الـ ACLs: الترتيب، والـ Sequence Numbers، والمكان الصح

الـ ACL الغلط من أشهر أسباب الأعطال. نقرا ACL مكتوبة بترتيب غلط ومطبّقة على الواجهة الغلط، ونستخدم show access-lists والـ match counters كدليل، ونعدّل الـ ACL في مكانها بالـ sequence numbers بدون ما نمسحها، ونحطها على الواجهة والاتجاه الصحيح.

ضمن مسار ENARSI 300-410 — التوجيه المتقدم وخدمات الشبكات

شرح الدرس مكتوبًا

نص شرح المعلم والكود الذي كتبه ونتيجة تشغيله، بنفس ترتيب الدرس.

حيّاك الله. الـ ACL بسيطة على الورق، لكن في الشغل الحقيقي هي سبب كثير من المشاكل. وثلاث قواعد تحكم كل شي: تتقرا من فوق لتحت، وأول سطر يطابق يقرر، والباقي يتجاهل. في آخرها deny مخفي. والمكان: على أي واجهة، وبأي اتجاه، in أو out. والقاعدة المعروفة: الـ extended قريب من المصدر، والـ standard قريب من الوجهة. المعمل: R2 فيه أربع شبكات: الإدارة PC1، والضيوف PC2، والـ server SRV، والإنترنت R3. والسياسة: الإدارة توصل لكل شي. والضيوف يوصلون للإنترنت بس، وممنوعين من الـ server. والشكوى: لا الإدارة ولا الضيوف يوصلون لأي شي. نبدأ من PC1.

PC1

ping 10.10.10.10

الإدارة ما توصل للـ server. نشوف الـ ACLs في R2، ومكانها.

show access-lists
show ip interface g0/0/0 | include access list

الـ ACL اسمها GUEST، وفيها ثلاث أسطر. والسطر عشرة deny ip any any، يعني يرفض كل شي. وبعده permit و deny، وما راح يوصلهم أي packet أبداً. ولاحظ الأرقام بين parentheses بجنب السطر عشرة: matches. هذي عدد الـ packets اللي طابقت. وهي أقوى دليل في تشخيص الـ ACL: تقول لك أي سطر قاعد يشتغل فعلاً. والمشكلة الثانية: الـ ACL مطبّقة على g zero slash zero slash zero باتجاه in، وهذي واجهة الإدارة، مو الضيوف. نصلّح الترتيب أول، بدون ما نمسح الـ ACL. في الـ named ACL، كل سطر له sequence number، وتقدر تمسح سطر برقمه، وتضيف سطر برقم بين سطرين. نمسح السطر عشرة، والسطر ثلاثين لأنه بعد الـ permit وما له فايدة، ونضيف الـ deny للـ server برقم خمسة، يعني قبل الـ permit.

configure terminal
ip access-list extended GUEST
no 10
no 30
5 deny ip 192.168.20.0 0.0.0.255 10.10.10.0 0.0.0.255
end
show access-lists GUEST

الحين الترتيب صح: خمسة يرفض الضيوف من الـ server، وعشرين يسمح للضيوف لأي مكان ثاني، والـ deny المخفي يرفض أي مصدر ثاني. الحين دورك. الـ ACL للحين على واجهة الإدارة. انقلها للواجهة الصحيحة والاتجاه الصحيح، وتأكد إن PC1 يوصل للـ server، و PC2 يوصل لـ R3 وما يوصل للـ server. وقّف الفيديو، وجرّب.

تمرين: على R2: interface g0/0/0 ← no ip access-group GUEST in. و interface g0/0/1 ← ip access-group GUEST in. بعدها ping من PC1 لـ 10.10.10.10، ومن PC2 لـ 203.0.113.2 ولـ 10.10.10.10.

الحل.

configure terminal
interface g0/0/0
no ip access-group GUEST in
interface g0/0/1
ip access-group GUEST in
end

PC1

ping 10.10.10.10

PC2

ping 203.0.113.2
ping 10.10.10.10

الإدارة توصل للـ server، والضيوف يوصلون لـ R3، والضيوف ما يوصلون للـ server. ونشوف الـ counters بعد الاختبار.

show access-lists GUEST

السطر خمسة عليه matches من ping الضيوف للـ server، والسطر عشرين عليه matches من ping الإنترنت. يعني كل سطر يشتغل زي ما نبغى. الخلاصة: اقرا الـ ACL بالترتيب، واستخدم الـ counters كدليل، وعدّل بالـ sequence numbers، وتأكد من الواجهة والاتجاه. والدرس الجاي: ACL تشتغل حسب الوقت.

دروس المسار (74)