- Así que he hablado en teoría, qué lista de acceso
es una herramienta de identificación o clasificación.
Hablé a un nivel muy alto,
que hay cosas llamadas listas de acceso numeradas y nombradas,
aunque no hemos mirado realmente cómo
para configurarlos todavía.
Y he hablado de cómo, a un alto nivel hay
diferencias entre una lista de acceso estándar y extendida.
Ahora entraremos en más detalles sobre el estándar
listas de acceso, lo que pueden hacer, lo que no pueden hacer,
cómo configurarlos.
Y luego, solo con fines de demostración,
Voy a emparejar una lista de acceso estándar
con una característica, una característica de seguridad,
llamada función de grupo de acceso.
Así que puedes ver cómo los dos trabajan juntos.
Así que una lista de acceso estándar, probablemente la más básica
y sencillo de las listas de acceso que puedes configurar,
identifica el tráfico simplemente basado en el encabezado de la capa tres.
Entonces, si tienes algo que quieras combinar
aparte del encabezado de la capa 3, esta no es la herramienta para usted.
Dentro del encabezado de la capa 3, lo único que puede
match on es la dirección IP de origen y eso es todo.
Así que, una vez más, si quieres coincidir con algo más
que esto, como el destino de donde va el paquete,
o algo más en el encabezado de IP,
esta no es la herramienta para ti.
Entonces, cuando esté configurando una lista de acceso estándar,
si va a utilizar una lista de acceso numerada,
el número debe estar en el rango de uno a 99.
En otras palabras, en el nivel de configuración global,
vamos a ver esto en un momento,
vas a escribir access-list y luego
le vas a dar un número.
Si el número que das está en este rango,
iOS sabe, está bien, lo que sigue a continuación es que solo puedo...
Debería decir esto, cuando iOS ve un número en este rango,
dice bien ahora después estas son las únicas opciones
Voy a darle al usuario, el administrador de la red que es
configurarme, es la opción para hacer coincidir en la IP de origen
dirección y un comodín máscara, y eso es todo.
Ahora también hay un rango extendido o debería decir
una gama ampliada de números.
Porque para la mayoría de las personas, porque recuerda con acceso
enumera por ejemplo uno, que es el nombre del contenedor.
Podría tener varias líneas de eso.
Acceda a la lista uno, coincida con esto.
Acceda a la lista uno, coincida con eso.
Acceda a la lista uno, coincida con otra cosa.
Entonces podría tener docenas o incluso cientos de control de acceso
entradas todas numeradas uno.
Ahora, para la mayoría de las empresas, este rango aquí es más que suficiente.
Pero a veces, especialmente cuando se habla de
proveedores de servicios de Internet, su lista de acceso puede ser enorme
porque tienen miles de empresas que están
mantenimiento y necesitan tener diferentes listas de acceso
para cada uno y así pueden quedarse sin ellos,
incluso de uno a 99.
Por lo tanto, existe una gama ampliada de ACL estándar
y probablemente deberías memorizar este número
de 1300, voy a escribir esto aquí abajo,
desde 1300 hasta 1999.
Lo mismo, si está configurando su lista de acceso
como lista de acceso numerada, lista de acceso 1301
o lista de acceso 1400, cualquier cosa en este rango,
es como si estuviera usando los números del uno al 99.
iOS todavía reconoce que quieres
es una lista de acceso estándar.
Se deben aplicar listas de acceso estándar
más cercano al destino.
¿Qué significa eso?
Echaremos un vistazo a eso en un momento.
Y no hay ningún método para comprobar la dirección de diezmado
o números de puerto porque todas las comprobaciones de la lista de acceso estándar
es la dirección IP de origen, eso es todo.
Muchas veces, eso es todo lo que necesita verificar.
Ya sabes, en función de la función que estás usando,
tal vez digas, sabes qué, todo lo que me importa
es de donde viene este paquete.
No podría importarme menos dónde va
o cualquier otra cosa por el estilo.
