Использование команды ping для тестирования достижимости пункта назначения

Протокол ICMP позволяет проверить доступность конкретного пункта назначе­ния. На рис. 20.26 показано, как протокол ICMP используется для отправки сооб­щения эхо-запроса устройству-получателю. При получении конечным устройством этого эхо-запроса ICMP оно создает сообщение эхо-ответа для отправки его источ­нику запроса. Если отправитель получает такой эхо-ответ, то это свидетельствует о том, что к устройству-получателю можно получить доступ по протоколу IP.

Как показано в примере 20.5, эхо-запрос обычно инициируется командой ping. В данном примере эта команда используется с параметром в виде IP-адреса устрой­ства-получателя.

Команда ping может быть также использована с параметром в виде DNS-имени уст­ройства-получателя (если служба DNS доступна), как показано в примере 20.6. В этих примерах команда ping инициирует отправку четырех эхо-запросов и получает четыре эхо-ответа, подтверждающих наличие соединения между данными двумя устройствами. В табл. 20.9 приведены коды возврата Cisco для команды ping.

Списки управления доступом

В своей работе сетевые администраторы постоянно сталкиваются с двумя взаимосвязанными проблемами: с одной стороны, необходимо обеспечить доступ к сети санкционированных пользователей, с другой — ограничить доступ нежела­тельных. Хотя такие средства как пароли, аппаратура отзыва и физические устрой­ства безопасности полезны, однако им часто не хватает гибкости при фильтрации потока данных; желательны также специальные управляющие средства, которые предпочитают большинство администраторов. Например, бывают ситуации, когда сетевой администратор готов предоставить пользователям локальной сети выход в Internet, но при этом не хочет разрешать пользователям Internet, находящимся вне этой локальной сети, входить в эту сеть средствами протокола Telnet.

Основные возможности фильтрации, такие как блокирование потока данных из Internet, предоставляют маршрутизаторы, используя для этого списки управ­ления доступом (access control list, ACL). В настоящей главе будет описано ис­пользование стандартных и расширенных списков управления доступом в каче­стве средства контроля потока данных и одной из мер по обеспечению безопас­ности. Список управления доступом представляет собой последовательность директив разрешения или запрещения доступа, которые применяются к адресам или протоколам верхнего уровня. В настоящей главе основное внимание уделе­но стандартным, расширенным и именованным спискам.

Кроме того, в главе приведены советы и основные принципы использования списков управления доступом, а также команды и типы конфигураций, необходи­мые для их создания. В заключение приведены примеры стандартных и расширен­ных списков и описано их использование на интерфейсах маршрутизаторов.

Обзор списков управления доступом

Списки управления доступом представляют собой набор инструкций, приме­няемых к интерфейсу маршрутизатора. Они указывают маршрутизатору, какие пакеты следует принять, а какие отвергнуть. Решение об этом может основы­ваться на определенных критериях, таких как адрес источника, адрес получателя или номер порта.

Списки управления доступом позволяют управлять потоком данных и обрабаты­вать конкретные пакеты путем группировки интерфейсов пунктов назначения в списке доступа. При такой группировке на интерфейсе устанавливается соответ­ствующая конфигурация, после чего все проходящие через него данные тестируются и проверяются на соответствие условиям, содержащимся в списке.

Списки управления доступом могут быть созданы для всех маршрутизируемых сетевых протоколов, таких, например, как Internet Protocol (IP) или Internetwork Packet Exchange (IPX) с целью фильтрации пакетов по мере их поступления на мар­шрутизатор. Для списков управления может быть установлена конфигурация, по­зволяющая управлять доступом в сеть или подсеть. Например, в Вашингтонском учебном округе списки могут быть использованы для отделения потоков данных студентов от информации, распространяемой в административной сети.

Списки управления доступом фильтруют поток данных посредством решения вопроса о том, направить ли пакет далее или заблокировать его на интерфейсе. Каж­дый пакет исследуется на его соответствие условиям, имеющимся в списке. В каче­стве условий могут выступать адрес источника, адрес получателя, протокол более высокого уровня или другая информация.

Список управления доступом должен составляться для каждого отдельного про­токола. Иными словами, для каждого протокола, используемого на интерфейсе маршрутизатора, должен быть составлен список, который будет регулировать про­хождение потока данных для этого протокола. Отметим, что в некоторых протоколах списки управления доступом называются фильтрами. Например, если интерфейс маршрутизатора сконфигурирован для IP, AppleTalk и IPX, то необходимо будет оп­ределить, по меньшей мере, три списка управления доступом. Как показано на рис. 20.27, списки могут быть использованы в качестве гибкого средства фильтрации па­кетов, поступающих на интерфейс маршрутизатора или отправляемых с него.