Acceslists Cisco

[Veance]

IK wou eens checken of ik onderstaande wel goed begrijp.

Router2(config)#access-list 100 deny ip 192.168.0.0 0.0.0.255 10.0.0.0 0.255.255.255
hiermee hou ik verkeer tegen van het ipadres 192... maar ook van ip 10...of laat ik net 10... wel toe?
Router2(config)#access-list 100 permit ip 192.168.0.0 0.0.0.255 any
daarna laat ik ip 192... weer toe , maar ook al de rest
Router2(config)#int FastEthernet0/1
Router2(config-if)#ip access-group 100 in
en bovenstaande regels leg ik op aan alle binnenkomend verkeer van int fa0/1 naar de router toe

[plizz]

code:

Router2(config)#access-list 100 deny ip 192.168.0.0 0.0.0.255 10.0.0.0 0.255.255.255

Deze regel zegt: alles van 192.168.0.0 255.255.255.0 netwerk komt mag NIET naar 10.0.0.0 255.0.0.0.

code:

Router2(config)#access-list 100 permit ip 192.168.0.0 0.0.0.255 any

Deze regel zegt: alles van 192.168.0.0 255.255.255.0 netwerk komt mag andere netwerken.
Het wordt vaak in praktijk gebruikt alles deny en daarna permit of visa versa.

code:

Router2(config)#int FastEthernet0/1
Router2(config-if)#ip access-group 100 in
en bovenstaande regels leg ik op aan alle binnenkomend verkeer van int fa0/1 naar de router toe.

Dat klopt.

[Veance]

Verhelderend antwoord. Bedankt en met de 4e regel leg de regels op enkel voor het binnekomend verkeer van dat netwerk 192. Maar alle andere netwerken mogen wel verkeer hebben met 192.

[Veance]

@plizz En normaal kan je een regel zoals bvb router rip ongedaan maken door no router rip te plaatsen.
Maar hoe zit dat met een regel in een acces list? De regel ook herhalen met 'no' ervoor? IK denk dat je de volgeorde dan kwijt bent van meest specifieke regel?

[plizz]

Veance schreef op zaterdag 28 mei 2022 @ 12:10:
Verhelderend antwoord. Bedankt en met de 4e regel leg de regels op enkel voor het binnekomend verkeer van dat netwerk 192. Maar alle andere netwerken mogen wel verkeer hebben met 192.

Alleen verkeer van source subnet 192.168.0.0 255.255.255.0 mag door interface fa0/1. Verkeer van andere source subnetten, zoals 172.19.0.0 255.255.240.0, wordt geblokkeerd door implicet deny.

Bij standard ACL is no access-list 20. Dan is hele standard ACL 20 weg. Je kan ook regels toevoegen in bestande standard ACL 20.
Voor meer uitleg zie link: https://routeswitchlabtip...-access-control-list-acl/

[Faifz]

Paar opmerkingen:

1) De regels die jij hebt aangemaakt zijn niet stateful, dus ga je regels ook moeten aanmaken voor return traffic. Tenzij je reflexive ACL's gebruikt, dan is het stateful.
2) Wanneer je een ACL aanmaakt is er altijd een hidden deny everything regel die je niet ziet.

[Veance]

@Faifz daar zal ik nog moeten in verdiepen. Bedankt voor de tips