Así es como configuraría una lista de acceso estándar.
Así que observe algunas cosas muy importantes aquí.
Número uno, ¿dónde lo estamos haciendo?
A nivel de configuración global.
Eso es muy importante.
Número dos, decimos lista de acceso,
proporcionamos un número que está en el rango estándar
y luego tienes que decir permitir o denegar.
Ahora recuerda, permite o niega, no sabemos
que va a hacer eso
Si estamos hablando de una función de cifrado
eso es usar esto, eso significa permitir el paquete
para ser encriptado o denegar que sea encriptado.
Si estamos usando la función de grupo de acceso,
que es lo que voy a usar para mis demostraciones,
Permitir significa permitir el paso del paquete.
Denegar significa eliminar el paquete, negarlo, bloquearlo.
Y ahora especificamos un número de 32 bits
como nuestra dirección de origen.
Y luego una máscara comodín.
Ahora para verificar lo que hemos configurado,
podemos mostrar la lista de acceso IP.
Y eso nos mostrará nuestra lista de acceso.
Ahora eso le mostrará qué característica o características,
porque tienes más de uno que está usando
esta lista de acceso para fines de identificación.
Pero le mostrará la lista de acceso que ha
configurado o puedes hacer show run
y puede usar el símbolo de tubería en su teclado.
Y luego inc, que es la abreviatura de incluir lista de acceso.
O simplemente puede mirar show run.
Ahora, para usar una lista de acceso para algo,
porque si solo configuras esta lista de acceso
y se encuentra en un nivel de configuración global,
no está haciendo nada.
He aquí un ejemplo, recuerda cuando hablábamos de
cambiando y dije si quieres crear una VLAN
y tiene algunos hosts en su conmutador, use esa VLAN.
Dije que era un proceso de dos pasos.
Dije a nivel de configuración global,
escribiste VLAN cinco o VLAN 100,
y luego tenías que ir a la interfaz y decir:
switch port access VLAN cinco o switch port access VLAN 100.
Bueno, en un conmutador, si acabo de configurar VLAN cinco
y nada más, eso es un dominio de difusión
que en realidad no se está utilizando para nada.
Lo mismo aqui.
Si configuro mi lista de acceso pero no tengo
cualquier función que lo haga referencia,
solo está ocupando espacio en mi configuración en ejecución.
No está haciendo nada.
Así que una de las primeras características que aprendes
en el nivel CCNA que utiliza listas de acceso
es algo llamado función de grupo de acceso IP.
Ahora bien, esta es una característica de nivel de interfaz,
es una característica de seguridad y es como dice aquí,
un cortafuegos primitivo.
Básicamente está usando la lista de acceso para determinar
si un paquete coincide con una declaración de permiso,
permitir el paso del paquete.
Si el paquete coincide con una instrucción drop,
bueno, debería decir una declaración denegada , filtrarla, descartarla.
Un grupo de acceso IP es direccional.
Así que cuando lo aplicas a una interfaz,
debe especificar si estoy observando el tráfico que ingresa,
eso viene del cable.
¿O estoy mirando tráfico que está saliendo,
que estoy a punto de poner en el cable.
Tienes que especificar la direccionalidad.
Y luego una lista de referencias y acceso
podría ser una lista de acceso con nombre o una lista de acceso numerada
para fines de identificación o clasificación.
Y aquí hay un ejemplo de cómo lo aplicarías.
Observe que estamos en el nivel de la interfaz.
Y usted diría IP grupo de acceso y luego
usted hace referencia a su lista de acceso.
Como grupo de acceso IP uno o grupo de acceso dos.
Y luego especificas tu dirección, adentro o afuera.
Ahora, una cosa que es importante sobre el grupo de acceso IP
característica es que solo puede tenerlo en
una dirección por protocolo.
¿Qué quiero decir con eso?
Bueno, por ejemplo, podría decir IP, solo pondré
pequeños símbolos hash aquí.
