़ देता हूं, हम इसका उपयोग पैकेट ट्रेसर में करते हैं, अब तक सूची निर्माण का सिद्धांत हमारे लिए महत्वपूर्ण है। प्रबंधन नेटवर्क ट्रैफ़िक का स्रोत है, इसके बाद गंतव्य IP पता 192.168.1.194/32 इंगित किया जाता है, जहां 194 Server0 पते का अंतिम ऑक्टेट है, और / 32 का अर्थ है कि यह शर्त केवल 192.168.1.192/27 सबनेट पर स्थित इस विशेष डिवाइस पर लागू होती है। पंक्ति के अंत में, हम HTTP ट्रैफ़िक के लिए अनुमत गंतव्य पोर्ट 80 को इंगित करते हैं।

उसी तरह, एफ़टीपी ट्रैफ़िक को संचारित करने के लिए उपयोग किए जाने वाले पोर्ट 21 के लिए एक प्रविष्टि बनाई जाती है। मैं एक तीसरी पंक्ति नहीं लिख रहा हूं, जो डिफ़ॉल्ट रूप से किसी भी तरह से अस्वीकार करता है और इस सबनेट से संबंधित उपकरणों से किसी भी आउटगोइंग ट्रैफ़िक को प्रतिबंधित नहीं करता है। इसके बाद, आपको यह निर्दिष्ट करना होगा कि सूची IN1 दिशा में R1 के G0 / 0 पोर्ट पर लागू है, जो कि आने वाले ट्रैफ़िक के लिए है।

हम वित्त विभाग के लिए ACL Allow_Acc प्रविष्टियों को संकलित करने, पोर्ट 80 और 21 से टीसीपी ट्रैफ़िक की अनुमति देने और राउटर R2 के G0 / 0 इनपुट इंटरफ़ेस पर इस सूची को लागू करने में भी ऐसा ही करते हैं।



समस्या नंबर 2 है: "बिक्री विभाग के नेटवर्क में कंप्यूटर केवल सर्वर 1 पर पिंग (ICMP) को छोड़कर सभी प्रोटोकॉल का उपयोग कर सकते हैं, जो सर्वर नेटवर्क पर स्थित है।" इसका मतलब यह है कि सर्वर के साथ संचार के लिए, बिक्री विभाग के कंप्यूटर HTTP, SSH, FTP प्रोटोकॉल - ICMP के अलावा किसी भी प्रोटोकॉल का उपयोग कर सकते हैं। इस स्थिति में, ACL स्थिति सूची इस तरह दिखाई देगी।



पहली पंक्ति में, हम ICMP के माध्यम से सभी ट्रैफिक को प्रतिबंधित करते हैं, सूची के शीर्ष पर एक विशिष्ट स्थिति और सूची के अंत में सामान्य। यह रिकॉर्ड बिक्री विभाग सबनेट पहचानकर्ता 192.168.1.0/25 दिखाता है, एक विशिष्ट सर्वर 1 सर्वर का आईपी पता 192.168.1.195/32 है। इको पैरामीटर का मतलब पिंग के रूप में ट्रैफ़िक है, अर्थात, एक पैकेट जिसे कंप्यूटर पर वापस भेजने के लिए सर्वर को भेजा जाता है, उसे अस्वीकार कर दिया जाना चाहिए।

दूसरी पंक्ति 192.168.1.0/25 सबनेट से सर्वर एड्रेस 192.168.1.195/32 पर आने वाले सभी ट्रैफ़िक की अनुमति देती है। हमेशा की तरह, सूची के अंत में, डिफ़ॉल्ट रेखा कोई भी है, जिसका अर्थ है कि यदि बिक्री विभाग के कंप्यूटर वित्त विभाग से संपर्क करने की कोशिश करते हैं, तो ऐसे ट्रैफ़िक को छोड़ दिया जाएगा। अगला, हम इंगित करते हैं कि एसीएल को किस राउटर इंटरफ़ेस को लागू किया जाना चाहिए, और दूसरी समस्या हल हो गई है।

