Access-lists (ACL) – списки контроля доступа. Контроль доступа к порту.
	Существует несколько разновидностей аксесс-листов, применяемых на маршрутизаторах и коммутаторах Cisco. Аксесс-листы используются для фильтрации трафика или для определения классов трафика при применении политик. Список доступа представляет собой набор строк вида условие-действие. Условием может быть соответствие пакета определенному протоколу или набору параметров. Действием может быть разрешение пакета (permit), либо запрещение (deny). Для списков доступа справедливы следующие правила:

o	Созданный список доступа не действует, пока он не применен к конкретному интерфейсу.
o	Список доступа применяется на интерфейсе в конкретном направлении – для исходящего, либо входящего трафика (inbound/outbound).
o	К интерфейсу можно применить только по одному аксесс-листу на протокол (ip), на направление (in/out).
o	Список доступа проверяется строка за строкой до первого совпадения. Оставшиеся строки игнорируются.
o	В конце любого IP аксесс-листа подразумевается запрещающее правило (implicit deny). Пакет, не попавший не под одно условие в списке, отбрасывается, в соответствии с правилом implicit deny.
o	Рекомендуется более специфические правила указывать в начале аксесс-листа, а более общие – в конце.
o	Новые строки по умолчанию дописываются в конец списка.
o	Отдельную строку можно удалить из именованного аксесс-листа, другие ACL удаляются лишь целиком.
o	Список доступа должен иметь по крайней мере один permit, иначе он будет блокировать весь трафик.
o	Интерфейс, которому назначен несуществующий аксесс-лист не фильтрует трафик.
o	IP Extended Access-lists применяются как можно ближе к источнику трафика. 

Строки доступа нумеруются с шагом 10 по-умолчанию. Можно перенумеровать аксесс-лист с другим шагом. Можно добавить строку пронумеровав – она попадет в указанное место, по нумерации.

Наибольшей гибкостью по настройке обладает Именованный расширенный Access-list (см. ниже)

Стандартный Access-list
	Фильтрует только по ip адресу источника. Должен иметь номер в диапазоне 1-99. Пример:

	access-list 10 deny host 172.16.30.2 – запретить ip источника
	access-list 10 permit any            - разрешить всё

Расширенный Access-list
	Фильтрует по адресам источника и получателя, по протоколам 3, 4 уровня. Должен иметь номер в диапазоне 100-199. Пример:

access-list 110 deny tcp any host 172.16.30.2 eq 22
 								- запретить tcp от всех на хост с портом 22
access-list 110 deny ip 192.168.160.0 0.0.31.255 any
-  запретить ip от сети по шаблону на всех
access-list 110 permit ip any any             - разрешить всё

Применение к интерфейсу
conf t					- переход в режим конфигурирования
int fa 0/0				- переход к интерфейсу FastEthernet0/0
  ip access-group 110 in		- применить ACL 110 на вход
  ip access-group 120 our	- применить ACL 120 на выход

Применение к линиям доступа telnet
conf t					- переход в режим конфигурирования
line vty 0 4				- переход к линиям vty с 0 по 4
  access-class 10 in		- применить ACL 10 на вход

Включение удаленного доступа к коммутатору/маршрутизатору по паролю

conf t					- переход в режим конфигурирования
username XXX secret 0 YYY	- создание пользователя XXX с паролем YYY
enable secret 0 ZZZ			- отдельный пароль админ-режима ZZZ
line vty 0 4				- переход к линиям vty с 0 по 4
	login local			- разрешать вход по вышезаданным паролям

Именованный расширенный Access-list
	Фильтрует по адресам источника и получателя, по протоколам 3, 4 уровня. Должен иметь имя. Возможно удалять отдельные строки. Пример:

ip access-list extended INET      - создать список с именем INET
  deny tcp any host 172.16.30.2 eq 22  - запретить tcp от всех на хост с портом 22
  deny ip 192.168.160.0 0.0.31.255 any -  запретить ip от сети по шаблону на всех
  permit ip any any         				    - разрешить всё

Контроль доступа к порту коммутатора - Switсhport security
	Порт коммутатора можно защитить от несанкционированного подключения устройств. Возможно прописать mac адреса устройств, которым разрешено подключатся к порту. Возможно автоматическое определение и привязка мак адреса к порту коммутатора, в таком случае порт запомнит первый полученный адрес. Также возможно определить количество безопасных мак-адресов на порту. Десйтвия, которые порт может выполнить при нарушении политики:
	protect – при превышении максимального количества мак-адресов на порту, пакеты с новыми адресами отбрасываются;
	restrict – при превышении пакеты отбрасываются, отправляется syslog и SNMP-trap;
	shutdown – при превышении порт выключается. Включить порт может только администратор командами shutdown, no shutdown.
	Для включения контроля мак-адресов на порты используются следующие команды:

conf t	               - переход в режим конфигурирования
int fa 0/10                                     - переход к интерфейсу FastEthernet0/10
   switchport mode access       - включение режима доступа       
   switchport port-security       - включение контроля мак-адресов
   switchport port-sec mac-address sticky   - указание режима запоминания мак-адресов
   switchport port-security mac-address max 2        - запомнить максимум 2 адреса
   switchport port-security violation shutdown
        - при получении новых адресов выключить порт

Топология сети:

Таблица адресации:

Mgmt VLAN 100:	10.0.0.0    	255.0.0.0

   Border  		 int Fa 0/0.100     10.0.0.1
   Basement  		 int Vlan100	     10.0.0.20
   BlackBooks 		 int Vlan100 	     10.0.0.30

Buhgalter VLAN 55: 55.0.0.0   255.255.255.0

   Border   		 int Fa0/0.55 		55.0.0.1
   GlavBuh PC        55.0.0.2
   Manager PC      	 55.0.0.50
   Server-1C         55.0.0.100

Users  VLAN 93:   193.93.93.0  255.255.255.128

    Border  		 int Fa0/0.93    193.93.93.1
    Admin PC         193.93.93.2
    Boss PC          193.93.93.3

Inet
    Border Fa 0/1    117.0.0.2   255.255.255.252
    ISP              117.0.0.1  255.255.255.252
Задание:
Настроить в сети списки контроля доступа.
Разрешить выход в Интернет для администрации (ADMIN, BOSS, GlavBuh).
Запретить менеджерам доступ в Интернет. Запретить вход из Интернета в бухгалтерскую сеть (оставить интернет только GlavBuh). 
На интерфейсы управления коммутаторам разрешить вход только ADMIN’у.
Настроить на порту менеджера контроль доступа по мак-адресам с автоматической привязкой одного адреса.