ACL(Access Control List) 접근제어 목록

[한창호]

* ACL (Access Control List) 접근제어 목록 설정

- 접근제어 목록은 라우터의 출발지 주소와 목적지 주소를 참고하는 라우팅 테이블을 기반으로 만든 패킷 출입 통제 문장이다.

- 패킷 필터링 - 특정 프로토콜을 사용하는 패킷을 전달여부를 조절할 수 있다. 외부의 FTP나 스트리밍으로 트래픽이 많다면 이를 제한할 수 있다.

- 표준 ACL: 1~99, 1300~1999 번호 사용

- 확장 ACL: 100~199, 2000~2699 번호 사용

단계별	예제 코드	설명
PC 설정	PC0   IP: 1.1.1.2     subnet mask: 255.255.255.0     GW: 1.1.1.1  PC1   IP: 1.1.1.3     subnet mask: 255.255.255.0     GW: 1.1.1.1 PC2   IP: 2.2.2.2     subnet mask: 255.255.255.0     GW: 2.2.2.1 PC3   IP: 3.3.3.2     subnet mask: 255.255.255.0     GW: 3.3.3.1
R1 설정	Router# conf t Router(config)# hostname R1 R1(config)# int gi0/0 R1(config-if)# ip add 1.1.1.1 255.255.255.0 R1(config-if)# no shut R1(config-if)# exit R1(config)# int s0/2/0 R1(config-if)# ip add 203.230.7.1 255.255.255.252 R1(config-if)# no shut R1(config-if)# exit R1(config)# int s0/2/1 R1(config-if)# ip add 203.230.7.10 255.255.255.252 R1(config-if)# no shut R1(config-if)# exit R1(config)# router ospf 1 R1(config-router)# network 1.1.1.1 0.0.0.0 area 0 R1(config-router)# network 203.230.7.1 0.0.0.0 area 0 R1(config-router)# network 203.230.7.10 0.0.0.0 area 0
R2 설정	Router# conf t Router(config)# hostname R2 R2(config)# int gi0/0 R2(config-if)# ip add 2.2.2.1 255.255.255.0 R2(config-if)# no shut R2(config-if)# exit R2(config)# int s0/2/0 R2(config-if)# ip add 203.230.7.5 255.255.255.252 R2(config-if)# no shut R2(config-if)# exit R2(config)# int s0/2/1 R2(config-if)# ip add 203.230.7.2 255.255.255.252 R2(config-if)# no shut R2(config-if)# exit R2(config)# router ospf 1 R2(config-router)# network 2.2.2.1 0.0.0.0 area 0 R2(config-router)# network 203.230.7.5 0.0.0.0 area 0 R2(config-router)# network 203.230.7.2 0.0.0.0 area 0
R3 설정	Router# conf t Router(config)# hostname R3 R3(config)# int gi0/0 R3(config-if)# ip add 3.3.3.1 255.255.255.0 R3(config-if)# no shut R3(config-if)# exit R3(config)# int s0/2/0 R3(config-if)# ip add 203.230.7.9 255.255.255.252 R3(config-if)# no shut R3(config-if)# exit R3(config)# int s0/2/1 R3(config-if)# ip add 203.230.7.6 255.255.255.252 R3(config-if)# no shut R3(config-if)# exit R3(config)# router ospf 1 R3(config-router)# network 3.3.3.1 0.0.0.0 area 0 R3(config-router)# network 203.230.7.9 0.0.0.0 area 0 R3(config-router)# network 203.230.7.6 0.0.0.0 area 0
PC0 제외설정 표준 ACL 설정	R1(config)# access-list 1 deny 1.1.1.2 0.0.0.0 R1(config)# access-list 1 permit any R1(config)# int gi0/0 R1(config-if)# ip access-group 1 in  R1(config-if)# ^Z R1# wr	PC0(1.1.1.2)의 출발지 패킷은 제외하고 나머지 허용
PC1 허용설정 표준 ACL 설정	R1(config)# access-list 1 permit 1.1.1.3 0.0.0.0 R1(config)# access-list 1 deny any R1(config)# int gi0/0 R1(config-if)# ip access-group 1 in  R1(config-if)# ^Z R1# wr	PC1(1.1.1.3)의 출발지  패킷은 허용하고 나머지 제외
ACL 동작 상태 확인	R1# show access-list 1 Standard IP access list 1     Permit host 1.1.1.3 (4 match(es))  (출발지 주소 패킷 4개 허용)     deny any (4 match(es))   (그외 주소에서 나온 4개 패킷들은 버림)
ACL 주석문(Remark) 설정	R1(config)# access-list 1 remark PC0 packet deny and PC1 packet permit R1(config)# do show run access-list 1 remark PC0 packet deny and PC1 packet permit