टास्क 3 है: "Sales2 लैपटॉप Laptop2 और वित्त विभाग PC0 प्रबंधन0 लैपटॉप Laptop0 का उपयोग कर सकता है।" मान लीजिए कि इन उपकरणों को बिक्री और लेखा विभागों के प्रमुखों द्वारा प्रबंधित किया जाता है जो प्रबंधन विभाग में स्थित सीएफओ के सीएफओ के साथ संवाद कर सकते हैं। हालांकि, इस्तेमाल किए गए प्रोटोकॉल पर कोई प्रतिबंध नहीं है, जिसमें आईसीएमपी भी शामिल है।

हमारे पास पहले से ही तीन एसीएल हैं जो उन इंटरफेस पर लागू होते हैं जिन्हें मैंने आरेख में लाल रंग में परिचालित किया था। Laptop2 फिलहाल Laptop0 से संपर्क नहीं कर सकता, क्योंकि यह समस्या 3 की स्थितियों का खंडन करता है।



इन दो उपकरणों के बीच संवाद करने के लिए, आपको Allow_Sa ACL में अतिरिक्त शर्तों को जोड़ना होगा।



इसी तरह, आपको Allow_Acc ACL में शर्तों को जोड़ना होगा ताकि PC0 स्वतंत्र रूप से Laptop0 से संपर्क कर सके।



दोनों सूचियों में, हम परमिट आईपी पैरामीटर के साथ लाइनें जोड़ते हैं, जिसका अर्थ है किसी भी आईपी प्रोटोकॉल पर यातायात की अनुमति देना।

जैसा कि आप जानते हैं, ICMP दो-तरफ़ा ट्रैफ़िक का उपयोग करता है: आप पिंग भेजते हैं, और इको रिटर्न देता है। हमारी स्थिति में, अगर Laptop2 Laptop0 के पिंग को संबोधित करता है, तो यातायात प्रबंधन विभाग के नेटवर्क में स्वतंत्र रूप से प्रवाहित होगा। हालांकि, जब पैकेज वापस बिक्री विभाग के लैपटॉप पर लौटाया जाता है, तो यह R1 राउटर के G0 / 0 इंटरफ़ेस पर जाएगा, जहां ACL 101 सक्रिय है। चूंकि वापसी ट्रैफ़िक इस सूची की किसी भी स्थिति से मेल नहीं खाता है, इसलिए इसे ब्लॉक कर दिया जाएगा। इसलिए, हमें ACL101 सूची को सेल्स डिपार्टमेंट के Sales2 laptop2 से पिंगिंग और फाइनेंस डिपार्टमेंट के PC0 कंप्यूटर से पिंग करने के लिए दोनों स्थितियों को हल करने की आवश्यकता है।



हमने टास्क नंबर 3 को हल कर लिया है और अब समस्या नंबर 4 को हल करने के लिए आगे बढ़ें: "Sales3 लैपटॉप Laptop3 सर्वर 1 पर पोर्ट 80 के माध्यम से केवल अपने स्वयं के नेटवर्क और केवल वेब सेवा तक पहुंच सकता है"।

कार्य के पहले भाग का मतलब है कि जैसे ही Laptop3 SALES नेटवर्क को छोड़ने का प्रयास करता है, इसके ट्रैफ़िक को R2 राउटर द्वारा अवरुद्ध कर दिया जाएगा। हालाँकि, कार्य के दूसरे भाग के अनुसार, इस कंप्यूटर का उपयोग SALES नेटवर्क के बाहर स्थित वेब सेवा तक होना चाहिए। इसका अर्थ है कि सर्वर को निर्देशित यातायात को छोड़कर सभी ट्रैफ़िक अवरुद्ध हैं।

