Advanced IPv4 Access List

Transcript

1 Advanced IPv4 Access List 1

2 Extended Numbered Access List Le Extended Numbered Access List sono utilizzate per permettere ad un router Cisco di poter bloccare determinati flussi dati e permetterne degli altri. Ad esempio è possibile bloccare il traffico generato da una sottorete oppure bloccare il traffico diretto verso un indirizzo IP specifico. Le Extended Numbered ACL sono identificate per mezzo di un numero compreso tra i valori 100 e 199. Una Standard ACL ti ricordo invece essere identificabile per mezzo di un valore decimale compreso tra 1 e 99. 2

3 Esistono anche altri range utilizzabili (range estesi): per le ACL di tipo standard, per le extended. La sostanziale differenza tra le due tipologie consiste nel numero di parametri utilizzabili per rilevare l appartenenza di un pacchetto IP ad un flusso autorizzato o meno. In una Standard ACL il controllo può esser fatto solo analizzando l IP sorgente. Utilizzando invece una Extended Number ACL è possibile effettuare il controllo verificando i parametri: Ip Sorgente Ip Destinazione 3

4 Porta Sorgente Porta Destinazione Protocollo di livello Trasporto (TCP/UDP/ICMP) Un Extended Numbered ACL dovrebbe essere implementata il più vicino possibile alla sorgente dell informazione. 4

5 L esempio in figura mostra un flusso dati generato da PC A e destinato a PC B. Su quale router bisogna implementare l ACL? Se l ACL è di tipo Standard, va implementata sul router più vicino alla destinazione, quindi su R3 Se l ACL è di tipo Extended, va implementata sul router più vicino alla sorgente, quindi su R2 La sintassi base del comando IOS per un extended numbered ACL è: acces-list <ID> <Action> <Protocol> <Source IP> <Destination IP> 5

6 I campi assumono il seguente significato: <ID>: è l identificativo dell ACL. Può assumere valore compreso nei range , <Action>: è l azione che il router intraprende in caso di matching. Generalmente sono previste le azioni Permit e Deny <Protocol>: identifica il protocollo da sottoporre a matching. Possibili valori sono ip,tcp,udp,icmp.. <Source IP>: identifica l indirizzo IP sorgente da sottoporre a matching. E espresso per mezzo dei valori Indirizzo e Wildcard Mask 6

7 <Destination IP>: identifica l indirizzo IP destinazione da sottoporre a matching. E espresso per mezzo dei valori Indirizzo e Wildcard Mask Torniamo all esempio precedente. Supponendo che l indirizzo IP di PC A sia /24 e quello di PC B /24, la seguente ACL è in grado di bloccare il traffico ICMP ma non quello TCP: Access-list 101 deny icmp E invece possibile negare globalmente il protocollo ICMP dando il comando: 7

8 Access-list 101 deny icmp any any In questo caso l ACL blocca il traffico ICMP generato da qualsiasi IP sorgente (Any) e diretto verso qualsiasi IP di destinazione (Any) Il livello Transport dello stack TCP/IP si occupa tra le tante cose di indirizzare i flussi informativi all interno di un elaboratore. Per far questo utilizza il concetto di Porta: a ciascun servizio è associata una porta ben definita. Ad esempio la porta associata al servizio http è la TCP 80, quella associata al servizio DNS la UDP 53 e così via. 8

9 Grazie alle ACL Extended è possibile filtrare il traffico anche in base alla porta TCP/UDP. La sintassi del comando in questo caso è la seguente: acces-list <ID> <Action> <Protocol> <Source IP> <Operator> <Source Port> <Destination IP> <Operator> <Destination Port> Rispetto al caso precedente sono presenti dei parametri aggiuntivi: <Source Port>: identifica la porta sorgente da sottoporre a matching 9

