- Entonces, en este video, vamos a echar un vistazo a
otro tipo de lista de acceso llamada
una lista de acceso extendida.
En un video anterior, analizamos las listas de acceso estándar.
Observamos que son bastante fáciles de configurar,
porque realmente todo lo que tienes la capacidad de emparejar en
es la dirección IP de origen de una versión de IP
cuatro paquetes y eso es todo.
Y vimos que fundamentalmente, configuras el
lista de acceso con un número.
¿Recuerdas cuál era el rango de números
para una lista de acceso estándar?
Fue de uno a 99.
Y luego hubo un rango ampliado por encima de eso.
Entonces configuró la lista de acceso.
El número, permitir o denegar.
Y luego todo lo que te quedaba después era un número de 32 bits
para que coincida con la dirección IP de origen.
Y luego una máscara comodín para comparar
ese número de 32 bits.
Así que ahora con una lista de acceso ampliada, vamos a tener
una gama mucho más amplia de cosas con las que podemos comparar.
Así como una lista de acceso estándar, con una extensión
lista de acceso si quisiera a, simplemente podría hacer coincidir
en una dirección de origen.
Pero también tienes muchas otras cosas,
incluyendo varios campos en el encabezado de la capa cuatro también.
Así que si quieres comprobar algo,
si quieres clasificar o identificar un paquete
en cualquier cosa que no sea la dirección IP de origen,
esta sería tu opción, la lista de acceso extendida.
Y observe que incluso puede verificar
números de puerto de la capa cuatro.
Entonces, si desea hacer coincidir solo en el tráfico de Telnet
o tráfico de navegación web, tienes ese tipo
de flexibilidad con esto.
Ahora con una lista de acceso estándar, mencioné en la última
video que estaba ubicado idealmente lo más cerca posible
al destino del el tráfico como sea posible.
Porque si colocas la lista de acceso estándar
cerca de la fuente y estás tratando de
evitar que esa fuente vaya a alguna parte,
pues porque no podías especificar el destino,
eso evitaría que esa fuente vaya a alguna parte.
Entonces, si estuviera cerca de la fuente, la fuente no
poder acceder a recursos legítimos.
Además de no poder llegar al destino
que no querías que llegara.
Es por eso que se colocó una lista de acceso estándar
lo más cerca posible del dispositivo de destino,
evitar que el tráfico llegue a él,
justo antes de llegar al destino.
De esa forma, la fuente puede llegar a todo lo demás que necesita.
Bueno, con una lista de acceso extendida , todo lo contrario es cierto
porque tenemos la flexibilidad de especificar ahora
origen y destino, idealmente implementaría
su lista de acceso extendida lo más cerca de la fuente
del tráfico como sea posible.
Y te mostraré eso en la pizarra
en solo un momento
Entonces, las listas de acceso extendido están en el rango de 100 a 199
deberías memorizar eso.
Y al igual que con las listas de acceso estándar,
hay otro rango de números que Cisco iOS reconoce
como ACL extendidas, esto es llamado el rango expandido,
si te quedas sin números aquí.
El rango ampliado es de 2000 a 2699,
eso es 2000 a 2699.
Y como mencioné, listas de acceso extendidas
son capaces de transportar inspección del cabezal.
Así que un ejemplo muy rápido aquí,
ya sabes, ¿por qué sería beneficio para nosotros ponerlo
lo más cerca posible de la fuente?
Digamos que tuviéramos el exactamente el mismo requisito
que teníamos anteriormente.
Dónde queremos que R1 pueda enviar paquetes
en cualquier otro lugar que no sea aquí.
No queremos que R1 pueda enviar ningún paquete IP
a ese destino, 2.4.2.4.
Está bien, con una lista de acceso extendida,
muy bien podríamos ponerlo aquí mismo en esta interfaz.
Podríamos haberlo puesto de salida.
Recuerde, una lista de acceso extendido no hace nada,
a menos que lo emparejes con algún tipo de característica
eso es usarlo.
Y en el último video hablamos sobre el grupo de acceso IP
función de interfaz, esa es una función de nivel de interfaz
que actuó como un tosco cortafuegos.
