ACL - Extended Access list

תמלול ההרצאה: ACL - Extended Access list

הטקסט המלא של הדקות הראשונות בהרצאה «ACL - Extended Access list» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:00

   שלום וברוכים הבאים להרצאה על ACL Access Listing וזאת ההרצאה השנייה ל-Extended List, הרשימה המשוכללת יותר ואנחנו הולכים לראות ממש איך חוסמים אייפים ופורטים מסוימים וזאת הולכת להיות הרצאה מאוד מאוד מעניינת.

2. 00:17

   תקלו מה אנחנו הולכים לעבור, אנחנו הולכים לחסום את כל המחשבים ברשת ליציאה לאינטרנט ולאפשר רק לשרת פרוקסי שיש לנו בתוך הרשת לצאת החוצה.

3. 00:29

   שכל המחשבים ברשת יפנו לפרוקסי ורק פרוקסי הוא יוכל לצאת בפורט 80 החוצה זאת דוגמה שנעשה הגדרות בראוטר כי אנחנו לא נלמד פה על פרוקסי עצמו אנחנו נעשה את ההגדרות בראוטר אנחנו בקורס של סיסקו מי שרוצה יותר על פרוקסי יש לנו הרצאות בנפרד על פרוקסי באזור של

4. 00:49

   מייקרוסופט אולי אני אראה לכם אפילו יש לנו בפרקטיקיו.קום את כל ההרצאות שאי פעם תצטרכו יש לנו וגם פרוקסי אז בואו אני אראה לכם בווינדוס 7 תקשורת למתקדמים יש לנו בדיוק מה זה פרוקסי הרצאה מאוד יפה ותראו אותה, באופן כללי שכחתי להגיד לכם ישנו את כל

5. 01:14

   ההרצאות המלאות בסרטונים שאתם יכולים לקחת הביתה, זה רק 350 שקל לחודש היום, ללא כל התחייבות, יכול להיות שהמחיר ישתנה יום אחד.

6. 01:25

   אני יונתן רבזין ואתם במכללת פרקטיקיו בהרצאות בווידאו שלנו ותיהנו כי זאת הרצאה מאוד מאוד חשובה ומאוד קשה גם. אז אנחנו נחסום את הפרוקסי, את הכל חוץ מפרוקסי, אחרי זה אנחנו נעשה דוגמה, אני אוהב להעביר את הנושאים האלו דרך דוגמאות ולא הרבה תיאוריה.

7. 01:46

   לתת לכם בעצם דרך חשיבה נכונה, דרך מעשית. אז נעשה גם שני שרתי וב ואחד מהם יהיה סודי במיוחד ואסור לגשת עליו בכלל בכל פרוטוקול מרשת אחרת. זאת אומרת מרשת אחרת 10.1 זאת רשת שנייה, אסור יהיה לגשת לשרת וב המאובטח שיש לנו ברשת 10.2 ואנחנו נחסום את הכל.

8. 02:15

   ונעשה שני שרתי ווב, נראה שאחד חסום ואחד לא, הסודי חסום והלא סודי פתוח. אחרי זה גם נעשה שנפתח לו פורט 443. זאת אומרת לאחר דיונים רבים, הוחלט לאפשר לשרת הסודי תקשורת רק דרך 443, שזה פרוטוקול מוצפן של NGTPS. כאילו חברה עשתה דיון והחליטה לפתוח את הפורט הזה בכל זאת דרך

9. 02:38

   הראוטר. כל שאר הפורטים חייבים להיות עדיין חסומים. ואחרי שאנחנו נעשה את כל הדוגמאות האלו אנחנו גם נראה פקודה חדשה שאין אותה בפאקט טרייסר, יותר נכון יש אותה אבל היא ככה חלקית בפאקט טרייסר שנקראת IP Access List ולא Access List אלא IP Access List וזה ייתן לנו לעשות כל מיני דברים מגניבים ובשבילה נעבור

10. 03:07

    אפילו ל-GNS. אז בואו נתחיל, חבר'ה בואו נתחיל. נתחיל בזה שנחסום את כל המחשבים ברשת ליציאה לאינטרנט ונאפשר רק לפרוקסי לצאת. בואו נעבור לפקט רייסר ומה יש לנו בפקט רייסר יש לנו בפקט רייסר רשת שלנו של 10.1 ורשת 10.2 וכרגע בתוך הראוטר בואו נראה מה יש לנו בראוטר בראוטר show access list אתם רואים

11. 03:42

    אין אף access list אין לנו שום access list בראוטר זה אומר כולם יכולים לעבור לכולם אנחנו רוצים לחסום הכל חוץ משרת פרוקסי מצוין בוא נשים איזשהו שרת שיהיה לנו אפילו ויזואלי זה שרת אתם רואים בפקט רייסר יש פה שרת סרבר נשים פה שרת נחבר אותו לסוויץ' ניתן לו איזה איי-פי