와일드카드 마스크(Wildcard mask)	와일드카드 마스크는 서브넷 마스크의 반대되는 값 서브넷 마스크         와일드카드 마스크 255.255.225.0          0.0.0.255 짝수 IP 주소값 지정:  2032230.7.0   0.0.0.254 홀수 IP 주소값 지정:  2032230.7.1   0.0.0.254 네트워크 203.230.7.1/24 ~ 203.230.7.5/24만 정의하고자 한다면 203.230.7.0/29 로 서브넷 마스크        203.230.7.0  255.255.255.248 와일드카드마스크   203.230.7.0  0.0.0.7
ACL 문장구성 및 순서	R1(config)# access-list 1 deny host 1.1.1.2               ① R1(config)# access-list 1 permit 1.1.1.0  0.0.0.255     ② R1(config)# int gi0/0 R1(config-if)# ip access-list 1 in PC0> ping 2.2.2.1      (불가)	②의 목록을 첫 줄에 작성하고  ①을 둘째 줄에 작성하면  1.1.1.2가 외부와 통신하는 것을 막을 수 없음
ACL을 이용한 원격 접속 제어	R2(config)# access-list 1 permit host 1.1.1.2             ① R2(config)# line vty 0 4 R2(config-line)# password cisco R2(config-line)# login R2(config-line)# access-class 1 in PC0> telnet 2.2.2.1     (R2에 접속 허용) PC1> telnet 2.2.2.1     (접속 불가) PC2> telnet 2.2.2.1     (접속 불가) PC3> telnet 2.2.2.1     (접속 불가)	①을 설정한 후 “access-list 1 deny any” 명령어가 없어도 ACL이 “permit”으로  이루진 경우 “deny any”는 따로 선언하지 않아도 암묵적으로(implicit deny)  라우터에 정의됨
확장 ACL의 설정 PC0->R3 ping (x)	R1(config)# access-list 100 deny icmp host 1.1.1.2 host 203.230.7.9 echo  R1(config)# access-list 100 deny icmp host 1.1.1.2 host 203.230.7.6 echo R1(config)# access-list 100 deny icmp host 1.1.1.2 host 3.3.3.1 echo R1(config)# access-list 100 permit ip any any R1(config)# int gi0/0 R1(config-if)# ip access-group 100 in  PC0> ping 203.230.7.9     (불가) PC0> ping 203.230.7.6     (불가) PC0> ping 3.3.3.1           (불가) PC0> telnet 3.3.3.1         (접속 가능)	PC0가 R3으로 Ping 불가/ Telnet 접속 가능토록  R1에서 설정
확장 ACL의 설정 PC0->R3 ping 불가	R3(config)# access-list 100 deny icmp host 1.1.1.2 host 203.230.7.9 echo  R3(config)# access-list 100 deny icmp host 1.1.1.2 host 203.230.7.6 echo R3(config)# access-list 100 deny icmp host 1.1.1.2 host 3.3.3.1 echo R3(config)# access-list 100 permit ip any any R3(config)# int se0/2/0 R3(config-if)# ip access-group 100 in  R3(config-if)# exit R3(config)# int se0/2/1 R3(config-if)# ip access-group 100 in	PC0가 R3으로 Ping 불가/ Telnet 접속 가능토록  R3에서 설정
확장 ACL의 설정 PC1->R2 텔넷 접속불가	R1(config)# access-list 100 deny tcp host 1.1.1.3 host 203.230.7.2 eq telnet  R1(config)# access-list 100 deny tcp host 1.1.1.3 host 203.230.7.5 eq telnet R1(config)# access-list 100 deny tcp host 1.1.1.3 host 2.2.2.1 eq telnet R1(config)# access-list 100 permit ip any any R1(config)# int gi0/0 R1(config-if)# ip access-group 100 in  PC1> ping 2.2.2.1    (접속 성공) PC1> telnet 2.2.2.1  (접속 불가)	PC1만 R2에 Telnet 접속 불가로  R1에서 설정
Named 표준 ACL PC0->모두 (0) PC1->모두 (x)	R1(config)# ip access-list standard infocomm R1(config-std-nalc)# permit host 1.1.1.3 R1(config-line)# deny any R1(config-line)# exit R1(config)# int gi0/0 R1(config-if)# ip access-group inforcomm in	PC0는 모든 장치에 통신 불가 PC1은 모든 장치에 통신 가능
Named 확장 ACL PC0->R3 ping(x) 불가 telnet(o) 가능	R1(config)# ip access-list extended ping R1(config-std-nalc)# deny icmp host 1.1.1.2 host 1.1.1.3 R1(config-std-nalc)# deny icmp host 1.1.1.2 host 203.230.7.6 R1(config-std-nalc)# deny icmp host 1.1.1.2 host 203.230.7.9 R1(config-std-nalc)# permit ip any any R1(config-std-nalc)# exit R1(config)# int gi0/0 R1(config-if)# ip access-group ping in R1(config-if)# exit R1(config)# do show access-lists    (결과는 뒤 페이지) R1(config)# exit PC0> ping 3.3.3.1           (불가) PC0> ping 203.230.7.6     (불가) PC0> ping 203.230.7.3     (불가) PC0> telnet 3.3.3.1         (접속 가능)