Como simplemente bloquear o permitir el tráfico.
Y la característica del grupo de acceso IP era direccional,
lo aplicaste en una interfaz y tuviste que contarlo,
¿Es para paquetes que salen de la interfaz?
¿o es para paquetes que entran en la interfaz?
Bueno, ciertamente podríamos replicar exactamente nuestro mismo laboratorio
en el último video, esta vez con un ACL extendido
coincidiendo con una fuente esta vez de ese host
si quisiéramos, 1111.
Y esta vez con una ACL extendida, también podríamos igualar
en el destino, que es 2424.
Y no hay nada que nos impida
utilizando la función de grupo de acceso IP para hacer referencia a esa ACL.
Y el ACL diría negar.
Y luego colocándolo saliente aquí.
Y funcionaría.
Aquí está la desventaja de esto.
La idea es si un paquete finalmente se va a descartar
en algún lugar de la red debido a alguna restricción de seguridad,
¿realmente tiene sentido que deberíamos consumir
ancho de banda en todo tipo de cables para transportar ese paquete?
Consume un poco de tiempo de procesamiento en varios
enrutadores y conmutadores para buscarlo y reenviarlo,
si al final va a ser destruido de todos modos.
Porque si ponemos nuestro grupo de acceso saliente aquí,
recuerde que solo un marco puede ir en un cable a la vez.
Entonces, cuando un marco está en un cable, no hay otros marcos
puede usar ese cable.
Ese es el tiempo que se pierde para otro tráfico legítimo.
Entonces, mientras R1 está poniendo su marco aquí,
nadie más puede usar ese cable.
Y luego, cuando el interruptor uno lo procesa,
una vez más, ese interruptor uno está mirando ese marco,
no tiene la capacidad de mirar hacia arriba
cualquier otro marco, así que eso es tiempo perdido.
Y luego, cuando llega a cambiar dos
y luego está usando algo de ancho de banda en este cable.
Cuando llega a cambiar dos, está consumiendo algo
de su tiempo de procesamiento.
Y finalmente, se dejó caer aquí mismo.
Por eso dicen que es mejor poner un acceso extendido
lista que va a estar eliminando o modificando el tráfico
de alguna manera lo más cerca posible de la fuente.
Entonces, en este caso particular, tendría más sentido
para que pongamos nuestra lista de acceso ampliada aquí mismo
en la dirección de entrada.
De esa manera, cualquier tráfico que se perderá,
bueno, sí, va a consumir un poco de ancho de banda
en este cable, pero no va a molestar a nadie más
en la red, se eliminará mucho antes
consume cualquier recurso en cualquier otro lugar de la red.
Es por eso que una ACL extendida si es posible, es lo mejor
para colocar más cerca de la fuente.
Bien, entonces, ¿dónde puede buscar una lista de acceso extendida?
¿Qué tipos de cosas puede verificar con una ACL extendida?
Bueno, ahora puedes ciertamente verificar la fuente
y la dirección IP de destino.
Puede consultar el número de protocolo.
Y de hecho cuando configura
una ACL extendida, tienes que poner algo
en el campo que comprueba el protocolo.
Ahora tienes algunas opciones aquí.
Entonces, en la lista de acceso estándar , si vuelvo aquí
por un momento, déjame configurar
letra un poco más grande.
Simplemente escribimos, así que solo diré ACL estándar.
Simplemente escriba access-list y luego
le diste algún número.
Por lo general, de uno a 99.
Y eso es lo que pones aquí.
Y después de eso, simplemente dijiste permitir o denegar.
Y eso aplicaba contra cualquier tipo de tráfico IP,
no importaba lo que fuera.
TCP, UDP, todo el tráfico de IP coincidiría con esto.
Y luego tuviste tu fuente.
Y lo pondré debajo aquí
Porque me quedé sin espacio.
Tu máscara comodín.
Ahora con una lista de acceso ampliada,
Voy a abreviarlo aquí un poco.
Entonces, con un LCA extendido, todavía vas a
comience con la lista de acceso y luego un número.
Por lo tanto, ambos se consideran listas de acceso numeradas.
En este caso, probablemente va a ser de 100 a 199,
es probablemente el rango que va a poner aquí.
