Cisco ACL Frage!

[kroliczko 10]

Hallo,

mal eine Frage für Cisco Profis ;-)

 

Was ist eigentlich der Unterschied zwischen den beiden folgenden Arten von access-listen auf Cisco Switchen:

 

interface GigabitEthernet 1/0

ip access-group 110 out

 

access-list 110 permit tcp host 10.10.1.1 any eq 80

access-list 110 permit udp host 10.10.1.1 any eq 53

 

und

 

interface GigabitEthernet 1/0

ip access-group Internet_access out

 

ip access-list extended Internet_access

permit tcp host 10.10.1.1 any eq 80

permit udp host 10.10.1.1 any eq 53

deny ip any any

 

 

wäre dankbar für eine ausführliche genaue Antwort!

 

Gruß

[hforster 10]

technisch keiner !!!

 

nice day

[B@dNeo 10]

gibt eigentlich keinen unterschied, außer das die erste eine number access-list ist und die zweite eine named access-list.

wenn ich mich noch recht entsinne kann man in der named acl die einträge noch ändern, in der numberd nicht.

in der wirkung unterscheiden sie sich nicht.

das implecit deny steht auch nach der ersten acl, wird aber im regelfall nicht angezeigt.

 

gruß

 

B@dNeo

[Wordo 11]

wenn ich mich noch recht entsinne kann man in der named acl die einträge noch ändern, in der numberd nicht.

 

Jop, allerdings nur entfernen, oder ans Ende setzen. Bei einer numbered ACL werden alle Zeilen geloescht wenn man eine entfernen will.

[kroliczko 10]

ok, d. h. im Prinzip gleiche Wirkung!

 

Gibt es eigentlich eine Rgel, die besagt, dass standard ACL sonah wie möglich an die Quelle und die extended ACL sonah wie möglich an die Source platziert werden soll oder umgekehrt???

 

Gibt es so eine Regel eigentlich und falls ja wie ist die richtige Reihenfolge?

welche Sinn steckt eigetlich dahinter?

 

 

anke & Gruß

[Seppim 14]

ok, d. h. im Prinzip gleiche Wirkung!

 

Gibt es eigentlich eine Rgel, die besagt, dass standard ACL sonah wie möglich an die Quelle und die extended ACL sonah wie möglich an die Source platziert werden soll oder umgekehrt???

 

Gibt es so eine Regel eigentlich und falls ja wie ist die richtige Reihenfolge?

welche Sinn steckt eigetlich dahinter?

 

 

anke & Gruß

Hallo

 

Standard ACL immer so nahe ans Ziel wie möglich.

Extended ACL immer so nahe an die Quelle wie möglich

 

weil ...

 

Die Standard ACL prüft nur die Quelladresse.

Da du dadurch aber keine feinheiten einstellen kannst, must du sie so nahe ans Ziel bringen, wie möglich.

Sonst blockst du ein Paket, das "dahinter" noch eine "Abzweigung" genommen hätte.

 

Die Extended prüft Quell und Zieladresse, sowie das Protokoll (TCP,UDP,...) und den Port (http,ftp,...)

Wenn du diese exended so nahe an die Quelle bringst, wie möglich, verringerst du den Traffic, da das Paket erst gar nicht weitergeleitet wird.

 

Gruß

 

Hannes