Grupo de acceso IP cuatro, permítanme deshacerme de algunos
de estas cosas aquí.
Está bien, podría decir, grupo de acceso IP cuatro.
Y podría decir IP access-group ocho out.
Ahora mismo, si llega un paquete no sabemos
qué es esta interfaz.
Pongamos algo aquí, digamos que es
Ethernet rápido 0/0.
De acuerdo, si entra un paquete , fast ethernet 0/0,
Me detendré y voy a inspeccionar ese paquete
contra mi estándar lista de acceso número cuatro.
Si hay una línea en la lista de acceso cuatro,
una entrada de control de acceso que dice denegar,
Voy a dejar el paquete.
Si hay una línea en mi lista de acceso estándar
que dice permiso que coincide con este paquete,
Voy a reenviarlo,
Lo dejaré entrar en mi dispositivo.
Ahora bien, si hay un paquete que vino en alguna otra interfaz,
fast ethernet 11 o una interfaz serial y mi enrutador
ha decidido que necesita enrutarlo hacia fuera, fast ethernet 00,
bueno, entonces va a mirar la lista de acceso ocho
para tomar esa decisión.
Ahora digamos que vuelvo más tarde y digo,
Grupo de acceso IP, digamos siete en.
Y luego adivina qué?
Va a borrar esta línea.
Porque solo puedo tener una entrada y una salida.
Sea cual sea el más reciente que hayas escrito,
anulará lo anterior
uno era que decía entrante.
Así que juguemos un poco con esto.
Así que vamos a usar esta topología.
Y voy a construir esto desde el CCNA
bastidores que tenemos aquí en el INE.
Entonces, si está utilizando nuestros tokens de alquiler de estantes,
usted podría crear esto por su cuenta.
Y pensé en tener esto preconstruido de antemano,
pero luego pensé que podría usar esto como una buena herramienta de aprendizaje
para ustedes, así que cuando estoy creando una topología
de la nada, el paso número uno es que tienes que saber
con qué tengo que trabajar.
Que equipo fisico tengo, como es fisicamente
cableado, y sé que mi físico
la topología apoya esto.
¿Y cómo sé eso?
Pues porque si alquila tiempo en nuestros racks CCNA CCNP,
así es como se ve la topología LAN.
Esta es cada conexión LAN posible.
Y para que puedas ver de esto, puedo derivar todo tipo
de ciertas topologías.
Entonces, por ejemplo, quiero usar mi conexión
de R1 para cambiar uno.
Eso es justo aquí, voy a usar esta conexión.
Esta conexión no la voy a usar,
así que voy a apagarlo y así
ni siquiera es parte de mi topología.
Usaré esta conexión de R2 para cambiar uno.
Que está justo aquí.
Una vez más, aunque R2 tiene una conexión
para cambiar dos no lo voy a usar.
Voy a apagarlo, desactivarlo,
entonces ni siquiera es parte de mi diagrama.
Usaré esta conexión desde el interruptor uno
para cambiar dos, solo necesito una conexión
para este laboratorio que estoy creando, 0/10.
Así que voy a usar este enlace de aquí.
Voy a apagar los otros.
Entonces, lo que suelo hacer es, en este laboratorio,
Deshabilitaré las interfaces que no uso
porque no quiero que me distraigan.
No quiero que mi tráfico se desvíe en direcciones
No puedo prever, no puedo predecir.
Y luego solo habilitaré con un comando sin cerrar,
esas interfaces son realmente parte de mi topología.
Así que estos números aquí en marrón son las interfaces reales
Voy a usar, como 0/1,
0/2, 0/10 y cualquier cosa que no sea
que se muestra aquí que está en este diagrama no se está utilizando.
Por ejemplo, 13, 14 y 15, cambia tres por completo,
Ni siquiera lo estoy usando.
Así que todas estas conexiones en el interruptor tres
están deshabilitados, no lo estoy usando.
