ACL - Standard Access list

תמלול ההרצאה: ACL - Standard Access list

הטקסט המלא של הדקות הראשונות בהרצאה «ACL - Standard Access list» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:00

   שלום וברוכים הבאים להרצאה על ACL Access List ואנחנו נתחיל את ההרצאה הזאתי בסטנדרט ליסט תהיה הרצאה נפרדת על Extended ועל Not אנחנו הולכים בעצם להבין מה זה ACL, איך להגדיר אותו, מה החוקים שלו אני יונתן רבזין ואתם בהרצאות בווידאו של מכללת פרקטיקיו כמו שאתם יודעים יש לנו

2. 00:20

   הרצאות מלאות בסרטונים על כל מה שאתם רוצים לדעת ותמורת סכום סמלי של 350 שקל לחודש זה יכול להיות אצלכם בבית ללא כל התחייבות מי שלא רוצה שיחזיר ולא מחויב לשום דבר לפני שאני מתחיל ב-ACL ולהראות לכם את כל המצגת היפה שעשיתי אני רוצה להראות לכם סתם דוגמא נניח אני נכנס ל-My Pictures וב-My Pictures יש לי איזושהי תמונה הנה יש

3. 00:48

   לנו פה איזו תמונה של רד 10 במקרה ואני נכנס פרופרטיז סקיוריטי הסקיוריטי הזה בווינדוס זה ACL Access List למי מותר לגשת שליוני יש פול קונטרול ולאדמיניסטרטור יש full control ולכל האחרים נניח בואו נוסיף עוד מישהו לכל האחרים לאברי וואן לכולם יש נניח רק read אסור להם לכתוב אסור להם לעשות modify וwrite אז הרשימה הזאת זה נקרא access list גם בווינדוס

4. 01:23

   באופן כללי מה שאנחנו נראה בסיסקו עכשיו זה והחוקים שאנחנו נראה של access list שאני בכוונה לא נכנס עכשיו לחוקים אני רוצה להראות לכם איך זה עובד ואחרי זה להתחיל עם כל החוקים ועם כל הסיפור ועם כל התיאוריה כי יש הרבה תיאוריה ב-ACLים אז הרעיון זה לעשות בקרת גישה שמשתמש מסוים יוכל לגשת ומשתמש אחר לא יוכל

5. 01:53

   לגשת לאיזשהו יעד אנחנו נעשה פה שני רשתות, נעשה פה שתי רשתות, יפה, ונשים ביניהם ראוטר אחד, פשוט, יפה, שתי רשתות שמחוברות ביניהם בראוטר אני בכוונה לא עושה טופולוגיות מורכבות כדי שלא נפספס את העניין של ה-ACL נחבר אותם בכבל ישיר ונחלק להם צ'יק צ'אק כתובות

6. 02:24

   IP. בואו נחליט איזה כתובות IP יהיה לנו, לדוגמה זה יהיה 1021/24 זה אומר שלוש פעמים 255 זה 1011/24 זאת אומרת זאת רשת 1011 וזאת רשת 1022/24 אומר 24 ביטים לטובת הרשת. המחשב הזה הולך להיות, תן לו כתוב את ה-IP 1022, הוא חייב להיות באותה רשת, קלאסי, שלוש פעמים 255, 1021, יופי.

7. 03:10

   דיפולט גטווי זה הראוטר. ופה הולכים להיות שני מחשבים, כאשר למה שניים? כי אני רוצה לחסום אחד ואת השני לא לחסום. אז את זה נעשה שלוש ואת ההוא שתיים.

8. 03:28

   אנחנו נחסום רק מחשב אחד, וכדי שנוכל לבדוק שבאמת רק אחד חסום, אז עשיתי פה שני מחשבים וזהו סיימנו להגדיר את הרשת. בואו ניתן לו רק טוב את ה-IP.

9. 03:43

   אנחנו צריכים לא לשכוח גם ב-Router להגדיר, כן? ב-Router להגדיר שהוא את כל הרגליים שלו, בואו נעשה את זה זריז גם.

10. 03:51

    ניכנס ל-Router, Enable, ConfT, ניכנס ל-Interface, FastEthernet 0.0 ונגיד לו שה-IP אדרס שלו זה 10.11, פאבנט מאסק 255 255 255 0 no shutdown יופי ועכשיו אנחנו צריכים לעשות do ping זה כדי לא לצאת ממצב ההגדרות do מבצע את הפקודות של enable למרות שאני נמצא בconfig mode do ping 10101012 בוא נראה

11. 04:36

    אם יש לי ping 101012 הוא עוד לא התעורר טוב הוא עוד לא התעורר הנה עכשיו הוא התעורר אתם ראיתם פה מי ששם לב הייתה פה מנורה צהובה ו-10.0.1.3 יש לנו פינג יפה יופי אתם רואים פה הנה הוא מצליח מצוין יש לי פינג מראוטר לשני המחשבים וכמובן לשני המחשבים יהיה פינג לשני הראוטרים הכל בסדר יאללה אינטרפייס אינטרפייס פסט אינטרנט 01 IP אדרס