पिछले कार्यों से, हम जानते हैं कि बिक्री विभाग से आने वाले ट्रैफ़िक को Allow_Sa ACL द्वारा नियंत्रित किया जाता है, जिसे हमने R2 रूटर के G0 / 1 इनपुट इंटरफ़ेस पर लागू किया था। इसलिए, हमें इस सूची को बदलने की आवश्यकता है, सबसे पहले इसे निम्न प्रकार से लाइन "टीसीपी को सर्वर 80 के माध्यम से पोर्ट 1 में अनुमति दें": परमिट टीसीपी 192.168.1.3/32 192.168.1.195/32 80



पहली पंक्ति का अर्थ है कि कोई भी HTTP ट्रैफ़िक सर्वर तक पहुँचता है, और दूसरा Deny IP 192.168.1.3/32 किसी भी साधन का अर्थ है कि बाकी ट्रैफ़िक, उदाहरण के लिए, Laptop3 से आने वाला FTP, गिरा दिया जाएगा। इसके अलावा, हम पिछले ACL की तीन निम्न पंक्तियों को अपरिवर्तित छोड़ देते हैं, इस प्रकार समस्या 4 को हल करते हैं।

मैंने पहले ही कहा था कि मैं आपको सलाह देता हूं कि आप इन समस्याओं के समाधान को कागज पर लिखें या उन्हें कंप्यूटर पर मैन्युअल रूप से लिखें, क्योंकि वे बदल जाते हैं, और कागज पर या कंप्यूटर पर आप हमेशा जोड़ सकते हैं, पार कर सकते हैं या लाइनों को हटा सकते हैं। मैं इस तथ्य पर आपका ध्यान आकर्षित करता हूं कि यदि आप एसीएल के अंत में चौथी समस्या के समाधान को दो लाइनों को जोड़ते हैं, तो सिस्टम उन्हें अनदेखा कर देगा, क्योंकि ऊपर स्थित स्थितियां इन नियमों को अवशोषित करती हैं। चूंकि पुरानी सूची की दूसरी पंक्ति सभी ट्रैफ़िक की अनुमति देती है, सूची के अंत में स्थित Deny IP कंडीशन 192.168.1.3/32, बस संतुष्ट नहीं होगी।

इस प्रकार, ACL प्रविष्टियों का सही क्रम अत्यंत महत्व का है। पहले आपको संचालन की एक तार्किक श्रृंखला विकसित करनी चाहिए और लाइनों को व्यवस्थित करना चाहिए ताकि वे एक दूसरे के विपरीत न हों। अब पैकेट ट्रेसर पर चलते हैं और समाधान के अनुसार सभी सेटिंग्स को पूरा करते हैं।



पहले राउटर, राउटर 1 से कॉन्फ़िगरेशन शुरू करते हैं। मैं शो एक्सेस-लिस्ट कमांड का उपयोग यह दिखाने के लिए करता हूं कि एसीएल वर्तमान में गायब है। अगला, शो आईपी रूट कमांड का उपयोग करके, मैं दिखाता हूं कि दो राउटर के बीच आरआईपी पहले से ही कॉन्फ़िगर और काम कर रहा है।

चलिए Laptop0 और ping Server1 पर 192.168.1.195 पर जाएँ। जैसा कि आप देख सकते हैं, पिंगिंग सफल है, क्योंकि हमारे पास कोई एसीएल नहीं है जो यातायात को प्रतिबंधित या फ़िल्टर करता है। मैं भी ping Server0 के लिए स्वतंत्र हूं।

अब हम राउटर R1 के पास जाएंगे, वैश्विक सेटिंग मोड में प्रवेश करेंगे और ACL 101 सूची बनाएंगे। ऐसा करने के लिए, मैं कमांड एक्सेस-लिस्ट 101 परमिट tcp टाइप करता हूं। कृपया ध्यान दें कि सिस्टम संकेत देता है कि tcp के अलावा कौन सा पैरामीटर मान इस कमांड में इस्तेमाल किया जा सकता है।



esp, icmp, osfp . CCNA ip, ismp, tcp udp.

