Какие наборы правил есть в cisco ios

Какие наборы правил есть в cisco ios

>[оверквотинг удален]
> направляются по адресу 174.21.3.20
>
> !
> interface serial 0
> ip policy route-map wethersfield
> !
> route-map wethersfield
> match ip address 174.95.16.18
> set ip next-hop 174.21.3.20
> !

Подскажите, пожалуйста, создал route-map — TEST, назначил на interface vlan 3333, но route-map не назначается. Если меняю set ip default next-hop на set ip next-hop то route-map назначается на интерфейс.

В чем ошибка, почему при использовании set ip default next-hop не могу назначить route-map на интерфейс?

-1-1(config)#route-map TEST permit 10
-1-1(config-route-map)# match ip address 1
-1-1(config-route-map)# set ip default next-hop 10.88.9.253
-1-1(config-route-map)#exit
-1-1(config)#interface vlan 3333
-1-1(config-if)#ip policy route-map TEST
-1-1(config-if)#exit
-1-1(config)#exit
-1-1#show running-config | s TEST
route-map TEST permit 10
match ip address 1
set ip default next-hop 10.88.9.253
ITL-VST-ITL-SW-1-1#show running-config interface vlan 3333
Building configuration.

ACL: списки контроля доступа в Cisco IOS

ACL (Access Control List) — это набор текстовых выражений, которые что-то разрешают, либо что-то запрещают. Обычно ACL разрешает или запрещает IP-пакеты, но помимо всего прочего он может заглядывать внутрь IP-пакета, просматривать тип пакета, TCP и UDP порты. Также ACL существует для различных сетевых протоколов (IP, IPX, AppleTalk и так далее). В основном применение списков доступа рассматривают с точки зрения пакетной фильтрации, то есть пакетная фильтрация необходима в тех ситуациях, когда у вас стоит оборудование на границе Интернет и вашей частной сети и нужно отфильтровать ненужный трафик.

Функционал ACL состоит в классификации трафика, нужно его проверить сначала, а потом что-то с ним сделать в зависимости от того, куда ACL применяется. ACL применяется везде, например:

• На интерфейсе: пакетная фильтрация
• На линии Telnet: ограничения доступа к маршрутизатору
• VPN: какой трафик нужно шифровать
• QoS: какой трафик обрабатывать приоритетнее
• NAT: какие адреса транслировать

Для применения ACL для всех этих компонентов нужно понять как они работают. И мы в первую очередь будем касаться пакетной фильтрации. Применительно к пакетной фильтрации, ACL размещаются на интерфейсах, сами они создаются независимо, а уже потом они прикручиваются к интерфейсу. Как только вы его прикрутили к интерфейсу маршрутизатор начинает просматривать трафик. Маршрутизатор рассматривает трафик как входящий и исходящий. Тот трафик, который входит в маршрутизатор называется входящим, тот который из него выходит — исходящий. Соответственно ACL размещаются на входящем или на исходящем направлении.

Из вашей частной сети приходит пакет на интерфейс маршрутизатора fa0/1, маршрутизатор проверяет есть ли ACL на интерфейсе или нет, если он есть, то дальше обработка ведется по правилам списка доступа строго в том порядке, в котором записаны выражения, если список доступа разрешает проходить пакету, то в данном случае маршрутизатор отправляет пакет провайдеру через интерфейс fa0/0, если список доступа не разрешает проходить пакету, пакет уничтожается. Если списка доступа нет — пакет пролетает без всяких ограничений. Перед тем как отправить пакет провайдеру, маршрутизатор ещё проверяет интерфейс fa0/0 на наличие исходящего ACL. Дело в том, что ACL может быть прикреплен на интерфейсе как входящий или исходящий. К примеру у нас есть ACL с правилом запретить всем узлам в Интернете посылать в нашу сеть пакеты.

