Access-list (ACL)

       
          Access Control List (ACL) คือ การกรอง packet ทีจะเข้าออก Router ให้เป็นไปตามเงื่อนไข ทีเราต้องการและมีส่วนช่วยในเรื่องของ IT Security แต่มีข้อเสียคือไปเพิ่ม load cpu ให้กับRouter เพราะ หน้าทีหลักของ Router คือการพา packet ไปให้ถูกเส้นทางหรือการหาเส้นทาง ไม่ใช่ทําหน้าที่กรอง packet และการตั้งค่า ACL ที่ผิดพลาด จะส่งผลให้Network มีปัญหาได้ การกรอง packet ควรจะเป็นหน้าที่ของ Firewall มากกว่า แต่สําหรับ Network ที่ไม่ใหญ่มาก หรือบริษัทที่มีงบประมาณน้อย การทํา ACL บน Router นั้นก็เป็นทางเลือกหนึ่งที่น่าสนใจ และ ACL ยังเป็นหัวข้อหนึ่งสําหรับผู้ที่ต้องสอบ Cert. CCNA

          การ config ACL บน Router CISCO นัน ทําได้ 2 วิธีการ คือวิธีการแบบตัวเลข และวิธีการแบบชือ (Name ACL) ในทีนีจะสอนเฉพาะวิธีการแบบตัวเลขเท่านัน ACL แบ่งเป็ น 2 ประเภท คือ
          1) ACL แบบ Standard ใช้ตัวเลข 1-99
          2) ACL แบบ Extended ใช้ตัวเลข 100-199

- Standard ACL จะกรอง traffic เฉพาะ source address เท่านั้นตัวเลขที่ใช้คือเลข 1-99 (เฉพาะ protocol IP )

config#access-list 10 deny 172.16.1.6     ให้ทำการ deny ทุก port ที่เข้ามาจาก ip 172.16.1.6

config#interface gi/fa x/x
          config-if#ip access-group 10 [in or out]

คำสั่งตรวจสอบ access-list
-show access-list

[TIP] การเปิด telnet
password only
config#line vty 0 4
config-vty#password [password]
config-vty#login


username, password
config#line vty 0 4
config-vty#login local


* config#username [string username] password [string password]

Credit: http://www.jodoi.com/

reference:
การทำ access-list โดยใช้ในการ forware port
ต้องใช้แบบ extanded 100-199 วางไว้ใกล้ๆ souce  standart 1-99 วางไว้ที่ปลายทาง

ขั้นตอนการทำ

router(config)access-list [100] petmit tcp host [ip camera] eq [port] any
router(config)access-list [100] petmit udp host [ip camera] eq [port] any
router(config)access-list [100] petmit ip any any


ที่ขา interface ให้รุ้ว่าจะให้ access list-group ไหน in หรือ out

router(config-if)ip access-group [number]  {in,out}

-----------------------------------------------------------------

การกำหนด acess-list [name]

ขั้นตอนการ config
router(config)# ip access-list [standard,extended] [name]
router(config-ext-nacl)#{dyny,permit}

-----------------------------------------------------------------

หรือการทำ access to control vty access

example

access-list 12 permit 192.168.1.0 0.0.0.255
หรือ
access-list 12 deny any   ## คือปฏิเสธไม่ให้ทุก ip เข้าไป telnet เพราะว่าไปประกาศ access-list ขา in เอาไว้ที่
line vty ครับ

line vty 0 4
access-class 12 in


-----------------------------------------------------------------