Switch- och WAN- teknik. F7: ACL och Teleworker Services

Transkript

1 Switch- och WAN- teknik F7: ACL och Teleworker Services

2 Vad är en ACL? ACL = Access List En ACL Allåter eller kastar paket som matchar en regel. L3 (och i viss mån L4) Ex: Webbserver behöver endast få trafik som skall All port 80.

3 Vad kan man filtrera på? Vanlig ACL Source- IP DesAnaAons- IP Portnummer (både source och dest) Protokoll (IP, ICMP osv) TCP state Mer avancerade ACLer Allåter mer filtrering

4 ACL Om e\ paket kommer från nät A och ska All IP- adress B, och har desanaaonsport 80, kan det passera Om e\ paket kommer från IP- adress C och ska All IP- adress B kan det passera oavse\ portnummer All annan trafik All B skall kastas

5 The three Ps Hur många ACLer behöver man / kan man ha? En per protokoll (IP, IPX, osv) En per riktning (in/out) En per interface

6 Hur fungerar en ACL?

7 Hur fungerar en ACL? AcAon Protocol Source Target Port permit tcp host eq 80 permit tcp host host eq 21 permit tcp host host deny ip any host

8 Standard ACL vs Extended ACL Standard ACL Nr 1-99 (och ) Filtrerar på sourceadress endast Access- list 10 permit Extended ACL Nr (och ) Filtrerar på Source och DesAnaAon IP address Source och DesAnaAon port numbers Protokolltyp

9 Var placerar man en (std) ACL?

10 Var placerar man en (ext) ACL?

11 RekommendaAoner

12 Minns ni Wildcards? WC anger vilka bitar som skall matcha en IP- adress. 0 = Måste matcha IP 1 = Ignorera access-list 10 permit IP: WC:

13 Förslag på ACL? Trafik från /24 skall Allåtas in All /24, resterande skall kastas access-list access-list-number deny permit remark source [source-wildcard] [log] Ex 1: Ex 2: access-list 10 permit access-list 20 permit access-list 20 deny any

14 Keywords Keyword Any Host Funk-on Matchar vilken IP som helst Ejerföljande IP används med /32- mask

15 Tillämpa en ACL Skapa en ACL Välj e\ interface Applicera ACLen Allsammans med en riktning R1(config)# access-list 10 permit R1(config)# int fa0/0 R1(config-if)# ip access-group 1 out

16 ACL på VTY

17 Redigera en ACL Det går inte Lösning: Ta bort ACLen och lägg dit hela ACLen igen Bra a\ skriva sin ACL i notepad av den anledningen R1(config)# no access-list 10 R1(config)# access-list 10 permit R1(config)# access-list 10 permit R1(config)# access-list 10 permit

18 Named ACLs OBS! R1(config)# ip access-list standard WEBBSERVER_BENGT R1(config-std-nacl)# permit R1(config-std-nacl)# permit R1(config-std-nacl)# deny host R1(config-std-nacl)# exit R1(config)# interface fa0/0 R1(config-if)# ip access-group WEBBSERVER_BENGT out

19 Extended ACLs Gör allt som en standard- ACL gör, samt: Filtrerar på desanaaon Filtrerar på L3- protokoll Filtrerar på lager 4, dvs TCP/UDP, portnummer Stödjer TCP states ( SPI på leksvenska)

20 Extended ACLs Keyword Any Host Eq Range Lt Gt Neq Established Funk-on Matchar vilken IP som helst Ejerföljande IP används med /32- mask Equal to, matchar e\ portnummer Portnummer från X All Y Less than, matchar portnummer lägre än X Greater than, matchar portnummer högre än X Not equal to Matchar etablerade sessioner (TCP handshake klar)

21 Extended ACLs R1(config)# access-list 101 permit tcp host any established R1(config)# access-list 101 permit tcp any host eq 443 R1(config)# access-list 101 permit tcp any host eq 80 R1(config)# access-list 101 deny ip any any R1(config)# interface fa0/0 R1(config-if)# ip access-group 101 out Named Extended ACL R1(config)# ip access-list extended WEBBSERVER_BENGT R1(config-ext-nacl)# permit tcp host any established R1(config-ext-nacl)#

22 Complex ACL Dynamic ACLs (lock- and- key) Reflexive ACLs Time- based ACLs

23 Dynamic ACLs Trafik genom en router blockeras av en ACL Användare autenasierar sig mot routern via telnet ACLen modifieras så trafik Allåts från användarens IP Ejer en viss Ad tas den Allåtande raden bort ur ACLen och därmed stryps trafiken igen

24 Reflexiv ACL

25 Reflexiv ACL

26 Time- based ACL

27 Switch- och WAN- teknik Kapitel 6: Teleworker services

28 Teleworker? Benämning för någon som uqör e\ jobb på distans Generellt problem: Hur kopplar man upp sig All nätverket på företaget?

29 ET phone home

30 VPN

31 VPN Fördelar Kostnadsbesparande Använder en befintlig infrastruktur Anses säkrat för avlyssning/förändring Smidig mobil lösning Två typer Site- to- site Mobile VPN / Remote Access VPN

32 VPN Site- to- site

33 VPN Remote Access

34 VPN - egenskaper Egenskap ConfidenAality Integrity AuthenAcaAon Funk-on Data kan inte läsas av utomstående (kryptering) Data kan inte ändras av utomstående (signering) Säkerställer a\ motparten är rä\ motpart CIA

35 Carrier protocol IP Frame Relay ATM EncapsulaAng Protocol GRE IPSec PPTP L2TP Passanger Protocol IP IPX VPN protokoll

36 Inkapsling E- MAIL (SMTP) L5 L7 TCP E- MAIL (SMTP) L4 IP TCP E- MAIL (SMTP) L3 L2 IP TCP E- MAIL (SMTP) L2 L L1

37 Inkapsling VPN E- MAIL (SMTP) TCP E- MAIL (SMTP) L2? IP TCP E- MAIL (SMTP) L2? IPSec DATA (KRYPTERAD) IP IPSec DATA (KRYPTERAD) L2 IP IPSec DATA (KRYPTERAD) IPSec

38 Inkapsling - VPN

39 VPN EncrypAon

40 VPN EncrypAon Symmetrisk kryptering Samma nyckel används för kryptering och dekryptering Används vanligen för a\ kryptera e\ meddelande ( payload ) Algoritmer: DES, 3DES, AES Asymmetrisk kryptering Publik nyckel används för kryptering Privat nyckel används för dekryptering Används av digitala cerafikat Algoritm: RSA

41 Hash Syje: Säkerställer a\ informaaonen är korrekt MD5 SHA DATA MD5 8d777f385d3dfec8815d20f dc