Y todavía vas a decir justo después de eso,
permitir o negar.
Pero ahora hay un nuevo campo que tienes que poner
antes de poner su fuente y su comodín.
Aquí mismo, tiene una opción de una variedad de cosas.
Básicamente lo que va ahí es imaginar,
Bueno, es mejor mostrártelo.
que tratar de describirlo.
Porque no estoy exactamente seguro qué lógica usan allí
para eso, pero déjame demostrártelo muy rápido.
¿Lista de acceso 101 denegada?.
De acuerdo, puedes denegar todos los paquetes de IP.
si ese sigue siendo tu deseo.
Así que tienes que poner algo aquí.
Puede denegar IP o puede seleccionar
un protocolo que lleva IP.
Por ejemplo, TCP, ese es el protocolo número seis
en el campo del encabezado IP.
UDP, correcto, ese es el protocolo número 17,
entonces al seleccionar una de estas dos cosas,
ahora lo está haciendo coincidir en este campo aquí mismo.
Al seleccionar IP, está ignorando ese campo.
Y solo estás diciendo, todos los paquetes IP.
Así que todas estas otras cosas aquí, aparte de IP,
todas estas otras cosas coinciden con varios números
que entran en este campo de protocolo justo aquí.
Y hay muchas más cosas que entran aquí
que solo lo que ves, así que si hay un particular
protocolo que conoce que no está en esta lista,
pero haces el numero del protocolo,
puede simplemente seleccionar el número en su lugar.
Y luego, una vez que seleccionas eso y tienes que poner algo
allí, entonces puedes poner tu fuente y tu comodín.
Y una vez más, tal vez dirás, bueno, no me importa
sobre la fuente, todo Realmente quiero coincidir
es a donde van estos paquetes.
Está bien, si no te importa la fuente,
simplemente ponga la palabra clave any.
Y luego, después de la fuente y el comodín,
Voy a seguir adelante y seguir aquí.
Voy a envolver la línea alrededor.
Luego, opcionalmente, lo pondré entre paréntesis
y dice opcional, puerto de capa cuatro de fuente.
Y entonces tendrías el destino
IP y un comodín.
Entonces, el puerto de la capa de origen cuatro, dependiendo de la dirección
del tráfico, que podría ser difícil de igualar.
Pero déjame mostrarte un caso de uso en el que podrías
decide que quieres hacer eso.
Así que digamos que tenemos esta topología justo aquí.
Lo haré muy simple.
Aquí hay una PC, aquí hay un servidor, aquí hay un enrutador en el medio.
Solo pondremos una línea a través de ellos.
Y digamos que esta PC es 1.1.1.1.
Y este servidor es 2.2.2.2.
Bien, y digamos que esta PC está tratando de
emitir algún tipo de conexión de navegación web.
Así que sesión HTTP al servidor.
De acuerdo, sabemos que en esta dirección,
si miramos el tráfico en esa dirección,
la IP de origen será 1.1.1.1.
La IP de destino será 2.2.2.2.
El protocolo de capa cuatro será igual a TCP
porque estamos hablando de HTTP.
Y luego aquí abajo, el número de puerto TCP de origen
será, no tenemos idea.
Y luego el número de puerto TCP de destino
será 80 para HTTP.
Observe que cuando se inicia el tráfico
de quien sea que esté iniciando la conversación,
recuerde que la capa cuatro número de puerto de origen,
la mayoría de las veces no siempre, es lo que llamamos
un número de puerto efímero.
No tenemos idea de lo que va a ser en la capa cuatro.
Este dispositivo dice, está bien, tengo una pestaña abierta
en Internet Explorer o una pestaña abierta en Google Chrome.
Entonces, para hacer un seguimiento de esto como individuo
sesión TCP única, solo subiré
con algún número de puerto aleatorio.
Y luego, si abro otra pestaña en Google Chrome
u otra pestaña en Internet Explorer, bueno el
número de puerto de destino será el mismo porque
ambos van a HTTP.
Así que necesito encontrar otro número de puerto aleatorio único.