Ahora, una vez que me he dado cuenta de mi topología física,
qué interfaz quiero activa y realmente activa,
y qué interfaces no son relevantes,
entonces lo siguiente es descubrir mi direccionamiento IP.
Entonces se me ocurrieron algunas direcciones muy fáciles,
En cierto modo, lo baso en la interfaz,
fuera de los nombres de los dispositivos.
Supuse que estaba bien, el enrutador uno conectando al interruptor uno,
solo tengamos un montón de unos en la subred.
Cambia uno que se conecta al enrutador dos,
tengamos una combinación de uno y dos,
así es como se me ocurrieron estos
subredes aquí que voy a usar.
Y luego, para mis bits de anfitrión, una vez más,
Traté de hacerlo significativo.
Bien, cambia uno, solo haré que sea .11 para todo.
Cambia dos, haré que sea .22 para todo.
Así que mi esquema de división en subredes de IP tiene sentido para mí.
Y cuando veo estas subredes y mis diversas tablas de enrutamiento,
Voy a ser capaz de visualizar dónde
pertenecen a mi diagrama de topología.
Entonces lo que hago es una vez que tengo todo esto planeado,
este es un gran ejercicio para ti con el fin de
Pon a prueba tus habilidades y tus conocimientos sobre
¿He memorizado los comandos?
¿Realmente conozco bien los comandos?
Esto es lo que hago, abro un editor de texto
como el Bloc de notas, déjame ir a él.
Y escribiré mi configuración en el editor de texto
de principio a fin.
Vale, primero tengo que entrar en el modo de activación,
luego config T, escribiré un nombre de host.
Esta es toda la configuración que el enrutador
uno debería necesitar para esta topología.
Y luego me desplazaré hacia abajo y haré una configuración
para el siguiente dispositivo, el enrutador dos.
Y luego el próximo dispositivo, así que escribiré en el texto
toda la configuración que creo que necesito para cada dispositivo.
Y luego lo copio y lo pego.
Si tenía razón, si no me equivoqué en ninguno de mis comandos,
No recibiré ningún mensaje de error y terminaré.
Si recibo algún mensaje de error , lo sabré,
Oh, está bien, escribí algo mal u olvidé una palabra clave.
Y esta es una gran manera de practicar
su conocimiento de los comandos de iOS,
así que sigamos adelante y hagámoslo.
En realidad, no he implementado nada de esto todavía.
Ojalá todo esté bien.
Así que vayamos al enrutador uno y pongamos esto.
Vale, haré clic con el botón derecho y lo pegaré.
Y todo se ve bien, no hubo mensajes de error.
Muy bien, guarde mi configuración.
Y repitamos ahora con el enrutador dos.
Copiar pegar.
Y hemos terminado con él.
Ahora vayamos al enrutador tres.
De acuerdo, este tipo claramente tiene una depuración en ejecución.
Mostrar depuración, de lo contrario no tendría
visto que no pienso, a ver.
Sí, hay una depuración en ejecución.
Entonces, ¿cómo apago todas las depuraciones si no quiero
ver un montón de cosas?
Depurar todo.
Muy bien y vamos al enrutador cuatro.
Mostrar depuración, ¿tienes algo ejecutándose en ti?
No, eso es bueno.
Bien y luego mis interruptores.
Ahora mis interruptores, los estoy configurando un poco
diferente a lo que hemos estado tratando en los videos.
En los videos, todas mis interfaces físicas
siempre se configuraron como puertos de conmutación de capa dos,
ya sea como modo de puerto de cambio acceso, o modo de puerto de cambio
troncal, o cambiar puerto modo dinámico algo.
Y ciertamente podrías hacer eso, podría haber elegido
tener tres VLAN diferentes porque estas
son tres dominios de difusión diferentes.
Y luego hubiera hecho el acceso al modo de puerto del conmutador
y luego habría necesitado crear una capa tres
interfaz virtual conmutada como interfaz VLAN uno,
interfaz VLAN dos, interfaz VLAN lo que sea.
Pero hay un enfoque alternativo.
