Access Lists Cisco

[Spect~]

τη δευτερα εχω εξεταση στη σχολη στα δικτυα και μια πιθανη ερωτηση ειναι να επιτρεπψουμε μονο ping απο καποιο δικτυο προς οποιοδηποτε υπολογιστη στο ιντερνετ και να επιτρεψουμε μονο την απαντηση στο ping (δηλαδη ο υπολογιστης στο ιντερνετ να μην μπορει να κανει Ping στον υπολογιστη μας) Θελω να ξερω αν κανουν και τα δυο την ιδια δουλεια

 

επιτρεπει στο συγκεκριμενο δικτυο να στελνει μονο ping

Access-list 101 permit icmp 172.16.10.0 0.0.0.255 any any (out)

 

Επιτρεπει μονο την echo reply και τιποτα αλλο

Access-list 102 permit icmp any any echo-reply (in)

 

θα μπορουσα να κανω αυτο? Μονο με αυτο θα δουλευε?

 

access-list 103 permit tcp any 172.16.10.0 0.0.0.255 established

[defacer]

Nope. Το ICMP είναι διαφορετικό πρωτόκολλο από το TCP (protocol number 1 vs 6) οπότε δε θα επέτρεπες τίποτα έτσι.

[mad-proffessor]

Και το πρώτο είναι λάθος καθως αφήνει όλο το icmp. Εσυ θες μόνο ping-pong. Echo-request(ping), echo-reply(pong)

[Spect~]

Και το πρώτο είναι λάθος καθως αφήνει όλο το icmp. Εσυ θες μόνο ping-pong. Echo-request(ping), echo-reply(pong)

το πρωτο που το δοκιμασα χτες εκανε αυτο που ηθελα. Δηλαδη αφηνε την κινηση προς τα εξω και επετρεπε μονο το echo-reply απο εξω προς τα μεσα. Πως θα ηταν το σωστο αν δεν ειναι αυτο?

[Επισκέπτης]

Γιατι επιτρέπεις πρός τα έξω περισσότερους icmp types (όλους βασικά..) απ' ότι θα έπρεπε:

 

http://www.iana.org/assignments/icmp-parameters/icmp-parameters.xhtml

[Spect~]

Γιατι επιτρέπεις πρός τα έξω περισσότερους icmp types (όλους βασικά..) απ' ότι θα έπρεπε:

 

http://www.iana.org/assignments/icmp-parameters/icmp-parameters.xhtml

πιο πολυ μας νοιαζει το να μην επιτρεπει τιποτα απ'εξω εκτος απο το echo reply. 

 

Ειδα τι εγραψα στο πρωτο μηνυμα και το ζητουμενο ειναι ουσιαστικα να αφηνουμε μονο το echo-reply απο εξω χωρις να μας νοιαζει τοσο το μεσα κομματι

[Επισκέπτης]

Αν εσύ καθορίζεις την ερμηνεία και την ευελιξία/ακρίβεια no problem, αν όχι δεν χάνεις τίποτα ζητώντας λεπτομέριες για το πόσο ακριβής θα πρέπει να είσαι στην απάντησή σου.

[Spect~]

Αν εσύ καθορίζεις την ερμηνεία και την ευελιξία/ακρίβεια no problem, αν όχι δεν χάνεις τίποτα ζητώντας λεπτομέριες για το πόσο ακριβής θα πρέπει να είσαι στην απάντησή σου.

 

το θεμα ειναι οτι δεν καθοριζω τιποτα εγω αλλα ο καθηγητης Το λογικο σε ενα δικτυο ειναι να επιτρεπεις την κινηση απο μεσα προς τα εξω (ιντερνετ)  ενω απο εξω προς τα μεσα να επιτρεπεις συγκεκριμενα πραγματα αρα ειναι πιο λογικο το να επιτρεπεις την κινηση προς τα εξω και να επιτρεπεις μονο το reply προς τα μεσα. Περισσοτερες λεπτομερειες θα εχω τη δευτερα μετα την εξεταση ! 

[Επισκέπτης]

Aυτό που θεωρείς εσύ σαν δεδομένο και λογικό δεν ισχύει σε ένα πραγματικό παραγωγικό δίκτυο στο οποίο εφαρμόζονται πολιτικές ασφαλείας, γι αυτο λοιπόν αν θές να γίνεις πιο συγκερκιμένος απλά ζητάς διευκρυνήσεις.

[Spect~]

Aυτό που θεωρείς εσύ σαν δεδομένο και λογικό δεν ισχύει σε ένα πραγματικό παραγωγικό δίκτυο στο οποίο εφαρμόζονται πολιτικές ασφαλείας, γι αυτο λοιπόν αν θές να γίνεις πιο συγκερκιμένος απλά ζητάς διευκρυνήσεις.

1) να ζητησω διευκρυνησεις απο ποιον τη δεδομενη στιγμη?

2) στην εξεταση προφανως θελει να εξεταση κατα ποσο εχουμε κατανοησει καποια πραγματα οποτε ειναι λογικο να μας ζητησει κατι το οποιο σε ενα κανονικο δικτυο δεν θα το εκανες απλα για να ελεγξει κατα ποσο εχουμε καταλαβει τι κανουμε ,πως και γιατι.

[Επισκέπτης]

Οι πιθανές απαντήσεις έχουν ήδη ειπωθεί, εφόσον δεν υπάρχει θέμα για να διευκρινιστεί κάτι, απάντησε όπως εσύ θεωρείς καλύτερα.