Entonces, si está tratando de coincidir con este tráfico
yendo de izquierda a derecha y está tratando de hacer coincidir
el número de puerto TCP de origen en este campo aquí mismo,
eso sería casi imposible.
Porque realmente no hay manera de que puedas predecir
que seria
Pero estamos haciendo coincidir el número de puerto de origen,
sería posible, es en el tráfico de retorno.
Porque si pensamos en cuándo responde ese servidor
de vuelta en esa respuesta HTTP, ahora la fuente
será 2.2.2.2, el destino regresará a ese host.
El protocolo de la capa cuatro sigue siendo TCP.
Pero escuche esto, el puerto TCP de origen ahora es 80
porque iba a 80 y ahora 80 está respondiendo.
Y el puerto TCP de destino es lo que sea
ese número de puerto aleatorio era.
Entonces, técnicamente, si dijiste, bueno, quiero bloquear Telnet
sesiones de este host a esta PC,
la mayor parte del tiempo la forma en que la gente haría eso
es que crearían su lista de acceso extendida.
Lo aplicarían de entrada, justo allí en esa interfaz,
y lo que estarían bloqueando sería
la información IP y el puerto TCP de destino de 80
porque podemos coincidir en eso.
Pero en teoría, si quieres, aún podrías
eliminar esta conexión, evitar que se complete,
poniendo en su lugar el comando de grupo de acceso
en esta interfaz en la dirección de entrada
y luego hacer coincidir esto.
Y haciendo coincidir en un puerto de origen de 80.
Ahora podrías pensar para ti mismo,
Bueno, ¿por qué querría hacer eso?
Bueno, aquí hay una razón particular.
Digamos que soy la persona que está a cargo de este servidor
y digo bien este servidor web en particular
es solo para personas en mi departamento de nómina.
Nadie más en mi empresa debería intentarlo
para llegar a este servidor web.
De hecho, ni siquiera deberían saber
que existe.
Así que cualquiera que no esté en la nómina,
Quiero bloquearlos si intentan acceder a este servidor web.
Ahora esta es la cosa, quiero saber si alguien
en la empresa está intentando llegar al servidor web.
Quiero mantener algunas estadísticas sobre eso.
De hecho, en el servidor web quiero tener algunos
programa en ejecución que rastrea todas las solicitudes HTTP entrantes
independientemente de dónde vengan.
Ahora, si no vienen de la nómina, quiero matarlos.
Entonces, cuando el servidor web va a responder a esas solicitudes
de recursos humanos o marketing o ingeniería,
Quiero que el enrutador detenga eso.
Quiero que se detengan, pero quiero que lleguen al servidor
para que mi programa de software pueda rastrear esa información.
Y así puedo ver, oye Joe allí en marketing
sigue intentando abrir este sitio web de nómina.
Ni siquiera se supone que debe saber que existe.
¿Por qué está tratando de hacer eso?
Y ahora puedo investigar un poco.
Pero si bloqueo ese tráfico entrante en el enrutador,
el servidor nunca lo habría recibido.
No habría forma de que yo hiciera un seguimiento de las estadísticas
o rendición de cuentas o algo por el estilo.
Así que esa podría ser una de las razones por las que podrías
quiere que el tráfico llegue al destino
y matarlo en el camino de regreso.
Así que solo una idea, no sé si alguien
allá afuera en el mundo real real hace eso,
pero esa fue una idea que tuve.
Así que puedes ver, también puedes hacer coincidir en el
origen y destino números de puerto TCP o UDP.
Incluso podría coincidir con las banderas de control de TCP.
Un ejemplo de coincidencia en las banderas de control TCP
y esto va un poco mas alto
que el nivel CCNA, pero me gusta explicar, ya sabes,
por qué hicieron estas cosas así.
Entonces sabemos que en cada sesión TCP anterior
cualquier dato TCP se transfiere, los puntos finales tienen que verificar
su existencia verdad?
Y hay algo que sucede al principio
de cada sesión TCP, ¿cómo llamamos a ese proceso?
Eso se llama protocolo de enlace TCP de tres vías.
Entonces el iniciador envía un TCP SYN,
obtenemos un SYN más un ACK y luego un ACK.