Если мы прикрепим ACL на интерфейс fa0/1 как исходящий, это будет не совсем верно, хотя и ACL работать будет. На маршрутизатор приходит эхо-запрос для какого-то узла в частной сети, он проверяет на интерфейсе fa0/0 есть ли ACL, его нет, дальше проверяет интерфейс fa0/1, на данном интерфейсе есть ACL, он настроен как исходящий, всё верно пакет не проникает в сеть, а уничтожается маршрутизатором. Но если мы прикрепим ACL за интерфейсом fa0/0 как входящий, то пакет будет уничтожатся сразу как пришел на маршрутизатор. Последнее решение является правильным, так как маршрутизатор меньше нагружает свои вычислительные ресурсы. Расширенные ACL нужно размещать как можно ближе к источнику, стандартные же как можно ближе к получателю. Это нужно для того, чтобы не гонять пакеты по всей сети зря.

Сам же ACL представляет собой набор текстовых выражений, в которых написано permit (разрешить) либо deny (запретить), и обработка ведется строго в том порядке в котором заданы выражения. Соответственно когда пакет попадает на интерфейс он проверяется на первое условие, если первое условие совпадает с пакетом, дальнейшая его обработка прекращается. Пакет либо перейдет дальше, либо уничтожится.

Если пакет совпал с условием, дальше он не обрабатывается. Если первое условие не совпало, идет обработка второго условия, если оно совпало, обработка прекращается, если нет, идет обработка третьего условия и так дальше пока не проверятся все условия, если никакое из условий не совпадает, пакет просто уничтожается. В каждом конце списка стоит неявный deny any (запретить весь трафик). Будьте очень внимательны с этими правилами, которые я выделил, потому что очень часто происходят ошибки при конфигурации.

ACL разделяются на два типа:

• Стандартные (Standard): могут проверять только адреса источников
• Расширенные (Extended): могут проверять адреса источников, а также адреса получателей, в случае IP ещё тип протокола и TCP/UDP порты

Обозначаются списки доступа либо номерами, либо символьными именами. ACL также используются для разных сетевых протоколов. Мы в свою очередь будем работать с IP. Обозначаются они следующим образом, нумерованные списки доступа:

• Стандартные: от 1 до 99
• Расширенные: от 100 до 199

Символьные ACL разделяются тоже на стандартные и расширенные. Расширенные напомню могут проверять гораздо больше, нежели стандартные, но и работают они медленнее, так как придется заглядывать внутрь пакета, в отличии от стандартных где мы смотрим только поле Source Address (Адрес отправителя). При создании ACL каждая запись списка доступа обозначается порядковым номером, по умолчанию в рамках десяти (10, 20, 30 и т.д). Благодаря чему, можно удалить конкретную запись и на её место вставить другую, но эта возможность появилась в Cisco IOS 12.3, до 12.3 приходилось ACL удалять, а потом создать заново полностью. Нельзя разместить более 1 списка доступа на интерфейс, на протокол, на направление. Объясняю: если у нас есть маршрутизатор и у него есть интерфейс, мы можем на входящее направление для IP-протокола разместить только один список доступа, например под номером 10. Ещё одно правило, касающееся самих маршрутизаторов, ACL не действует на трафик, сгенерированный самим маршрутизатором.

Для фильтрации адресов в ACL используется WildCard-маска. Это обратная маска. Берем шаблонное выражение: 255.255.255.255 и отнимаем от шаблона обычную маску.

255.255.255.255-255.255.255.0, у нас получается маска 0.0.0.255, что является обычной маски 255.255.255.0, только 0.0.0.255 является WildCard маской.

Динамический (Dynamic ACL)

Позволяет сделать следующее, например у вас есть маршрутизатор, который подключен к какому-то серверу и нам нужно закрыть доступ к нему из внешнего мира, но в тоже время есть несколько человек, которые могут подключаться к серверу.

Мы настраиваем динамический список доступа, прикрепляем его на входящем направлении, а дальше людям, которым нужно подключиться, подключаться через Telnet к данному устройству, в результате динамический ACL открывает проход к серверу, и уже человек может зайти скажем через HTTP попасть на сервер. По умолчанию через 10 минут этот проход закрывается и пользователь вынужден ещё раз выполнить Telnet чтобы подключиться к устройству.