12. 05:18

    שמתם לב אפשר לעבור מאינטרפייס לאינטרפייס בלי לצאת החוצה זאת אומרת אני הייתי בתוך אינטרפייס 1 ורשמתי כתובת ישר של האינטרפייס השני ועברתי מאינטרפייס לאינטרפייס יופי וזהו בואו נעשה פינג ל-10.02.2 נכון זה מה שעשינו ופה נכתוב להם ישר לייבלים שיהיה לנו יפה 10.1.2 זה 10.1.3 וזה 10.2.2 יופי זהו סיימנו להגדיר יש לנו פינג ל-10.0.2.2 כן הנה אתם רואים

13. 06:10

    הנה דרך אגב, מי שרוצה לדעת למה פינג אחד לא מצליח זה בגלל הארפ, בגלל פרוטוקול ארפ שהוא מנסה להשיג כתובת מאק של המחשב.

14. 06:22

    יופי, בואו נבדוק שיש לנו גם פינג בין המחשבים, כן? אנחנו נצמצם את זה שיהיה לנו יותר קל לראות. בואו נבדוק שיש לנו פינג מהמחשבים, זאת אומרת ניכנס למחשב ונעשה פינג לצד השני.

15. 06:35

    פינג, בואו תראו, IP-Config זה 10.01 והוא עושה פינג ל-10.02. פינג 1022 באיזה פרוטוקול משתמש פינג אתם יודעים פרוטוקול שנקרא ICMP אתם חייבים להכיר את זה לבחינה שפקודת פינג משתמשת בפרוטוקול ICMP אנחנו רואים פה שהנה יש לו ריפליי שהכל בסדר שהוא מצליח להגיע עד היעד שלו והכל בסדר יופי הבעיה היא כזאת

16. 07:05

    שהמחשב הזה התחיל להשתולל זה זה הילד רע והתחיל לא יודע מה לשלוח כל מיני דברים למחשב ההוא כמו מיני נטסנד להקפיץ לו הודעות לא יודע מה הוא התחיל להציק למשתמש הזה וקיבלנו הוראה לחסום אותו שלא יגיע בכלל לרשת השנייה זאת אומרת יוזר 10.1.2 שלא יעבור לרשת השנייה אנחנו רוצים לחסום אותו אם זה מסיבות של אבטחה אם זה מסיבות של

17. 07:33

    ניהוליות בקיצור אנחנו רוצים לחסום אבל רק אותו איך חוסמים יוזר לעבור דרך ראוטר כן משהו שדומה מסוג של פיירוול כן בצורה מאוד גסה זה נקרא ACL אוקיי אז אנחנו צריכים לעשות ACL. איך אנחנו נעשה ACL?

18. 07:54

    אז ניכנס קודם ל-confty וב-confty יש לנו פה פקודה שנקראת access list. פקודת access list עושה לנו בעצם רשימת גישה, למי מותר לגשת ולמי אסור לגשת.

19. 08:08

    ואחרי שאנחנו נעשה את הרשימה הזאת אנחנו נחליט מה לעשות איתה. טוב, תכף תראו. access list, מספר, מספר רשימה.

20. 08:18

    אוקיי, רשימה מספר 1, רשימה מספר 2, יש רשימה למי מותר לאן להיכנס. אז תראו רשימה מ-1 עד 99 זה סטנדרט ורשימה מ-100 עד 200 זה אקסטנדד. אקסטנדד אנחנו נעשה בסרט הבא כי זה גם ככה יצא ארוך.

21. 08:36

    אנחנו נתחיל בסטנדרט אז אני אומר רשימה מספר 1 יופי רשימה מספר 1 עכשיו הוא שואל אותי מה אתה רוצה לעשות האם אתה רוצה לחסום מישהו או לאפשר למישהו לעבור או רימארק לתת הערות. אני אומר אני רוצה לחסום עכשיו הוא שואל אותי מחשב או איזושהי כתובת IP אני אומר הוסט מחשב.

22. 08:59

    סינגל הוסט אני יודע שזה נראה שאני רץ אבל אני רוצה לתת לכם אינטואיציה לפני שאני מספר לכם את כל החלק הרשמי אז אני מראה לכם access list 1 רשימה מספר 1 בתוך הרשימה הזאת היא תכניס deny אסור למחשב מספר 10.0.1.2 לעבור אסור לעבור למחשב הזה אוקיי עכשיו מה שקורה זה שיש לנו פה show access list do show access list יש לנו do show access list יש לנו רשימה מספר 1

23. 09:37

    ובתוכה כתוב ש-10.1.2 אסור לו לעבור. בואו נראה שזה עובד. יפה, בואו נראה שזה עובד. נעשה פינג עוד פעם ל-10.1.2, ותראו, יש לו עדיין פינג, אבל אמרנו שאסור לעבור.