Esa es una forma en que podrías hacerlo.
Pero en estos interruptores, porque estos interruptores
son conmutadores multicapa, lo que significa que pueden enrutar,
De hecho, puedo elegir convertir sus puertos
desde un puerto de conmutación de capa dos como acceso o troncal
en lo que se llama un puerto enrutado.
Lo que significa que es como un puerto en un enrutador.
Puede colocarle una dirección IP y
es una interfaz de capa tres.
Y simplemente haga eso encienda los interruptores usando el
sin comando de puerto de conmutación.
Cuando escribe no switch port, entonces le permite
poner una dirección IP como si fuera un puerto en un enrutador.
Y para mí, esto fue más fácil porque no tenía que
crear VLAN, no tengo para crear VLAN de interfaz,
Básicamente puedo convertir este interruptor en un enrutador
con tres interfaces.
Así que sigamos adelante y pongamos eso allí para,
y observe que estoy usando el comando de rango de interfaz
cerrar todas mis interfaces primero
y luego entro selectivamente en cada interfaz,
diga que no cambie de puerto, agregue una dirección IP,
y luego abre la interfaz.
Así que mis configuraciones para mis interruptores
son un poco más grandes.
Oh, está bien, algo no estaba bien.
Así que ahí mismo puedo decir, no me gustó el
sin resumen automático, ahh está bien, así que mira esto.
Así que esta es una gran prueba.
Mientras hace esto, si ve el símbolo de intercalación,
dices oh-oh algo salió mal.
Porque eso indica a iOS no le gustó algo.
Así que al principio parece que no le gustó ningún resumen automático,
pero creo que espera un segundo, ese es un comando válido.
¿Por qué no le gustó eso?
Pero mira, estamos en el nivel de configuración global.
Este es un comando de extracción y entonces si subo un poco
más, ahh, enrutamiento IP no habilitado.
Así que olvidé en mi configuración, probablemente debería
coloque el enrutamiento IP aquí arriba hacia la parte superior.
Y debería hacer eso en el interruptor dos también,
porque necesitará enrutamiento IP.
En realidad, ese es el interruptor dos.
Hagámoslo aquí arriba en el interruptor uno.
Muy bien, intentemos copiar.
No tengo que copiar y pegar todo,
porque muchas de las interfaces ya funcionaban.
Así que en realidad lo que haré es simplemente poner
Enrutamiento de IP aquí mismo.
Y luego lo sacaré aquí arriba.
Está bien porque anteriormente no salí,
si copié y pegué todo esto de nuevo,
porque escribí exit here en el nivel de la interfaz,
Volvería al nivel de configuración global nuevamente.
Y este comando funcionaría.
Así que esto es todo lo que voy a copiar y pegar por ahora.
Ahí vamos y ahora vamos al interruptor dos
y acabar con eso.
Sé que podría haber comenzado como dije,
con todas estas cosas preconfiguradas.
Y para aquellos de ustedes que están viendo el video diciendo:
Ojalá hubieras hecho eso, lo siento,
pero pensé que para aquellos de ustedes que en realidad podrían
estar tratando de construir laboratorios desde cero,
este podría ser un ejemplo útil de una forma de hacerlo.
Y practica tu memorización de los comandos de iOS
al mismo tiempo.
Bien, si todo funciona correctamente,
el enrutador uno ahora debería tener una red conectada
y debe tener una, dos, tres, cuatro rutas
que aprendió vía rip, cuatro rutas rip, cuatro subredes.
Vamos a averiguar.
Mostrar ruta IP.
Y ahí están, son las cuatro rutas de desgarro,
por lo tanto, en este momento, el enrutador uno debería poder hacer ping
todo el camino hasta 2.4.2.4.
Y él puede
Bien, ahora tengo conectividad de extremo a extremo,
practiquemos mi lista de acceso.
Sabemos que con una lista de acceso estándar,
todo lo que puede coincidir es la fuente.
