Liste de contrle daccs

Jean Robert HOUNTOMEY

hrobert@iservices.tg
 Prsentation

Les listes de contrle daccs sont des instructions qui

expriment une liste de rgles supplmentaires sur les
paquets reus et transmis par le routeur.

Elles peuvent tre utilises pour implmenter la scurit

dans les routeurs

Les listes de contrle daccs sont capables:

dautoriser ou dinterdire des paquets, que ce
soit en entre ou en sortie des interfaces
Filtrer le traffic en entre ou en sortie du
routeur
Restreinte lutilisation des personnes ou des
utilisateurs.

Elles oprent selon un ordre squentiel et logique, en
valuant les paquets partir du dbut de la liste
dinstructions.
 Prsentation

Si le paquet rpond au critre de la premire

instruction, il ignore le reste des rgles et il est
autoris ou refus.

LACL sexcute dans la direction indique par le mot IN

ou OUT

A un deny implicite la fin. Aussi si le paquet ne

satisfait aucune rgle il est rejet.
 Numrotation des Acl

Une liste de contrle daccs est identifiable par son

numro, attribu suivant le protocole et le type:

Type de liste Plage de numros

Listes daccs IP standard 1 99 et 1300 1999

Listes daccs IP tendues 100 199 et 2000
2699
Listes daccs Appletalk 600 699
Listes daccs IPX standard 800 899
Listes daccs IPX tendues 900 999
Listes daccs IPX SAP 1000 1099

NB: On sintressera seulement aux acl IP

 Algorithme de vrification

Lorsque le routeur dtermine s'il doit acheminer ou

bloquer un paquet, la plate-forme logicielle Cisco
IOS examine le paquet en fonction de chaque
instruction de condition dans l'ordre dans lequel les
instructions ont t cres.

Si le paquet arrivant linterface du routeur satisfait

une condition, il est autoris ou refus (suivant
linstruction) et les autres instructions ne sont pas
vrifies.

Si un paquet ne correspond aucune instruction dans

lACL, le paquet est jet. Ceci est le rsultat de
linstruction implicite deny any la fin de chaque
ACL.
 Principe de masque de bits gnrique -
WILCARD
Un masque gnrique est une quantit de 32 bits diviss
en quatre octets contenant chacun 8 bits.

- 0 signifie " vrifier la valeur du bit

correspondant "
- 1 signifie " ne pas vrifier (ignorer) la
valeur du bit correspondant ".

Les listes de contrle d'accs utilisent le masquage

gnrique pour identifier une adresse unique ou
plusieurs adresses dans le but d'effectuer des
vrifications visant accorder ou interdire l'accs.

Le terme masque gnrique est un surnom du procd de

correspondance masque-bit des listes de contrle
d'accs.
 Principe de masque de bits gnrique -
WILCARD
Un masque gnrique est une quantit de 32 bits diviss
en quatre octets contenant chacun 8 bits.

- 0 signifie " vrifier la valeur du bit

correspondant "
- 1 signifie " ne pas vrifier (ignorer) la
valeur du bit correspondant ".

Les listes de contrle d'accs utilisent le masquage

gnrique pour identifier une adresse unique ou
plusieurs adresses dans le but d'effectuer des
vrifications visant accorder ou interdire l'accs.

Le terme masque gnrique est un surnom du procd de

correspondance masque-bit des listes de contrle
d'accs.
 Principe de masque de bits gnrique -
WILCARD

Entre dautres termes le WILCARD est linverse du

NETMASK.

