Switch- och WAN- teknik F7: ACL och Teleworker Services
Vad är en ACL? ACL = Access List En ACL Allåter eller kastar paket som matchar en regel. L3 (och i viss mån L4) Ex: Webbserver behöver endast få trafik som skall All port 80.
Vad kan man filtrera på? Vanlig ACL Source- IP DesAnaAons- IP Portnummer (både source och dest) Protokoll (IP, ICMP osv) TCP state Mer avancerade ACLer Allåter mer filtrering
ACL Om e\ paket kommer från nät A och ska All IP- adress B, och har desanaaonsport 80, kan det passera Om e\ paket kommer från IP- adress C och ska All IP- adress B kan det passera oavse\ portnummer All annan trafik All B skall kastas
The three Ps Hur många ACLer behöver man / kan man ha? En per protokoll (IP, IPX, osv) En per riktning (in/out) En per interface
Hur fungerar en ACL?
Hur fungerar en ACL? AcAon Protocol Source Target Port permit tcp 193.10.160.0 0.0.1.255 host 193.10.31.167 eq 80 permit tcp host 193.10.31.166 host 193.10.31.167 eq 21 permit tcp host 193.10.31.174 host 193.10.31.167 deny ip any host 193.10.31.167
Standard ACL vs Extended ACL Standard ACL Nr 1-99 (och 1300-1999) Filtrerar på sourceadress endast Access- list 10 permit 192.168.10.0 0.0.0.255 Extended ACL Nr 100 199 (och 2000-2699) Filtrerar på Source och DesAnaAon IP address Source och DesAnaAon port numbers Protokolltyp
Var placerar man en (std) ACL?
Var placerar man en (ext) ACL?
RekommendaAoner
Minns ni Wildcards? WC anger vilka bitar som skall matcha en IP- adress. 0 = Måste matcha IP 1 = Ignorera access-list 10 permit 192.168.10.0 0.0.0.255 IP: 192.168.10.0 11000000.10101000.00001010.00000000 WC: 0.0.0.255 00000000.00000000.00000000.11111111
Förslag på ACL? Trafik från 192.168.10.0/24 skall Allåtas in All 192.168.11.0/24, resterande skall kastas access-list access-list-number deny permit remark source [source-wildcard] [log] Ex 1: Ex 2: access-list 10 permit 192.168.10.0 access-list 20 permit 192.168.10.0 0.0.0.255 access-list 20 deny any
Keywords Keyword Any Host Funk-on Matchar vilken IP som helst Ejerföljande IP används med /32- mask
Tillämpa en ACL Skapa en ACL Välj e\ interface Applicera ACLen Allsammans med en riktning R1(config)# access-list 10 permit 192.168.10.0 0.0.0.255 R1(config)# int fa0/0 R1(config-if)# ip access-group 1 out
ACL på VTY
Redigera en ACL Det går inte Lösning: Ta bort ACLen och lägg dit hela ACLen igen Bra a\ skriva sin ACL i notepad av den anledningen R1(config)# no access-list 10 R1(config)# access-list 10 permit R1(config)# access-list 10 permit R1(config)# access-list 10 permit
Named ACLs OBS! R1(config)# ip access-list standard WEBBSERVER_BENGT R1(config-std-nacl)# permit 193.10.31.160 0.0.1.255 R1(config-std-nacl)# permit 193.10.30.0 0.0.0.255 R1(config-std-nacl)# deny host 192.168.20.20 R1(config-std-nacl)# exit R1(config)# interface fa0/0 R1(config-if)# ip access-group WEBBSERVER_BENGT out
Extended ACLs Gör allt som en standard- ACL gör, samt: Filtrerar på desanaaon Filtrerar på L3- protokoll Filtrerar på lager 4, dvs TCP/UDP, portnummer Stödjer TCP states ( SPI på leksvenska)
Extended ACLs Keyword Any Host Eq Range Lt Gt Neq Established Funk-on Matchar vilken IP som helst Ejerföljande IP används med /32- mask Equal to, matchar e\ portnummer Portnummer från X All Y Less than, matchar portnummer lägre än X Greater than, matchar portnummer högre än X Not equal to Matchar etablerade sessioner (TCP handshake klar)
Extended ACLs R1(config)# access-list 101 permit tcp host 193.10.31.167 any established R1(config)# access-list 101 permit tcp any host 193.10.31.167 eq 443 R1(config)# access-list 101 permit tcp any host 193.10.31.167 eq 80 R1(config)# access-list 101 deny ip any any R1(config)# interface fa0/0 R1(config-if)# ip access-group 101 out Named Extended ACL R1(config)# ip access-list extended WEBBSERVER_BENGT R1(config-ext-nacl)# permit tcp host 193.10.31.167 any established R1(config-ext-nacl)#
Complex ACL Dynamic ACLs (lock- and- key) Reflexive ACLs Time- based ACLs
Dynamic ACLs Trafik genom en router blockeras av en ACL Användare autenasierar sig mot routern via telnet ACLen modifieras så trafik Allåts från användarens IP Ejer en viss Ad tas den Allåtande raden bort ur ACLen och därmed stryps trafiken igen
Reflexiv ACL
Reflexiv ACL
Time- based ACL
Switch- och WAN- teknik Kapitel 6: Teleworker services
Teleworker? Benämning för någon som uqör e\ jobb på distans Generellt problem: Hur kopplar man upp sig All nätverket på företaget?
ET phone home
VPN
VPN Fördelar Kostnadsbesparande Använder en befintlig infrastruktur Anses säkrat för avlyssning/förändring Smidig mobil lösning Två typer Site- to- site Mobile VPN / Remote Access VPN
VPN Site- to- site
VPN Remote Access
VPN - egenskaper Egenskap ConfidenAality Integrity AuthenAcaAon Funk-on Data kan inte läsas av utomstående (kryptering) Data kan inte ändras av utomstående (signering) Säkerställer a\ motparten är rä\ motpart CIA
Carrier protocol IP Frame Relay ATM EncapsulaAng Protocol GRE IPSec PPTP L2TP Passanger Protocol IP IPX VPN protokoll
Inkapsling E- MAIL (SMTP) L5 L7 TCP E- MAIL (SMTP) L4 IP TCP E- MAIL (SMTP) L3 L2 IP TCP E- MAIL (SMTP) L2 L2 10011011001011010100101010000011101011111 L1
Inkapsling VPN E- MAIL (SMTP) TCP E- MAIL (SMTP) L2? IP TCP E- MAIL (SMTP) L2? IPSec DATA (KRYPTERAD) IP IPSec DATA (KRYPTERAD) L2 IP IPSec DATA (KRYPTERAD) IPSec 10011011001011010100101010000011101011111
Inkapsling - VPN
VPN EncrypAon
VPN EncrypAon Symmetrisk kryptering Samma nyckel används för kryptering och dekryptering Används vanligen för a\ kryptera e\ meddelande ( payload ) Algoritmer: DES, 3DES, AES Asymmetrisk kryptering Publik nyckel används för kryptering Privat nyckel används för dekryptering Används av digitala cerafikat Algoritm: RSA
Hash Syje: Säkerställer a\ informaaonen är korrekt MD5 SHA DATA MD5 8d777f385d3dfec8815d20f7496026dc