Entonces, antes que nada, escribamos mi objetivo.
Entonces, si está creando un laboratorio para usted mismo o está construyendo
un laboratorio desde cero, necesita tener una clara definición
idea de cuál es mi objetivo en este laboratorio.
¿Qué estoy tratando de probar y cómo voy a probarlo?
Tan objetivo, prueba ACL estándar
función y función de grupo de acceso IP,
y direccionalidad.
Está bien, entonces, ¿cómo voy a hacerlo?
Así que mi objetivo aquí es prevenir los paquetes IP.
procedente de R1 de
haciendo ping a R4.
Así que mi idea aquí es que quiero que R1 pueda
haga ping a todo menos a R4.
Ahora aquí está el problema, yo no debería decir un problema,
pero mi desafío es que una lista de acceso estándar,
No puedo especificar la dirección.
Quiero decir que no puedo especificar el destino.
Todo lo que puedo especificar en una lista de acceso estándar es la fuente.
Siendo ese el caso, veamos aquí,
mi lista de acceso debería ver algo como esto.
Configuración de ACL, lista de acceso y simplemente
elija el número uno porque es una lista de acceso estándar.
Negar y diré, anfitrión, en realidad vamos a
hazlo con una máscara comodín, 1.1.1.1.
Y entonces cual seria la mascara comodín
para que coincida con los 32 bits de ese host, 0000.
O podría haber dicho access-list one deny host, 1.1.1.1.
Eso también hubiera funcionado.
Y necesito poner una declaración de permiso,
porque si no lo hago, que invisible niega cualquier cosa
matará todo, así que la lista de acceso uno permite cualquiera.
Bien, ahora tengo que usar el comando de grupo de acceso.
Que estará en alguna interfaz.
Y diré grupo de acceso IP uno y luego
tiene que proporcionar algún tipo de dirección, ya sea hacia adentro o hacia afuera.
Ahora aquí es donde volvemos a esa diapositiva.
Si vuelvo...
Esta viñeta justo aquí.
Donde decía lista de acceso o lista de acceso estándar,
debe aplicarse más cerca del destino.
Aquí es donde eso va a tener sentido.
Si tomo este grupo de acceso IP y lo pongo,
digamos aquí mismo, pues si lo pongo
la dirección de salida, ¿funcionaría eso?
Eso sería decir, los paquetes de coincidencia salen de esta manera.
Bueno, ¿alguna vez habrá algún paquete saliendo de esta
con una dirección de origen que coincida con 1111?
No, destino sí, pero la dirección de origen va
esta dirección, no, eso no tendría sentido.
Bien, ¿y si lo hiciera de entrada en esta interfaz?
De acuerdo, bueno, eso significa que está llegando un paquete.
que tiene una dirección de origen de 1111, se comparará
y se descartará porque el grupo de acceso
característica dice soltarlo.
Pero eso dejará caer todo desde el enrutador uno.
Mi objetivo no era dejar caer el enrutador uno yendo a todas partes,
mi objetivo era solo si el enrutador uno está intentando
para llegar a este tipo aquí, debería dejarlo.
Y es por eso que una lista de acceso estándar debería
aplicarse lo más cerca posible del destino.
Como no puede especificar el destino, bueno,
podrías pensar oh, está bien bueno, entonces ¿por qué no lo pongo?
aquí de entrada?
Bueno, aquí está el problema con eso.
Si lo pones aquí, enrutador cuatro, en realidad
buscar ese paquete y procesarlo incluso antes de que él
mira la lista de acceso.
Entonces, imaginemos por un momento que el destino
no era un enrutador, pero imagina que esto fuera un servidor
aquí mismo que no admitía listas de acceso
porque no es un dispositivo Cisco.
Es un servidor Windows o un servidor Linux.
Bueno, entonces en ese caso, lo más cerca que pudimos estar
al destino sería aquí mismo en esto.
Y diría que hacerlo en la dirección de salida.