12. 04:10

    לשרת שלנו נניח 1011 זאת תהיה כתובת איי-פי של השרת 1011 עדיף על גטווי פה ואנחנו רוצים לאפשר רק לשרת הזה רק לאיי-פי הזה לצאת החוצה בפורט 80 לצאת לעבור דרך הראוטר בפורט 80 כל השאר אסור להם לעבור בראוטר בפורט 80 יופי

13. 04:40

    בגלל מה שאנחנו רוצים פורט מסוים או יעד מסוים ולא רק כתובת IP של המקור אנחנו חייבים להשתמש ב-Extended זאת אומרת ב-Access List לא בסטנדרט כי סטנדרט זה רק לפי IP של השולח אנחנו לא רוצים את ה-IP של השולח כי אם אנחנו נחסום לפי IP של השולח המחשבים האלו לא יוכלו להגיע לשום מחשב ברשת

14. 05:10

    השנייה אנחנו נחסום את כל התקשורת אז אנחנו לא רוצים לחסום את כל התקשורת, אנחנו רוצים לחסום רק אינטרנט. אז אנחנו רוצים לחסום רק port 80, ולכן אנחנו צריכים extended, ואנחנו רוצים לחסום את זה לכל המחשבים חוץ ממחשב הזה, שהכתובת שלו לא כתבתי, ואני ממש אוהב לכתוב כי זה ממש עוזר.

15. 05:39

    10.1.100 זה אחד הדברים שכדאי לא להתעצל עליהם. אז אני רוצה לאפשר אותו. תראו, תמיד מתחילים ממשהו ספציפי, תמיד תתחילו במשהו ספציפי.

16. 05:51

    access list 101, ואני רוצה להתחיל ב-allow לזה בפורט 80 ואחרי זה לכולם דיניי, זאת אומרת אני מתחיל בספציפי ואחרי זה חוק כללי.

17. 06:05

    חוק הכללי יגיד לכולם אסור ולפני כן אני אעשה חוק שלזה מותר. אז אנחנו עושים access list 101, סימן שאלה. הוא אומר האם דיניי, האם אסור, מותר או שיש לך הערות להכניס.

18. 06:19

    עזוב אותי מההערות, אני אומר פרמיט, אני רוצה לאפשר לשרת לצאת החוצה קודם כול ואחרי זה לחסום את כולם. אוקיי, Permit, מותר.

19. 06:30

    עכשיו הוא שואל אותי, שימו לב, אנחנו באקסטנדד. אקסס מהפרמיט, הוא שואל אותי, מה אתה רוצה לאפשר? אתה רוצה לאפשר את כל תקשורת ה-IP, או שאתה רוצה לאפשר רק TCP פורט מסוים, או UDP פורט מסוים?

20. 06:48

    אני אומר שאני רוצה לאפשר TCP, הרי זה TCP 80 פורט 80. Access List 101 זה המספר הסידורי, לאפשר בפרוטוקול TCP סימן שאלה. טובט של השולח Source, מי השולח?

21. 07:07

    ואחרי זה הוא ישאל אותי מי היעד. אז מי השולח? מחשב מסוים, הוסט מסוים, מחשב שעשר אפס, אחד מאה. זאת אומרת, תאפשר ב-GCP את השולח הזה, סימן שאלה.

22. 07:24

    עכשיו הוא שואל אותי האם אני רוצה לציין פורט של השולח? לא, אני רוצה לציין את היעד. שימו לב, פורט 80 זה היעד.

23. 07:35

    פורט מקור כל פעם משתנה. כל פעם שאתה מוצא שיחה לאינטרנט, כל פעם אתה יוצא אצלך מפורט אחר. ביעד אתה תמיד מגיע לפורט 80. אז אני שאומר היעד שלי יכול להיות כל מחשב באינטרנט Any, אבל port = match only packet of given port, זאת אומרת port = = 80 או יכלתי לכתוב www.

