Universit de Reims Champagne - Ardenne
Les ACL Cisco
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
1
Universit de Reims Champagne - Ardenne
Les ACL Cisco
Pr sentation
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
2
Universit de Reims Champagne - Ardenne
Les ACL Cisco ?
Les ACL (Access Control Lists) permettent de filtrer des packets suivant des
crit res d finis par l'utilisateur
Sur des packets IP, il est ainsi possible de filtrer les paquets entrants ou
sortant d'un routeur en fonction
De l'IP source
De l'IP destination
...
Il existe 2 types d'ACL
Standard : uniquement sur les IP sources
Etendue : sur quasiment tous les champs des en-t tes IP, TCP et UDP
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
3
Universit de Reims Champagne - Ardenne
Sch ma du principe
Permit
Routage
Outbound
ACL
Permit
Deny
Inbound
ACL
Deny
Trash
l
t
o
o
N
.
F
Publicité
Master 2 Professionnel STIC-Informatique
4
Universit de Reims Champagne - Ardenne
Les ACL Cisco
Fonctionnement et configuration
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
5
Universit de Reims Champagne - Ardenne
La logique des ACL
Il est possible de r sumer le fonctionnement des ACL de la fa on suivante :
Le p quet est v rifi par rapport au 1er crit re d fini
S'il v rifie le crit re, l'action d finie est appliqu e
Sinon le paquet est compar successivement par rapport aux ACL suivants
S'il ne satisfait aucun crit re, l'action deny est appliqu e
Les crit res sont d finit sur les informations contenues dans les en-t tes IP, TCP ou
UDP
Des masques ont t d fini pour pouvoir identifier une ou plusieurs adresses IP en une
seule d finition
Ce masque d fini la portion de l'adresse IP qui doit tre examin e
0.0.255.255 signifie que seuls les 2 premiers octets doivent tre examin s
deny 10.1.3.0 avec 0.0.0.255 : refus de toutes les IP commencant par 10.1.3
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
6
Universit de Reims Champagne - Ardenne
Standard IP Access List Configuration
Fonctionnement des ACL
Test des r gles les unes apr s les autres
Si aucune r gle n'est applicable, rejet du paquet
D finition d'une r gle
access-list number source
Number compris entre 1 et 99 ou entre 1300 et 1999
access-list number remark test
Activation d'une ACL sur une interface
ip access-group [ number | name [ in | out ] ]
Visualiser les ACL
l
t
o
o
N
.
F
show access-lists [ number | name ] : toutes les ACL quelque soit
l'interface
show ip access-lists [ number | name ] : les ACL uniquement li s au
protocole IP
Master 2 Professionnel STIC-Informatique
7
Universit de Reims Champagne - Ardenne
Exemple (1/3)
Publicité
interface Ethernet0
ip address 172.16.1.1 255.255.255.0
ip access-group 1 out
access-list 1 remark stop tous les paquets d'IP source 172.16.3.10
access-list 1 deny 172.16.3.10 0.0.0.0
access-list 1 permit 0.0.0.0 255.255.255.255
access-list 1 deny 172.16.3.10 0.0.0.0
Refuse les paquets d'IP source 172.16.3.10
Le masque ( galement appel wildcard mask) signifie ici que tous les
bits de l'adresse IP sont significatifs
access-list 1 permit 0.0.0.0 255.255.255.255
Tous les paquets IP sont autoris s
l
t
o
o
N
.