Examples:
Pour spcifier une machine:
196.200.221.1 0.0.0.0

Pour spcifier un sous rseau

196.200.221.8 196.200.221.15 (would be
a /29)
Le bloc deviens 196.200.221.8 0.0.0.7

Pour spcifier tous les hotes dun rsau /24

196.200.220.1 0.0.0.255
 Les commandes host et any

Ces deux commandes sont des abrviations permettant de

simplifier la lecture ainsi que lcriture des listes
de contrle daccs:

- any: nimporte quelle adresse (quivaut

0.0.0.0 255.255.255.255)

- host: abrviation du masque gnrique

Ex: host 172.16.33.5 quivaut 172.16.33.5
255.255.255.255
 Nommage des Acl

Depuis la version 11.2 dIOS, il est possible dutiliser

les listes de contrles daccs nommes.

Les listes de contrle d'accs nommes permettent

d'identifier les listes de contrle d'accs IP
standards et tendues par des chanes alphanumriques
plutt que par la reprsentation numrique actuelle.

Vous pouvez utiliser les listes de contrle d'accs

nommes dans les situations suivantes :
- Identifier intuitivement les listes de contrle
d'accs l'aide d'un code alphanumrique.
- Configurer plusieurs ACL standard et plusieurs
ACLtendues dans un routeur pour un protocole donn
 Syntaxe des Acl
IP Access List standard Configuration Syntax

access-list access-list-number {permit | deny}

source {source-mask}
ip access-group access-list-number {in | out}

IP Access List Etendu Configuration Syntax

access-list access-list-number {permit | deny}

protocol source {source-mask} destination
{destination-mask}
ip access-group access-list-number {in | out}

IP Access List Nomm Configuration Syntax

ip access-list {standard | extended} {name |
number}
 Placer les ACL
Placer les ACL standard proche de la destination
Standard IP access list close to destination

Place les ACL tendus proche de la source du

trafic grer
 Appliquer les ACL
Une fois la liste de contrle daccs cre, il faut
lassigner une interface de la manire suivante:

Router(config-if)#ip access-group numro_liste_daccs {in |

out }

- In | out indique si la liste doit tre applique pour le

trafic entrant ou sortant

Pour vrifier les listes de contrle daccs; La commande

show ip interface affiche les informations relatives
l'interface IP et indique si des listes de contrle d'accs
sont
configures.

La commande show access-lists affiche le contenu de toutes les

listes de contrle d'accs. La saisie du nom ou du numro d'une
liste de contrle d'accs en tant qu'option de cette commande
vous permet de consulter une liste spcifique
Permettre seulement mon rseau interne de
faire du telnet

access-list 1 permit 196.200.221.192 0.0.0.15

access-list 1 deny any
line vty 0 4
access-class 1 in
 Prefix Lists

Cisco introduit les prefix lists dans lIOS 12.0

Utiliss pour filter les routes et peuvent tre combins avec des route maps

Donne des fonctionnalits leves par rapport aux ACL

Plus simples configurer et utiliser

Utilise la notation CIDR address/mask

Numros de Sequence
 Prefix Lists

Prefix lists ont un implicit deny la fin comme les

ACL
Sont plus rapides excuter que les ACL

Prfrables si IOS 12.0 pour les manipulations de routes

 Syntaxe de Configuration dune Prefix List

Prefix list configuration syntax

config t
ip prefix-list list-name {seq seq-value} {permit|
deny} network/len {ge ge-value} {le le-value}

list-name nom de la liste

seq-value numro de squence (optionnelle)
network/len CIDR
ge-value from valeur de la plage; matches gale
ou prfixes plus longs (plus de bits dans le
prfixe, bloc plus petit)
le-value to; matches egale ou prfixes plus
petits(moins de bits dans le prfixe, blocs plus
larges)
 Prefix List Configuration

Pour interdire un /28:

ip prefix-list f2afnog seq 5 deny
196.200.221.192/28

Pour accepter les prfixes de /8 /24:

ip prefix-list test1 seq 5 permit 196.0.0.0/8 le
24

Refuser les prfixes aec un masque plus grand que /25

dans un bloc
ip prefix-list test2 seq 10 deny 196.200.221.0/24
ge 25

Permettre toutes les routes:

ip prefix-list test3 seq 15 permit 0.0.0.0/0 le 32