Ahora, en ese punto, todo el resto del tráfico TCP
que va y viene siempre va a tener
el bit ACK establecido.
Todo en cualquier dirección porque ambos son
se reconocerán unos a otros en cada TCP
segmento que vuela de un lado a otro.
Entonces, a veces, lo que la gente hace es decir bien,
Solo quiero permitir sesiones TCP.
Tal vez digas bien, esta parte de mi red
es la parte segura de mi red.
Esta es la parte de la red que debe ser
iniciando sesiones TCP.
Siempre deberían empezar de esta manera.
Entonces, si el tráfico siempre comienza de esta manera
y no quiero que este lado inicie,
este lado es quizás el internet público.
Y no quiero que entre tráfico del público
Internet si se está iniciando desde Internet.
Solo debe ser en respuesta a algo en mi empresa.
Bueno, si siempre se está iniciando aquí,
eso significa que cada uno de los segmentos TCP que provienen de este
dirección siempre tendrá el bit ACK establecido, ¿no es así?
Este será el único marco, el primer segmento TCP
tendrá el bit SYN establecido.
Después de eso, todo lo demás tendrá el bit ACK establecido.
Así que podría decir, está bien, voy a aplicar mi lista de acceso
entrante aquí y solo voy a permitir TCP
segmentos que tienen el bit ACK establecido.
Si el bit ACK está configurado, eso significa que estos tipos están
respondiendo a algo que se inició aquí.
Si intentan iniciar algo con un SYN,
que se dejará caer.
Porque el bit ACK no se activará allí.
Y eso se llama una sesión establecida.
Una sesión TCP establecida es una que tiene el bit ACK establecido.
Así es como a veces la gente usa esas banderas de control.
Dicen coincidencia en cualquier sesión TCP siempre que
el bit ACK está activado.
Y esa es una forma de hacer cumplir ese tipo de cosas.
Vale, ya hemos mirado
un poco en la configuración de esto.
Así que hagamos un laboratorio rápido sobre esto.
Voy a usar exactamente la misma topología que usamos
en el laboratorio anterior para la lista de acceso estándar.
Y como dije, cuando estás trabajando en un laboratorio
por ti mismo desde el principio,
siempre debes identificar cuál es tu objetivo,
lo que intenta lograr con este laboratorio.
Entonces, en mi objetivo, voy a escribir aquí.
Objetivo, probar la funcionalidad ACL extendida
negando cualquier tráfico Telnet procedente de
la subred 1.1.1.x/24 destinada a
la subred 2.4.2.0 y permitiendo
todos los demás tipos de tráfico.
Así que eso es lo que voy a tratar de hacer.
Ese va a ser mi objetivo.
Muy bien, pensemos en esto.
En primer lugar, sigamos adelante y creemos
cómo se verá la lista de acceso.
Y luego averiguaremos dónde queremos aplicarlo.
Así que diremos, lista de acceso y normalmente solo
use el primer número allí, 100.
Y quiero negar y estoy hablando del tráfico de Telnet.
Ahora recuerda, tengo que poner algo aquí.
O pongo IP, ahora si pongo IP,
eso va a negarlo todo.
Si pones IP en este campo, en ese punto has perdido
la capacidad de hacer coincidir cualquier información de la capa cuatro.
Una vez que coloque IP aquí, Cisco iOS en ese punto,
no te dará ninguna habilidad para emparejar
cualquier cosa de la capa cuatro.
Entonces, si quiero hacer coincidir, en la información de la capa cuatro,
Tengo que averiguar cuál es el protocolo de la capa cuatro.
Bueno, en este caso, sería TCP.
Porque Telnet se transporta en TCP.
Y luego en mi fuente, colocaré la subred.
Y tengo que poner una máscara comodín que coincida con eso.
Y luego pongo el destino en la máscara comodín.
Y luego aquí, podría poner EQ23,
porque Telnet es el puerto TCP 23.
Ahora bien, si lo dejo así,
dondequiera que aplique esto, todo se eliminará.
Porque recuerda, al final de cada lista de acceso,
es esa negación implícita todo lo que no puedes ver.
Así que ahora necesito crear una línea más
eso permitirá todo lo demás.
IP desde cualquier origen a cualquier destino.