Рефлексивный (Reflexive ACL)

Здесь ситуация немножко отличается, когда узел в локальной сети отправляет TCP запрос в Интернет, у нас должен быть открытый проход, чтобы пришел TCP ответ для установки соединения. Если прохода не будет — мы не сможем установить соединение, и вот этим проходом могут воспользоваться злоумышленники, например проникнуть в сеть. Рефлексивные ACL работают таким образом, блокируется полностью доступ (deny any) но формируется ещё один специальный ACL, который может читать параметры пользовательских сессий, которые сгенерированны из локальной сети и для них открывать проход в deny any, в результате получается что из Интернета не смогут установить соединение. А на сессии сгенерированны из локальной сети будут приходить ответы.

Ограничение по времени (Time-based ACL)

Обычный ACL, но с ограничением по времени, вы можете ввести специальное расписание, которое активирует ту или иную запись списка доступа. Например пишется список доступа, в котором запрещается HTTP-доступ в течении рабочего дня и вешаем его на интерфейс маршрутизатора, то есть, сотрудники предприятия пришли на работу, им закрывается HTTP-доступ, рабочий день закончился, HTTP-доступ открывается.

Сами ACL создаются отдельно, то есть это просто некий список, который создается в глобальном конфиге, потом он присваивается к интерфейсу и только тогда он и начинает работать. Необходимо помнить некоторые моменты, для того, чтобы правильно настроить списки доступа:

• Обработка ведется строго в том порядке, в котором записаны условия
• Если пакет совпал с условием, дальше он не обрабатывается
• В конце каждого списка доступа стоит неявный deny any (запретить всё)
• Расширенные ACL нужно размещать как можно ближе к источнику, стандартные же как можно ближе к получателю
• Нельзя разместить более 1 списка доступа на интерфейс, на протокол, на направление
• ACL не действует на трафик, сгенерированный самим маршрутизатором
• Для фильтрации адресов используется WildCard маска

Стандартный список доступа

• permit: разрешить
• deny: запретить
• remark: комментарий о списке доступа
• address: запрещаем или разрешаем сеть
• any: разрешаем или запрещаем всё
• host: разрешаем или запрещаем хосту
• source-wildcard: WildCard маска сети
• log: включаем логгирование пакеты проходящие через данную запись ACL

Расширенный список доступа

• protocol source: какой протокол будем разрешать или закрывать (ICMP, TCP, UDP, IP, OSPF и т.д)
• deny: запретить
• operator:

A.B.C.D — адрес получателя

any — любой конечный хост

eq — только пакеты на этом порте

gt — только пакеты с большим номером порта

host — единственный конечный хост

lt — только пакеты с более низким номером порта

neq — только пакеты не на данном номере порта

range — диапазон портов

• port: номер порта (TCP или UDP), можно указать имя
• established: разрешаем прохождение TCP-сегментов, которые являются частью уже созданной TCP-сессии

Прикрепляем к интерфейсу

• in: входящее направление
• out: исходящее направление

Именованные списки доступа

• standard: стандартный ACL
• extended: расширенный ACL
• default: установить команду в значение по умолчанию

Ограничение доступа к маршрутизатору

R(config)#line vty 0 4 — переходим в режим настройки виртуальных линий.

R(config-line)#access-class 21 in — настраиваем логин и пароль, а также закрепляем список доступа с разрешенными IP-адресами.

Динамические списки доступа

R3(config)#username Student password 0 cisco — создаем пользователей для подключения через Telnet.

R3(config)#access-list 101 permit tcp any host 10.2.2.2 eq telnet

R3(config)#access-list 101 dynamic testlist timeout 15 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 — разрешаем подключаться к серверу по Telnet всем узлам.

R3(config)#interface serial 0/0/1

R3(config-if)#ip access-group 101 in — закрепляем 101 ACL за интерфейсом в входящем направлении.

R3(config)#line vty 0 4

R3(config-line)#autocommand access-enable host timeout 5 — как только пользователь аутентифицируеться, сеть 192.168.30.0 будет доступна, через 5 минут бездействия сеанс закроется.

