Nguyên tắc hoạt động Danh sách truy cập Nguyên tắc hoạt động Danh sách truy cập Bởi: Ngô Bá Hùng, Phạm Thế Phi Nguyên tắc hoạt động Danh sách truy cập Danh sách truy cập diễn tả tập hợp qui luật cho phép đưa vào điều khiển gói tin vào giao diện router, gói tin lưu lại tạm thời router gói tin gởi giao diện router Danh sách truy cập tác dụng gói tin xuất phát từ router xét Hình 7.3 – Nguyên tắc hoạt động danh sách truy cập Khởi đầu tiến trình giống không phân biệt có sử dụng danh sách truy cập hay không: Khi gói tin vào giao diện, router kiểm tra để xác định xem chuyển gói tin hay không Nếu không được, gói tin bị xóa Một mục từ 1/4 Nguyên tắc hoạt động Danh sách truy cập bảng chọn đường thể cho đích đến mạng với chiều dài đường đến đích giao diện router hướng đích đến Kế tiếp router kiểm tra để xác định xem giao diện hướng đến đích đến có danh sách truy cập không Nếu không, gói tin gởi vùng đệm cho ngỏ tương ứng, mà không bị danh sách truy cập chi phối Giả sử giao diện nhận đặt danh sách truy cập mở rộng Nhà quản trị mạng sử dụng biểu thức luận lý, xác để thiết lập danh sách truy cập Trước gói tin đưa đến giao diện ra, phải kiểm tra tập quy tắc định nghĩa danh sách truy cập gán cho giao diện Dựa vào kiểm tra danh sách truy cập mở rộng, gói tin phép danh sách vào (inbound list), có nghĩa tiếp tục xử lý gói tin sau nhận giao diện hay danh sách (outbound list), điều có nghĩa gởi gói tin đến vùng đệm tương ứng giao diện Ngược lại, kết kiểm tra từ chối việc cấp phép nghĩa gói tin bị hủy Khi hủy gói tin, vài giao thức trả lại gói tin cho người gởi Điều báo hiệu cho người gởi biết đến đích Hình 7.4- Nguyên tăc lọc dựa danh sách truy cập Các lệnh danh sách truy cập hoạt động cách Chúng đánh giá gói tin từ xuống Nếu tiêu đề gói tin lệnh danh sách truy cập khớp với nhau, gói tin bỏ qua lệnh lại Nếu điều kiện thỏa mãn, gói tin 2/4 Nguyên tắc hoạt động Danh sách truy cập cấp phép hay bị từ chối Chỉ cho phép danh sách giao thức giao diện Trong ví dụ trên, giả sư có trùng hợp với bước kiểm tra gói tin bị từ chối truy cập giao diện hướng đến đích đến Gói tin bị bỏ đưa vào thùng rác Gói tin không qua bước kiểm tra khác Chỉ gói tin không trùng với điều kiện bước kiểm tra chuyển vào bước kiểm tra thứ hai Giả sử tham số khác gói tin trùng khớp với bước kiểm tra thứ hai, lệnh cho phép, gói tin phép chuyển giao diện hướng đích Một gói tin khác không trùng với điều kiện bước kiểm tra thứ kiểm tra bước thứ hai, lại trùng với điều kiện kiểm tra thứ ba với kết phép Chú ý rằng: Để hoàn chỉnh mặt luận lý, danh sách truy cập phải có điều kiện mà tạo kết cho tất gói tin Một lệnh cài đặt cuối bao trùm cho tất gói tin mà bước kiểm tra trước kết Đây bước kiểm tra cuối mà khớp với tất gói tin Nó kết từ chối Điều làm cho tất gói tin bị bỏ Tổng quan lệnh Danh sách truy cập Trong thực tế, lệnh danh sách truy cập chuỗi với nhiều ký tự Danh sách truy cập phức tạp để nhập vào hay thông dịch Tuy nhiên đơn giản hóa lệnh cấu hình danh sách truy cập cách đưa chúng hai loại tổng quát sau: Loại 1: Bao gồm lệnh để xử lý vấn đề tổng quát, cú pháp mô tả sau: access-list access-list- number {permit|deny} {test conditions} • access-list: từ khóa bắt buộc • access-list-number: Lệnh tổng thể dùng để nhận dạng danh sách truy cập, thông thường số Con số biểu thị cho loại danh sách truy cập • Thuật ngữ cho phép (permit) hay từ chối (deny) lệnh danh sách truy cập tổng quát biểu thị cách thức mà gói tin khớp với điều kiện kiểm tra xử lý hệ điều hành router Cho phép thông thường có nghĩa gói tin phép sử dụng hay nhiều giao diện mà bạn mô tả sau • test conditions: Thuật ngữ cuối mô tả điều kiện kiểm tra dùng lệnh danh sách truy cập Một bước kiểm tra đơn giản 3/4 Nguyên tắc hoạt động Danh sách truy cập việc kiểm tra địa nguồn Tuy nhiên thông thường điều kiện kiểm tra mở rộng để chứa đựng vài điều kiện kiểm tra khác Sử dụng lệnh danh sách truy cập tổng quát với số nhận dạng để chồng nhiều điều kiện kiểm tra vào chuỗi luận lý danh sách kiểm tra Loại 2: Xử lý danh sách truy cập sử dụng lệnh giao diện Cú pháp sau: {protocol} access-group access-list-number Với: Protocol: giao thức áp dụng danh sách truy cập Access-group: từ khóa Access-list-number: Số hiệu nhận dạng danh sách truy cập định nghĩa trước Tất lệnh danh sách truy cập nhận dạng số tương ứng với nhiều giao diện Bất kỳ gói tin mà chúng vượt qua điều kiện kiểm tra danh sách truy cập gán phép sử dụng giao diện nhóm giao diện phép 4/4 ... lệnh Danh sách truy cập Trong thực tế, lệnh danh sách truy cập chuỗi với nhiều ký tự Danh sách truy cập phức tạp để nhập vào hay thông dịch Tuy nhiên đơn giản hóa lệnh cấu hình danh sách truy cập. .. đến đích Hình 7.4- Nguyên tăc lọc dựa danh sách truy cập Các lệnh danh sách truy cập hoạt động cách Chúng đánh giá gói tin từ xuống Nếu tiêu đề gói tin lệnh danh sách truy cập khớp với nhau,... lập danh sách truy cập Trước gói tin đưa đến giao diện ra, phải kiểm tra tập quy tắc định nghĩa danh sách truy cập gán cho giao diện Dựa vào kiểm tra danh sách truy cập mở rộng, gói tin phép danh