Entonces, si voy a cambiar dos y voy a la interfaz
fast ethernet 0/4 y aplico este comando,
Puse esta lista de acceso en él, en el interruptor dos.
Y luego puse este comando en la dirección de salida.
Veamos cómo va a funcionar esa lógica.
Como R1 hace ping a R4, nadie estará mirando
en su paquete, irá hasta el interruptor uno
para que pueda hacer ping a R2 si quiere.
Puede hacer ping a cualquiera de las direcciones IP en el interruptor uno
si quiere, porque aquí no hay una lista de acceso.
Va todo el camino hacia abajo para cambiar dos, si R1 está tratando de hacer ping
este .22 o este .22, no hay problema.
Pero luego, cuando se enruta fuera de esta interfaz,
si tengo acceso IP-grupo uno fuera,
él dirá espera a un segundo compañero,
Tengo que mirar ese paquete.
Entonces, si ese paquete coincide con 1111 como fuente,
él dirá, voy a dejarlo.
Y eso evitará que el enrutador uno
haciendo ping al enrutador cuatro.
Avancemos y configuremos eso en el interruptor dos
como dice
lista de acceso y podría seleccionar cualquier número en el
rango estándar, solo elegiré uno.
La gente suele empezar con el número más bajo.
Y diré negar host 1111.
O una alternativa a eso sería 1111
y luego una máscara comodín de todos los ceros.
Y luego acceder a la lista de un permiso,
Podría poner cualquier cosa aquí.
Realmente no importa porque ese comodín
mask dice, podría haber usado la palabra any.
Veamos qué sucede realmente aquí.
Mostrar ejecutar incluir lista de acceso.
Así que mira lo que hizo.
Mi lista de acceso de 0000, en realidad
sacó la máscara de comodín.
Podría haberlo escrito como host, pero lo muestra así.
Y esto de aquí decía: Mira, ese número de 32 bits es
sin sentido porque dijiste alguna de las partes
podría igualarlo, realmente no importa.
Así que eso es lo mismo que decir permitir cualquiera.
Y ahora solo falta aplicarlo.
Así que ahora en el interruptor dos, Iré a la interfaz
fat ethernet 0/4 e insertaré mi
Comando IP access-group one out.
Porque estoy monitoreando los paquetes que salen por el cable.
Interfaz ethernet rápido 0/4 Acceso IP-grupo uno fuera.
Muy bien, vamos a probarlo.
Desde el enrutador uno, debería poder hacer ping al enrutador dos.
Porque no hay lista de acceso en el interruptor uno.
Entonces, desde el enrutador uno, veamos si puedo hacer ping a 1212.
1212 y puedo.
Desde el enrutador uno, debería ser capaz de hacer ping a esto
dirección en el interruptor dos.
Debido a que viene en esta interfaz, no hay entrada
lista de acceso aquí, no hay grupos de acceso
aplicado a cualquiera de estas interfaces,
por lo que debería poder hacer ping y luego obtener una respuesta.
Entonces, desde el enrutador uno, hagamos ping a 2.3.2.22.
No hay problema, incluso debería poder hacer ping
esta interfaz de aquí, 2.4.2.22.
Y puedo, pero si un paquete intenta salir
en este cable con una dirección de origen de 1111,
ahora la función de grupo de acceso debería coincidir con eso
y debe ser filtrado o negado.
Así que no debería poder hacer ping a 242.4.
Y yo no puedo.
Estas U, la razón por la que estoy recibiendo estas
Estás aquí, justo aquí...
Eso es el resultado de recibir lo que se llama
Mensajes ICMP inalcanzables.
Así que envié una solicitud de eco ICMP al 2424.
Fue bloqueado por el interruptor, quien tiene la lista de acceso
y la característica de seguridad del grupo de acceso.
Y el interruptor me respondió diciendo:
eso es inalcanzable, no puedes llegar allí,
y eso es lo que es.
Así concluye este video sobre las listas de acceso estándar
y combinándolos con una función de seguridad