Access Control List

Oleh Asisten DMJ

 ACL pada dasarnya seperangkat perintah, yang dikelompokkan bersama-sama dengan satu nomor atau nama yang digunakan untuk menyaring lalu lintas masuk atau keluar dari perangkat. Terdapat 2 macam:
Standart ACL Extended ACL

Access List Ranges

Type IP Standard IP Extended IP Standard Expanded Range Range 199 100199 13001999

IP Extended Expanded Range

20002699

Standart ACL
Standart ACL sangat sederhana, hanya menyaring berdasarkan alamat sumber saja. Standart dapat menyaring jaringan sumber atau sejumlah sumber, tetapi tidak dapat menyaring berdasarkan tujuan dari sebuah paket, protokol tertentu yang sedang digunakan seperti Transmission Control Protocol (TCP) , User Datagram Protocol (UDP), atau port. Standart dapat mengizinkan atau menolak lalu lintas satu-satunya sumber. Command:
access-list {1-99 | 1300-1999} {permit | deny} sourceaddress [wildcard mask]

Configure Standart ACL

R2>enable R2(config)#access-list 1 deny host 10.0.0.3 R2(config)#access-list 1 permit any R2(config)#interface fastEthernet 0/1 R2(config-if)#ip access-group 1 out

R2>enable R2#configure terminal

R2(config)#access-list 1 deny 10.0.0.3 0.0.0.0

R2(config)#access-list 1 permit any R2(config)#interface fastEthernet 0/1 R2(config-if)#ip access-group 1 out

Memblok Network
R2>enable Enter configuration commands, one per line. CNTL/Z. R2(config)#access-list 2 permit any R2(config)#interface fastethernet 0/1 R2(config-if)#ip access-group 2 out R2(config-if)# End with

R2(config)#access-list 2 deny 10.0.0.0 0.255.255.255

Wildcard mask = 255.255.255.255 subnet

Wildcard Mask
Wildcard mask = 255.255.255.255 subnet
255.255.255.255 255. 0. 0. 0 ---------------0. 255 .255.255 ----------------

Menghitung IP range dapat dilakukan dengan mengurangkan IP terbesar dengan IP terkecil. Misal ,10.3.16.0 10.3.31.255
10. 3. 31.255 10. 3. 16. 0 ---------------0. 0. 15.255 ----------------

Extended ACL
Extended ACL memberi keleluasaan lebih dari sekedar Standart ACL. Extended ACL memeriksa kedua sumber dan alamat tujuan paket. Extended ACL juga dapat memeriksa protokol tertentu, nomor port, dan parameter lainnya, yang memungkinkan fleksibilitas dan control lebih baik. Extended ACL mampu memblok:
Host - Host Host Network Network - Network dll

Extended ACL
Command: access-list access-list-number {permit | deny} protocol source source-wildcard [operator port] destination destination-wildcard [operator port] [established] [log]
Command Parameters access-list-number permit | deny protocol source and destination Descriptions 100199 / 2000 2699. Indicates whether this entry allows or blocks the specified address. IP, TCP, UDP, ICMP, GRE, or IGRP. Identifies source and destination IP addresses.

The operator can be lt (less than), gt (greater than), eq (equal to), or neq (not equal to). The port number referenced can be either the source port or the source-wildcard and destination-wildcard destination port, depending on where in the ACL the port number is configured. As an alternative to the port number, well-known application names can be used, such as Telnet, FTP, and SMTP. established log For inbound TCP only. Allows TCP traffic to pass if the packet is a response to an outbound-initiated session. This type of traffic has the acknowledgement (ACK) bits set. (See the Extended ACL with the Established Parameter example.) Sends a logging message to the console.

Block host-host
R1>enable R1#configure terminal Enter configuration commands, one per line. CNTL/Z. End with

R1(config)#access-list 101 deny ip host 10.0.0.3 40.0.0.3 0.0.0.0 R1(config)#access-list 101 permit ip any any R1(config)#interface fastEthernet 0/0 R1(config-if)#ip access-group 101 in R1(config-if)#exit R1(config)#

Block Host - network

R1(config)#access-list 102 deny ip host 10.0.0.3 40.0.0.0 0.255.255.255 R1(config)#access-list 102 permit ip any any

R1(config)#interface fastEthernet 0/0

R1(config-if)#ip access-group 102 in R1(config-if)#exit R1(config)#

Established Permit
TCP established digunakan untuk menolak semua lalu lintas ke dalam jaringan kecuali untuk lalu lintas masuk yang pertama kali dimulai dari dalam jaringan. Hal ini umumnya digunakan untuk memblokir semua lalu lintas yang berasal dari internet ke dalam jaringan perusahaan kecuali untuk lalu lintas Internet yang pertama kali dimulai dari pengguna dalam perusahaan. R1(config)#access-list 101 permit tcp any any established R1(config)#interface serial 0/0/0

R1(config-if)#ip access-group 101 in

R1(config-if)#exit