F
Le masque 255.255.255.255 signifie qu'aucun bit n'est significatif
Master 2 Professionnel STIC-Informatique
8
Universit de Reims Champagne - Ardenne
Exemple (2/3)
interface Ethernet0
ip address 172.16.1.1 255.255.255.0
ip access-group 1 out
access-list 1 remark stop tous les paquets d'IP source 172.16.3.10
access-list 1 deny host 172.16.3.10
access-list 1 permit any
Une notation am lior e est possible pour remplacer
le masque 255.255.255.255 qui d signe une machine
Utilisation du terme host
0.0.0.0 avec le wildcard masque 255.255.255.255 qui d signe tout le
monde
Utilisation du terme any
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
9
Universit de Reims Champagne - Ardenne
Exemple (3/3)
interface Ethernet0
ip address 172.16.1.1 255.255.255.0
ip access-group 1 out
interface Ethernet1
ip address 172.16.2.1 255.255.255.0
ip access-group 2 in
access-list 1 remark Stoppe tous les paquets d'IP source 172.16.3.10
access-list 1 deny host 172.16.3.10
access-list 1 permit any
access-list 2 remark Autorise que les trames d'IP source 172.16.3.0/24
access-list 2 permit 172.16.3.0 0.0.0.255
l
t
o
o
N
.
F
Publicité
Master 2 Professionnel STIC-Informatique
10
Universit de Reims Champagne - Ardenne
Les extended ACL
Les extended ACL permettent filtrer des paquets en fonction
de l'adresse de destination IP
Du type de protocole (TCP, UDP, ICMP, IGRP, IGMP, ...)
Port source
Port destination
...
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
11
Universit de Reims Champagne - Ardenne
La syntaxe et exemple
access-list number { deny | permit } protocol source source-
wildcard destination dest.-wildcard
number : compris entre 100 et 199 ou 2000 et 2699
access-list 101 deny ip any host 10.1.1.1
Refus des paquets IP destination de la machine 10.1.1.1 et provenant
de n'importe quelle source
access-list 101 deny tcp any gt 1023 host 10.1.1.1 eq 23
Refus de paquet TCP provenant d'un port > 1023 et destiantion du
port 23 de la machine d'IP 10.1.1.1
access-list 101 deny tcp any host 10.1.1.1 eq http
Refus des paquets TCP destination du port 80 de la machine d'IP
10.1.1.1
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
12
Universit de Reims Champagne - Ardenne
Les ACL nomm s
Une ACL num rot peut tre compos de nombreuses r gles. La seule fa on de la
modifier et de faire
no access-list number
Puis de la red finir
Avec les ACL nomm es, il est possible de supprimer qu'une seule ligne au lieu de toute
l'ACL
Sa d finition se fait de la mani re suivante
Router(config)# ip access-list extended bart
Router(config-ext-nacl)# deny tcp host 10.1.1.2 eq www any
Router(config-ext-nacl)# deny ip 10.1.1.0 0.0.0.255 any
Router(config-ext-nacl)# permit ip any any
Pour supprimer une des lignes, il suffit de refaire un
ip access-list extended bart
Puis un no deny ip 10.1.1.0 0.0.0.255 any
Master 2 Professionnel STIC-Informatique
13
l
t
o
o
Publicité
N
.
F
Universit de Reims Champagne - Ardenne
L'acc s au Telnet avec une ACL
Pour utiliser une ACL dans le but de controler l'acc s au telnet (donc au vty)
access-class number { in | out }
line vty 0 4
login
password Cisco
access-class 3 in
!
!
access-list 3 permit 10.1.1.0 0.0.0.255
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
14
Universit de Reims Champagne - Ardenne
Les ACL Cisco
En production
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
15
Universit de Reims Champagne - Ardenne
Quelques conseils
La cr ation, la mise jour, le debuggage n cessitent beaucoup de temps et
de rigeur dans la syntaxe
Il est donc conseill
De cr er les ACL l'aide d'un diteur de texte et de faire un
copier/coller dans la configuration du routeur
Placer les extended ACL au plus pr s de la source du paquet que
possible pour le d truire le plus vite possible
Placer les ACL standard au plus pr s de la destination sinon, vous
risquez de d truire un paquet trop top
Rappel : les ACL standard ne regardent que l'IP source
Placer la r gle la plus sp cifique en premier
Avant de faire le moindre changement sur une ACL, d sactiver sur
l'interface concern celle-ci (no ip access-group)
l
t
o
o
N
.
F
Master 2 Professionnel STIC-Informatique
16