24. 09:56

    למה עדיין יש לו פינג? כי לא אמרנו מה לעשות עם הרשימה הזאת. עשינו רשימה ולא הצמדנו אותה לשום מקום. אז בואו נצמיד אותה. נצמיד אותה לכרטיס רשת fastethernet 0.0. זאת אומרת, אנחנו באים לאינטרפייס fastethernet 0.0 ואומרים לו דבר כזה ש-IP,

25. 10:22

    אתם רואים? ב-IP יש לכם access group, אוקיי? IP access group ונותנים רשימה של ACL 1. זאת אומרת, אמרנו שאינטרפייס מסוים ישתמש ברשימה שבנינו ועכשיו נשאר לנו לציין האם זה בכניסה אליו או ביציאה ממנו.

26. 10:45

    אני אומר בכניסה, בכניסה זה אומר איך שבאים להיכנס אליך צום אותו, הבנתם? עשיתי בעצם שני דברים, עשיתי שני דברים ואני מראה לכם show running config.

27. 10:59

    ב-show running config אתם יכולים לראות בדיוק מה עשיתי. ב-show running config אמרתי שבאינטרפס fast ethernet 00 תשתמש ברשימה מספר 1 ב-acl מספר 1. מה זה acl מספר 1? access list 1 אומר לחסום את ה-1012.

28. 11:16

    בואו נראה שזה באמת עובד ותראו איזה יופי. זה באמת עובד, הוא באמת חסם אותו. בואו נראה אפילו, תכף תראו, אתם רואים ריקוייס טיים אאוט, הוא חסם אותו.

29. 11:29

    אם ניכנס לראוטר, אם ניכנס לראוטר בשואו אקסס ליסט אנחנו יכולים לראות בדיוק שהוא חסם אותו, את המחשב הזה שלוש פעמים, שלוש פעמים הוא חסם אותו.

30. 11:44

    בואו נראה מה קורה, נעשה עוד פעם ואתם יכולים לראות שבראוטר כל פעם שהוא חוסם אותו הנה שש פעמים הוא חסם אותו. זאת אומרת על כל חוק, ויש פה רשימת חוקים, אנחנו רואים כמה פעמים החוק הופעל.

31. 12:04

    בואו נוסיף לחוק הזה עוד איזושהי שורה, שנרגיש איך זה עובד, קונפתי. ל access list ראשון נוסיף עוד שורה, שאומרת deny שחוסמת host מחשב 10.1.10. נניח יש לנו מחשב 10.1.10, שגם הוא ילד רע, גם אותו חוסמים.

32. 12:29

    יופי. ואז עכשיו אתם רואים show access list שיש לנו שתי שורות, שני חוקים, אחד אומר לחסום את ה-IP הזה, איך את אומרת לחסום את ה-IP ההוא?

33. 12:39

    אני יכול גם לחסום רשת שלמה, אבל זה תמיד כתובת של השולח. שימו לב, אני לא יכול לחסום את היעד, כי access list מסוג סטנדרט יודע לחסום רק לפי השולח, וזאת נקודה מאוד מאוד חשובה.

34. 12:55

    access list מסוג סטנדרט לא יודע לראות את היעד, לא יודע לראות פרוטוקולים, לא יודע שום דבר חוץ מ-IP של השולח, וזה access list הכי פשוט שלא צורך מעבד והוא מאוד מוגבל אבל הוא פשוט.

35. 13:15

    יופי, עכשיו אנחנו רוצים לעשות דבר כזה, אנחנו רוצים לבדוק האם המחשב השני יכול לעבור. תראו, עד עכשיו עשינו דבר כזה שאל תלכו לעיבוד כי access list זה אחד הנושאים הכי קשים לתלמידים ב-CCNA ולכן אני נותן דווקא מדוגמאות ואחרי זה את כל התיאוריה הכבדה.

36. 13:35

    אז עשיתי access list ראשון וחסמתי שני כתובות IP, 10.0.1.3 צריך לעבור, נכון? הפינג שלו צריך לעבור כי הוא לא צריך להיות חסום, אוקיי?

37. 13:47

    אז בואו נלך ל-10.0.1.3 ונעשה פה IP קונפיג, נראה שהכל בסדר, IP קונפיג, יופי, פינג 10.0.2.2 הוא צריך לעבור כי לא חסמנו אותו, ותראו, הוא לא מצליח לעבור, למה הוא לא מצליח לעבור?

38. 14:10

    לא חסמנו אותו, או, טוב, אתם תראו פה ריקווייסט המהות עוד כמה פעמים, למה הוא נחסם? בגלל, אתם רואים? למה הוא נחסם?

39. 14:27

    בגלל שיש פה חוק שלא רואים אותו, כי הוא לא מתאים לחוק הזה. בואו נעשה ככה. טוב, בואו ננסה להבין למה 1013 לא הצליח להגיע בפינג.

40. 14:47

    אז תראו, יש לנו רשימה, סטנדרט access list 1, כתוב פה חוק מספר 1 שלחסום 1012. האם החוק הזה מתאים למקרה שלנו? לא.