10 <Destination Port>: identifica la porta destinazione da sottoporre a maching <Operator>: è un operatore utilizzato per selezionare una, nessuna o più porte. I principali operator sono: equal, gt, lt La tabella che segue mostra le porte associate ai principali servizi di rete e come essi siano definiti all interno del comando IOS Numero Protocollo Applicazione Comando IOS Porta 22 TCP SSH 23 TCP Telnet telnet 25 TCP SMTP smtp 53 UDP DNS domain 10

11 80 TCP HTTP www 69 UDP TFTP tftp Supponiamo di dover bloccare il traffico destinato a PC-B, solo per i servizi che utilizzano un numero di porta TCP maggiore a L operatore da utilizzare in questo caso è gt (greater then) in quanto in grado di selezionare tutte le porte maggiori di un dato valore. La sintassi del comando è: Access-list 101 deny tcp eq any gt

12 Facciamo un altro esempio. Cosa avviene applicando la seguente ACL sull interfaccia di un router? Access-list 102 deny udp lt 1023 any L ACL blocca i pacchetti composti dai seguenti parametri: Source IP: tutti gli host il cui indirizzo IP è del tipo 1.x.x.x Protocol: UDP Source Port: tutte le porte inferiori alla 1023 Destination IP: qualsiasi indirizzo IP, in quanto specificato Any Destination Port: qualsiasi porta in quanto non specificato 12

13 Così come visto per le standard ACL, le rules diventano operative nel momento in cui sono applicate sulle interfacce del router. Anche in questo caso è di fondamentale importanza scegliere accuratamente la direzione e il verso. Infine considera che un ACL Extended rileva un matching se e solo se tutti i campi del pacchetto analizzato corrispondono ai parametri configurati nell ACL. 13

14 Named Access List Esistono differenti tipologie di access-list. Le principali distinzioni riguardano: I campi che possono essere esaminati; Modalità di configurazione; Rispetto al secondo punto le ACL si dividono in: Numbered Access List identificate per mezzo di un numero e utilizzano solo comandi globali 14

15 Named Access List identificate per mezzo di un nome e permettono l utilizzo di sotto comandi. Una Named Acess List funziona al pari di una qualsiasi ACL Numbered. E possibile distinguerle in: Named Standard Access List: esamina solo l IP sorgente del pacchetto Namerd Extended Access List: esamina gli stessi parametri di una Numbered Extended ACL. I vantaggi nell utilizzare una Named ACL sono: 15

16 1. Usare un nome piuttosto che un numero aiuta a ricordare cosa fa un access-list, quindi il troubleshooting è semplificato. 2. Una Numbered ACL permette la configurazione delle rules da un sotto menu di configurazione 3. La modifica di un ACL è più semplice: è possibile rimuovere una singola linea senza dover rimuovere tutta l access-list. La figura che segue illustra la configurazione di un ACL Named. Il nome dell ACL è MARCO. 16

17 Nota come una volta dato il comando ip access-list extended MARCO il router entra nel context di configurazione config-ext-nacl. All interno del context sono definite due entry utilizzate per: Permettere il traffico TCP generato dall host e destinato a qualsiasi web server (servizio web, TCP porta 80) Negare il protocollo ICMP per il traffico generato dalla rete /24 17

18 ACL Sequence Number Nel corso degli anni è stata messa a punto una tecnica efficace per modificare con facilità le regole presenti all interno di un Access List, sia essa Numbered o Named. Tale tecnica consiste nell associare un valore progressivo detto Sequence Number a ciascuna entry. Così facendo per rimuovere una singola linea è sufficiente dare il comando no <sequence-number>. IOS imposta automaticamente un sequence number per ciascuna riga di un ACL, anche nel caso in cui nulla venga configurato dall operatore. La figura che segue mostra l output fornito dal comando show ip access-lists. 18

19 Il numero riportato all inizio di ciascuna riga (10,20) è il sequence number e come detto viene aggiunto automaticamente dall IOS. Il comando no 10 rimuove la prima riga dell ACL MARCO, come illustrato nella figura che segue. Ovviamente il comando deve essere dato dal sotto menù di configurazione dell Access list 19

20 20