Así es como podría crearse mi lista de acceso .
Ahora dijimos que la mejor manera de hacer esto es colocar
lo más cerca posible de la fuente.
Así que creo que deberíamos colocar esa lista de acceso
entrante directamente en esta interfaz.
Así que diré, grupo de acceso 100 entrante
y ahí es donde lo voy a poner.
En realidad, es un grupo de acceso IP para ser técnicamente preciso.
Así que eso es lo que voy a hacer.
Entonces, para probar esto, para empezar,
Necesito habilitar un par de estos enrutadores,
R4 y quizás otro dispositivo para Telnet.
Lo que significa que tengo que ir a mis líneas VTY
y configurar algunas contraseñas, déjame hacer eso
en R3 y R4.
Línea VTY 04 y solo diremos contraseña INE.
Te escribiré el comando completo.
Bien, ahora si trato de Telnet al dispositivo
Voy a tener que proporcionar una contraseña de INE.
Y en el enrutador cuatro, haré exactamente lo mismo.
Bien, ahora iré al enrutador uno.
y verifique que puedo hacer ping y Telnet en ambos dispositivos.
Probemos primero con el enrutador tres, 2323.
Ping 2.3.2.3, sí, puedo hacer ping.
Veamos si puedo iniciar una sesión de Telnet.
Sí, puedo.
Bien, ahora verifiquemos puedo hacer lo mismo
al enrutador cuatro, 2424.
Ahh, todavía tenemos nuestra lista de acceso
del laboratorio anterior sobre el interruptor,
por eso no funciona.
Así que tengo que ir a cambiar dos.
Pregunta de revisión, ¿cuál es el comando que escribo,
Quiero borrar esta lista de acceso, pero no recuerdo
cuál era el número que configuré.
Aparte de hacer show run, siempre podríamos hacer show run,
¿Qué otro comando podría escribir para ver
¿Qué listas de acceso están configuradas actualmente en este cuadro?
Bueno, espero que hayas dicho mostrar la lista de acceso de IP.
Bien, entonces es la lista de acceso uno.
Ahora otra cosa que quiero averiguar.
Claramente esta lista de acceso está siendo utilizada
por el comando IP access-group.
Que está en alguna interfaz y es por eso que mi ping falló.
Pero esto no me muestra qué interfaz
tiene ese comando de grupo de acceso IP.
Cualquier idea sobre qué comando mostrar
Podría emitir para ver eso?
Bueno, lo que empezaría haciendo es mirar
en mi diagrama de topología.
Claramente dondequiera que esté, no está en esta interfaz.
Porque esta interfaz sería irrelevante,
que nunca impediría el tráfico.
Así que tiene que estar en Fast Ethernet 010
o fast ethernet 0-4, uno de esos dos.
Así que voy a revisar esos.
Puedes hacer la interfaz IP show
y luego ethernet rápido 0/10.
Y lo que está buscando aquí, es esta sección.
Esto dice que en esta interfaz hay
no se aplican listas de acceso.
Así que echemos un vistazo a la otra interfaz.
Y ahí vamos, la lista de acceso saliente es una.
Así que técnicamente no tengo que borrar la lista de acceso uno.
Todo lo que realmente tengo que eliminar es el comando de grupo de acceso
eso es en realidad en esta interfaz.
Porque una vez que elimine eso, la lista de acceso ni siquiera
ser usado por cualquier cosa.
Así que interfaz ethernet rápido 0/4 sin grupo de acceso IP uno,
y dice que es saliente, entonces estaría fuera.
Ahora continuaré y borraré la lista de acceso.
Déjame mostrarte otro muy importante
punto sobre las listas de acceso.
En primer lugar, echemos un vistazo a la actual
lista de acceso, creo que es bastante corta.
Creo que solo tiene como dos líneas.
Vale, sí, así que tiene dos líneas.
Permítanme agregar dos líneas al azar
para poder mostrarles lo que estoy a punto de demostrar aquí.
Sólo voy a inventar algo.
Y eso es lo suficientemente bueno.
Bien, echemos un vistazo a mi lista de acceso.
Está bien, ahí está.
Ahora digamos que dije, oh esta línea fue un error.