Рефлексивные списки доступа

R2(config)#ip access-list extended OUTBOUNDFILTERS

R2(config-ext-nacl)#permit tcp 192.168.0.0 0.0.255.255 any reflect TCPTRAFFIC

R2(config-ext-nacl)#permit icmp 192.168.0.0 0.0.255.255 any reflect ICMPTRAFFIC — заставляем маршрутизатор отслеживать трафик, который инициировался изнутри.

R2(config)#ip access-list extended INBOUNDFILTERS

R2(config-ext-nacl)#evaluate ICMPTRAFFIC — создаем входящую политику, которая требует, чтобы маршрутизатор проверял входящий трафик, чтобы видеть инициировался ли изнутри и связываем TCPTRAFFIC к INBOUNDFILTERS.

R2(config)#interface serial 0/1/0

R2(config-if)#ip access-group INBOUNDFILTERS in

R2(config-if)#ip access-group OUTBOUNDFILTERS out — применяем входящий и исходящий ACL на интерфейс.

Ограничение по времени

R1(config-time-range)#periodic Monday Wednesday Friday 8:00 to 17:00 — создаем список времени, в котором добавляем дни недели и время.

R1(config)#access-list 101 permit tcp 192.168.10.0 0.0.0.255 any eq telnet time-range EVERYOTHERDAY — применяем time-range к ACL.

R1(config-if)#ip access-group 101 out — закрепляем ACL за интерфейсом.

R#show access-lists — смотрим информацию о списке доступа.

R#show access-lists — смотрим все списки доступа на маршрутизаторе.

Extended IP access list nick

permit ip host 172.168.1.1 host 10.0.0.5

deny ip any any (16 match(es))

Standard IP access list nick5

permit 172.16.0.0 0.0.255.255

Мы видим что у нас есть два ACL (стандартный и расширенный) под названиями nick и nick5. Первый список разрешает хосту 172.16.1.1 обращаться по IP (это значит что разрешены все протоколы работающие поверх IP) к хосту 10.0.0.5. Весь остальной трафик запрещен показывает команда deny ip any any. Рядом с этим условием в нашем примере пишет (16 match(es)). Это показывает что 16 пакетов попали под это условие.

Второй ACL разрешает проходить трафик от любого источника в сети 172.16.0.0/16.

Страница не найдена

Возможно, она никогда не существовала или была удалена.

Вернитесь назад, перейдите на главную страницу сайта или воспользуйтесь поиском.

Если вы уверены, что ошибка возникла по нашей вине, и хотите сообщить об этом, напишите нам.

Иллюстрация студента
Школы дизайна НИУ ВШЭ
Анастасии Лебедевой

Контакты

109028, г. Москва, Покровский бульвар, д. 11

Для соединения с внутренним номером подразделения/сотрудника:

+7 495 531-00-00
+ 7 495 772-95-90

Москва, ул. Мясницкая, д. 20

+ 7 495 771 32 42
+ 7 495 916 88 44
abitur@hse.ru

WhatsApp + 7 916 311 85 21

Управление международного партнёрства

«Горячая линия» Ситуационного центра Минобрнауки

• О ВЫШКЕ
• Цифры и факты
• Руководство и структура
• Преподаватели и сотрудники
• Корпуса и общежития
• Закупки
• Обращения граждан в НИУ ВШЭ
• Фонд целевого капитала
• Противодействие коррупции
• Сведения о доходах, расходах, об имуществе и обязательствах имущественного характера
• Сведения об образовательной организации
• Людям с ограниченными возможностями здоровья
• Единая платежная страница
• Работа в Вышке

• ОБРАЗОВАНИЕ
• Лицей
• Довузовская подготовка
• Олимпиады
• Прием в бакалавриат
• Вышка+
• Прием в магистратуру
• Аспирантура
• Дополнительное образование
• Центр развития карьеры
• Бизнес-инкубатор ВШЭ

• НАУКА
• Научные подразделения
• Исследовательские проекты
• Мониторинги
• Диссертационные советы
• Защиты диссертаций
• Академическое развитие
• Конкурсы и гранты
• Научно-образовательный портал IQ.hse.ru
• XXIV Ясинская (Апрельская) международная научная конференция по проблемам развития экономики и общества