24. 08:10

    שימו לב איך הולכת פקודה access list 101 רשימה מספר 101 תאפשר פרוטוקול tcp השולח זה זה היעד any כל יעד אפשר בפורט שווה 80 רק בפורט 80 יופי הלאה access list עכשיו אני רוצה לחסום את כל האחרים access list deny עכשיו הוא שואל אותי את מי deny אני רוצה לעשות deny לtcp כי אנחנו רוצים רק פורט

25. 08:42

    80 tcp כל פעם אני שם סימן שאלה מי השולח כל הרשת זאת אומרת אני נותן 10 0 010 סימן שאלה ויילד קארד 010255 זה סאבנט מאסק הופכי ונגדי אמרתי access list 101 חוסם בפרוטוקול tcp את כל השולח הזה את כל הרשת לאיזה יעד לכל יעד כי אני לא יודע איזה מחשב יהיה באינטרנט בפורט השווה ל-80 אני יודע שזה מבלבל וזה קשה לזכור את זה אבל אין מה לעשות

26. 09:38

    אין מה לעשות אז בעצם יצא לנו דבר כזה show access list יצא לנו שתי שורות השורה אומרת לאפשר למחשב כזה וכזה לצאת החוצה לאפשר בפרוטוקול tcp למחשב כזה וכזה לצאת לכל יעד לכל destination בפרוטוקול ששווה לwww ולחסום את כל הרשת בלצאת החוצה בפרוטוקול www יפה מאוד בואו נבדוק שהדבר הזה באמת עובד אני לא יודע איך אנחנו

27. 10:18

    נוכל לבדוק את זה פה בפקט טרייסר טוב בוא נעשה דבר כזה אנחנו צריכים קודם כל את האקסס ליסט הזה להצמיד לאינטרפייס אז בואו נצמיד את זה לאינטרפייס לאיזה אינטרפייס אפשר פה בכניסה או פה ביציאה אז נעשה דבר כזה קודם כל נשים שרת ונעשה דבר כזה נחבר לו כבל רשת ניתן לו public www כאילו כולם יכולים לגשת עליו מבחינתי וניתן לו פה כתובת

28. 11:02

    1024 1024 זה שרת www שלכולם מותר לגשת אליו ואני רוצה לראות אני רוצה לראות האם המחשבים האלו יוכלו לגשת אליו ואם המחשב הזה יוכל לגשת אליו תראו יש פה בתוך השרת בפקט טרייסר ממש שרת וב הם עשו ואני יכול ממש לשנות אפילו מה מה יהיה כתוב שימו לב זה פרקטי קיו פרקטי קיו פאבליק וב פייג' יפה מאוד עשינו פה דף שנקרא אינדקס html בתוך שרת וב ממש כאילו יש לנו

29. 11:50

    שרת האס אמיתי ואפשר לגשת עליו מצוין בואו נבדוק שזה באמת עובד רואים יש פה עוד כמה דפים הלו וורד יש פה כמה דפים אז עשינו פה דף public practicu public web page יופי htts עובד אז אנחנו באים למחשב הזה לשרת ההוא שזה שרת פרוקסי בואו נכתוב שהוא שרת פרוקסי שאנחנו נדע שרת פרוקסי ואנחנו נבדוק ששרת פרוקסי מסוגל להגיע לדף הזה שהוא מסוגל לצאת

30. 12:26

    רגע צריך להצמיד ACL, שכחנו להצמיד ACL לאינטרפייס, זה נכנס לאינטרפייס פסט אית'רנט 01, נכנס לאינטרפייס הזה ומצמיד ACL. אני יכולתי גם להצמיד אותו פה בכניסה או פה ביציאה, זה לא משנה באמת.

31. 12:48

    אתם יודעים מה? לפי סיסקו עדיף להצמיד כמה שיותר קרוב לשולח, למקור, כדי לא לעשות עיבוד מיותר ב-CPU של הפאקטים. אנחנו נעשה כמו שכתוב בספר, זה אומר פה בכניסה אני מראש מונה פקטים לא רצויים ואז אנחנו עושים IP access group וקבוצה מספר 101 בכניסה show access list 101 יפה 101 ו-show running

32. 13:28

    config אני רואה שפה קבוצה 101 עובדת על כרטיס רשת והנה קבוצה 101 מצוין בוא נשמור את כל הגדרות ב-right למקרה של ריסטארט ובוא נבדוק, באים לפרוקסי, נכנסים אצלו לוואפ פרוקסי וכותבים את הIP של ההוא, מה הIP שלו אתם רואים? לא כתבתי, שכחתי, 1024, יופי, אני עושה פה לעצמי, 1024,

33. 14:06

    1024 גו, זה ממש ובבראוזר, כן, הם עשו כזה ממש סימולטור ללא עובד, לא עובד, 1024 לא עובד, בוא נראה ובבראוזר, בוא ננסה מהמחשב הזה, בוא נראה אם במחשבה זה יעבוד באותה רשת Webbrowser 10.0.2.4 גו.

34. 14:40

    אתם רואים פרקטי קיו פבליק ובפייג' יפה אז פה זה עובד ופה זה לא עובד בוא נבדוק שיש פה default gateway ושהכל בסדר הנה יש פה gateway ויש פה כתובת IP והוא לא עובד בוא