No quise poner eso ahí,
Quiero deshacerme de esa línea.
Muy bien, vamos a deshacernos de eso aquí.
Muy bien, eso debería hacerlo, Enter.
Bien, ahora recuerda dónde estaba la lista de acceso,
estaba algo así por debajo de mis cosas copiadas, ¿verdad?
Veamos mi lista de acceso ahora.
Muy bien, está justo debajo de la configuración de extracción,
por ahí, vamos a ver.
Y ah, ¿dónde está?
¡Se fue!
Ese es el punto que quiero hacer.
Con una lista de acceso numerada, al eliminar cualquier
de las líneas, las borra todas a la vez.
Punto muy importante.
En retrospectiva, lo que debería haber hecho es si realmente
quiero eliminar solo esta línea,
Debería haber copiado toda esta lista de acceso
en un editor de texto como WordPad o Bloc de notas o algo así.
Eliminé la línea allí y luego, cuando supe
que nadie estaba en mi red,
porque voy a tener un agujero de seguridad temporal aquí
haciendo esto por un segundo o dos,
como a las seis de la mañana o a las tres de la mañana,
inicie sesión en este dispositivo, elimine toda la lista de acceso.
Porque esa es la única forma en que puedes hacerlo.
Elimínelo todo y luego rápidamente copie y pegue
la versión revisada.
Esa sería la única manera de hacerlo.
No debería decir que esa es la única forma de hacerlo.
Hay formas más complicadas, pero en el nivel CCNA,
eso es lo que quieren que saques de esto.
Bien, ahora que he hecho eso,
volvamos al enrutador uno.
Ahora debería poder hacer su ping al enrutador cuatro, puede hacerlo.
Ahora debería poder hacer su Telnet
al enrutador cuatro y él puede.
Muy bien, ahora avancemos e implementemos esta lista de acceso
y lo haré de entrada en el interruptor uno
en su interfaz fast ethernet 0/1.
Bien, la lista de acceso 100 niega TCP,
la subred de origen de donde vendrá el tráfico.
La subred de destino de donde se dirige el tráfico.
Y puedes ver aquí si hago un signo de interrogación,
en realidad hay bastantes algunas cosas aquí que podría hacer.
Incluso puedes hacer un rango de tiempo.
Pero se podría decir que quiero coincidir con cualquier número de puerto
que son mayores que un determinado número de puerto.
O menos de un determinado número de puerto.
Pero en este caso particular, quiero hacer coincidir
un número de puerto específico, puerto número 23 que es Telnet.
Así que voy a decir igual, hacer coincidir solo paquetes en
este número de puerto dado.
Así que diré EQ y luego si hago el signo de interrogación,
en realidad se puede ver, ya es consciente.
Podría escribir EQ Telnet, eso funcionaría.
Sin embargo, una pequeña pista, cuando hace el examen CCNA,
esperarán que sepa muchos de estos números de puerto.
No todos ellos, esta es una lista monstruosa aquí.
Déjame decirte cuáles algunos de los números de puerto
son los que debería haber memorizado antes del examen.
Al menos en lo que respecta a TCP.
Quieres saber que BGP es 179.
Quiere saber que FTP usa 20 y 21,
esos son importantes
Quieres saber que SMTP es el puerto 25.
Quieres saber que Telnet es el puerto 23.
Y quieres memorizar esa navegación web
o HTTP es el puerto 80.
Definitivamente quiero hacer algunas tarjetas didácticas para ti
y memorizar esos números de puerto TCP.
Y ahora voy a crear mi segunda línea
permitiendo todo lo demás, está bien, genial.
Y ahora necesito aplicar la lista de acceso.
Así que pasaré a mi fast ethernet 0/1
y aplicar eso con el comando de grupo de acceso
en la dirección de entrada.
Grupo de acceso IP 100 pulg.
De acuerdo, para probar esto ahora, el enrutador uno todavía debería poder
a Telnet y haga ping al enrutador tres, 2323.
Y él puede
Todavía debería poder hacer ping al router cuatro, 2424.
Y puede, pero ya no debería poder hacer Telnet
al enrutador cuatro, y no puede.