• РЕСУРСЫ
• Библиотека
• Издательский дом ВШЭ
• Книжный магазин «БукВышка»
• Типография
• Медиацентр
• Журналы ВШЭ
• Публикации
• Единый архив экономических и социологических данных

• Полезные ссылки
• Министерство науки и высшего образования РФ
• Министерство просвещения РФ
• Федеральный портал «Российское образование»
• Массовые открытые онлайн-курсы

• © НИУ ВШЭ 1993–2023
• Адреса и контакты
• Условия использования материалов
• Политика конфиденциальности
• Правила применения рекомендательных технологий в НИУ ВШЭ
• Карта сайта

Версии Cisco IOS и правила лицензирования

IOS (Internetwork Operation System) — операционная система, под управлением которой работает большая часть маршрутизаторов и коммутаторов Cisco. Функционал конкретного оборудования зависит от того, какие функции поддерживает установленный на нём образ IOS и от физических компонентов этого оборудования.

Задача данной статьи — помочь разобраться в том, какие бывают версии IOS и как происходит лицензирование. Есть семейство релизов — это группа IOS-ов для разных устройств, относящихся к одной и той же версии и базирующейся на общих компонентах исходного кода. Например, есть семейства 12.3, 12.4, 15.0, 15.1 и т. п. В рамках каждого из них поддерживается большой набор утсройств. Кстати, после семейства 12.4 произошли большие изменения как в системе лицензирования, так и в некоторых принципах распространения IOS и в результате появилось сильно отличное следующее семейство 15.0. Обратите внимание, что IOS-ов 13 и 14 нет.

В пределах одного семейства может быть несколько линеек IOS-ов. Например, в 12.4 есть две линейки:

1. 12.4(1), 12.4(3), 12.4(5), 12.4(7), 12.4(8) — это основная линейка (Mainline train или Maintenance Deployment releases(MD)) Это консервативная линейка, где версии отличаются одна от другой в основном исправлением найденных ошибок и уязвимостей.
2. 12.4(2)Т, 12.4(4)Т, 12.4(9)Т — технологическая линейка, каждый образ этой линейки основан на образе основной, с добавлением поддержки некоторых новый программных или аппаратных функций Например, 12.4(2)Т основан на 12.4(1).

В данном случае не так важно запомнить конкретные линейки, скорее следует понять принцип их построения. Дополнительные линейки (такие как Т обычно обозначаются большими английскими буквами) и их может быть произвольное количество в зависимости от задач компании Cisco в конкретный момент времени. Как уже было сказано выше, начиная с семейства 15.0 правила построения линеек слегка изменились.

Пока давайте убедимся, что то что было сказано про линейки и семейства пошло нам на пользу: имеется образ 12.4(20)Т1 — как понять его название?

• 12.4 — семейство IOS-ов,
• 20 — номер релиза в рамках этого семейства,
• Т — признак того, что это технологический релиз, отличающийся от основного поддержкой каких-то новых функций,
• 1 — номер ребилда данного релиза (такое тоже бывает, если необходимо внести незначительные изменения в релиз, то меняется номер ребилда, а не добавляется новый релиз).

Лицензия на IOS — важный компонент вашего сетевого устройства, так как в конечном итоге именно от неё зависит итоговый набор поддерживаемых функций и технологий. До семейства 15.0 существовало 8 вариантов лицензий, каждый из которых применялся к определённой версии IOS, то есть, покупая лицензию на IP телефонию, например, вы получали образ IOS в котором присутствует функционал IP телефонии. Начиная с версии 15.0 количество вариантов лицензий уменьшилось и изменился механизм активации лицензий.

До семейства 15.0 были доступные следующие варианты лицензирования:

1. IP Base (самый урезанный вариант, с поддержкой IPv4, trunking, DSL и др.
2. IP Voice (то же плюс IP телефония).
3. Advanced Security (то же плюс Firewall, IDS/IPS, IPSec, 3DES, VPN) — образ с различными функциями безопасности.
4. SP Services (IP Voice плюс SSH/SSL, ATM, VoATM, MPLS) — образ для провайдеров, с поддержкой различных WAN протоколов.
5. Enterprise Base (IP Voice плюс Apple Talk, IPX, IBM layer 3 routed protocols) — образ для крупного бизнеса с поддержкой различных протоколов третьего уровня помимо IPv4.
6. Advanced IP Services (то же что Advanced Security плюс SP Services).
7. Enterprise Services (то же что Enterprise Base плюс SP Services).
8. Advanced Enterprise Services — в этом образе доступно всё что может предоставить оборудование.