, access-list 101 permit tcp 192.168.1.224. /28 16 , 0.0.0.15.

28 4 , 1 , 128, 2 – 64, – 32, 4 16, , (16-1) =15. , . , host IP-, : access-list 101 permit tcp 192.168.1.224 0.0.0.15 host 192.168.1.194.

, , , .



dscp, , eq, , gt – , , lt – .. , eq. .



0 65535, , . FTP 21, SMTP – 25, www – HTTP- 80. 80.
do show run , , 80 www. , , 80 21: access-list 101 permit tcp 192.168.1.224 0.0.0.15 host 192.168.1.194 eq 21.

ICMP-, . access-list 101 permit icmp. host, , IP- 192.168.1.226 0.0.0.0, , . host IP- Laptop2 – 192.168.1.2. – , .



, echo-replay. , . : access-list 101 permit icmp192.168.1.226 0.0.0.0 host 192.168.1.2 echo-replay. : access-list 101 permit icmp 192.168.1.226 0.0.0.0 host 192.168.1.130 echo-replay.

, int g0/0 ip access-group, 101 , IN. Laptop0 192.168.1.194, ACL . , , . IP- 192.168.1.195, .

, Server0 Laptop0 . HTTP FTP- 80 21, ICMP-, . .
-, 192.168.1.194, - Server0.



192.168.1.195, , ACL .

№1 R2 ACL – Allow_Ac. , ACL , . ip access-list extended Allow_Ac .

permit tcp 192.168.1.128. /26, , , – 128, – 64, , 0.0.0.63. , 255.255.255.192 255.255.255.255. permit tcp 192.168.1.128 0.0.0.63 host 192.168.1.194 eq 80. : permit tcp 192.168.1.128 0.0.0.63 host 192.168.1.194 eq 21.

№1 – PC0 Laptop0 . permit ip host 192.168.1.130 host 192.168.1.226 , .

ACL g0/0, ip access-group Allow_Ac IN. , PC0 Server 0, - . PC0 192.168.1.194, Packet Tracer, , R2 .

ACL , ip access-list extended Allow_Sa permit tcp host 192.168.1.3 host 192.168.1.195 eq 80. , HTTP- , , deny ip host 192.168.1.3 any.



, , . deny icmp 192.168.1.0. /25, 1 , 128 , , 0.0.0.127. 192.168.1.195, Server2. ACL : deny icmp 192.168.1.0 0.0.0.127 host 192.168.1.195 echo.

4- , , : permit ip 192.168.1.0 0.0.0.127 host 192.168.1.195.

, Laptop2 Laptop0. permit host 192.168.1.2 host 192.168.1.226, g0/1 ip access-group Allow_Sa IN.



, ACL Laptop3, , - . 192.168.1.195 , PC 192.168.1.130 192.168.1.226. , – - Server1.



Laptop2 Laptop0, . , , 192.168.1.226. Laptop1 , ACL , Laptop0. Laptop2 Server1 192.168.1.195, - . , 4- , ACL.

, , . ACL – , . , , , .

CCNA का लाभ नेटवर्क विकास की सभी अवधारणाओं को सीखना है, और सामग्री को सीखने का सबसे अच्छा तरीका है कि आप अपने नेटवर्क को डिज़ाइन करें। मुझे खुशी होगी अगर आप इन समस्याओं को अपने तरीके से हल करेंगे और इस वीडियो में टिप्पणियों में इसका वर्णन करेंगे। इसके अलावा, माना नेटवर्क टोपोलॉजी के आधार पर, आप अन्य कार्यों के साथ आ सकते हैं और उन्हें स्वयं हल करने का प्रयास कर सकते हैं।


हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV नीदरलैंड के 199 डॉलर में से है! डेल R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $ 99 से! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?