Такова была политика лицензирования. Если вам необходимо купить оборудование, вы смотрите в конфигураторе на сайте Cisco какой образ IOS для вашего оборудования необходимо лицензировать исходя из нужного набора функций. Пакеты 6,7 и 8 условно называются премиальными.

Последняя версия старого семейства 12.4(24)Т сменилась семейством 15.0, в котором Cisco отказалась от большого количества линеек. Теперь все релизы выпускаются последовательно, но делятся на стандартные и релизы с расширенной поддержкой. Такая практика напоминает, например, политику выпуска Ubuntu Linux, где LTS релизы можно рассматривать как аналоги релизов IOS с расширенной поддержкой. Расширенные релизы обозначаются буквой M (или EM — Extended Maintenance). Стандартные релизы — это условно говоря, аналог того, что раньше называлось техническим релизом. EM релизы выходят с интервалом 16 — 20 месяцев.

Рассмотрим пример: Вышел релиз 15.0(1)М — это релиз с расширенной поддержкой. Затем последовательно выходят стандартные релизы, в которых накапливается новый функционал: 15.1(T), 15.1(2)T, 15.1(3)T. Затем все эти изменения фиксируются в очередном релизе с расширенной поддержкой 15.1(4)M. Между выходом 15.0(1)М и 15.1(4)M проходит 20 месяцев. Таким образом, если всё работает хорошо и нового функционала не требуется, то можно обновляться только по мере выхода EM релизов, а если не хватает каких-то функций, то они могут появиться в очередном Т-релизе.

Давайте снова проверим наши познания в нумерации релизов начиная с 15-го семейства. Имеется образ 15.1(1)Т1:

• 15 — мажорный номер семейства,
• .1 — минорный номер семейства,
• (1) порядковый номер релиза,
• Т — стандартный релиз (без расширенной поддержки),
• 1 — номер ребилда.

Лицензирование для маршрутизаторов второго поколения (ISR G2: 1900, 2900, 3900) отличается от того что мы описывали выше. Если раньше надо было покупать и скачивать один из 8 образов IOS в зависимости от того, какие функции нам требуются, то теперь скачивается универсальный образ, в котором пакеты функций изначально заблокированы, но могут быть открыты при помощи специальной процедуры активации. Вместо 8 версий IOS-ов имеется одна версия с 4мя пакетами:

1. IP Base — пакет всегда активирован по умолчанию, содержит функции для работы с BGP, OSPFm EIGRP, ISIS, RIP, PBR, IGMP, Multicast
2. Security — активируемый дополнительно пакет, позволяющий работать с Firewall, SSL VPN, DMVPN, IPS, GET VPN, IPSec и т.п.
3. Data — активируемый пакет, позволяющий работать с MPLS, BFD, RSVP, L2VPN, L2TPv3, IP SLA и т.п.
4. Unified Communication — активируемый пакет, не доступный для устройств линейки 1900, позволяющий работать с CUBE, SRST, Voice Gateway, CUCME, DSP, VXML и другими функциями, необходимыми для организации голосовых коммуникаций.

Выше было сказано, что имеется один универсальный образ для таких устройств, но, на самом деле это не совсем верно — есть два образа universalk9 и universalk9_npe. Отличаются они тем, что в npe версии убраны функции, связанные с шифрованием (IPSec, SSL и т.п.) Соответственно на этой версии активация пакета безопасности не сработает. NPE образ удобен для ввоза в страны, в которых есть особые правила по ввозу криптографических устройств (к таковым относится и Россия). В любом случае, даже эта небольшая путаница с образами выглядит гораздо проще, чем 8 отдельных IOS-ов. 3 активируемых пакета гораздо удобнее включать, тем более, что можно делать комбинации из пакетов, включив, 1, 2, или все три.