* PC1과 PC3를 서버로 교체한 후 PC1과  PC3가 사용했던 IP주소를 이들 서버에 할당한 후

PC2가 Server0의 http와 ftp에 접속할 수 없도록 R2에 설정하는 ACL작성

단계별	예제 코드	설명
토폴로지 설정	PC: 위와 동일 라우터: 위와 동일 서버 0:   IP: 1.1.1.3 255.255.255.0,  GW: 1.1.1.1 서버 1:   IP: 3.3.3.2 255.255.255.0,  GW: 3.3.3.1
Named 확장 ACL 설정하기 (제1방법) PC2->Sever0 http(x), ftp(x)	R2(config)# access-list 100 deny tcp host 2.2.2.2 host 1.1.1.3 eq www R2(config)# access-list 100 deny tcp host 2.2.2.2 host 1.1.1.3 eq ftp R2(config)# access-list 100 deny tcp host 2.2.2.2 host 1.1.1.3 eq 20 R2(config)# access-list 100 permit ip any any R2(config)# int gi0/0 R2(config-if)# ip access-group 100 in
Named 확장 ACL 설정하기 (제2방법) PC2->Sever0 http(x), ftp(x)	R2(config)# ip access-list extended http_ftp R2(config-ext-nacl)# deny tcp host 2.2.2.2 host 1.1.1.3 eq www R2(config-ext-nacl)# deny tcp host 2.2.2.2 host 1.1.1.3 eq ftp R2(config-ext-nacl)# deny tcp host 2.2.2.2 host 1.1.1.3 eq 20 R2(config-ext-nacl)# permit ip any any R2(config-ext-nacl)# exit R2(config)# int gi0/0 R2(config-if)# ip access-group http_ftp in
PC2에서  Server0: http (x) Server1: http (0)
PC2에서  Server0: ftp (x) Server1: ftp (o)	PC2> ftp 1.1.1.3       (Server0 접속 불가) PC2> ftp 3.3.3.3       (Server1 접속 OK)

* TCP Established  (실제 장비에서 test)

- R1에 tcp established를 설정하여 출발지 주소가 1.1.1.0/24인 경우에만 R2와 통신이 가능하도록 설정해보자.

단계별	예제 코드	설명
R1 설정	Router# conf t Router(config)# hostname R1 R1(config)# int fa0/0 R1(config-if)# ip add 203.230.7.1 255.255.255.0 R1(config-if)# no shut R1(config-if)# exit R1(config)# int loopback 0 R1(config-if)# ip add 1.1.1.1 255.255.255.0 R1(config-if)# no shut R1(config-if)# exit
R2 설정	Router# conf t Router(config)# hostname R2 R2(config)# int fa0/0 R2(config-if)# ip add 203.230.7.2 255.255.255.0 R2(config-if)# no shut R2(config-if)# exit R2(config)# int loopback 0 R2(config-if)# ip add 2.2.2.2 255.255.255.0 R2(config-if)# no shut R2(config-if)# exit
R1에서 tcp established 설정	R1(config)# access-list 100 permit tcp any 1.0.0.0 0.255.255.255 established R1(config)# access-list 100 deny ip any any  R1(config)# int fa0/0 R1(config-if)# ip access-group 100 in R1(config-if)# ^Z R1# wr	출발지가 1.1.1.0/24인 호스트들은 접속 가능
R1에서 tcp established 설정 확인 출발지주소 1.1.1.0/24는 외부와 통신 가능 외부에서 1.1.1.0/24로 TCP 통신은 불가	R1(config)# telnet 203.230.7.2 Trying 203.230.7.2 ... % Connection timed out; remote host not responding R1(config)# telnet 203.230.7.2/source-interface loopback 0 % Invalid input detected at '^' marker.     (패킷트레이서에서는 실행되지 않음) (아래는 실제 라우터에서 실행할 때 결과임) R1(config)# telnet 203.230.7.2/source-interface loopback 0 Trying 203.230.7.2 ... Open User Access Verification Password: R2>en R2# telnet 1.1.1.1 Trying 1.1.1.1 ... % Destination unreachable; gateway or host down (아래는 실제 라우터에서 실행할 때 결과임) R2# telnet 203.230.7.1 Trying 203.230.7.1 ... % Destination unreachable; gateway or host down [Connection to 203.230.7.2 closed by foreign host] R1# show access-lists
Named 확장 ACL에서 중간 삽입 가능 확장 ACL은 지우고 다시 설정해야 함	R2(config)# ip access-list extended inokyuni R2(config-ext-nacl)# permit tcp any host 1.1.1.1 R2(config-ext-nacl)# deny ip any any R2(config-ext-nacl)# exit R2(config)# do show access-list Extended IP access list inokyuni     10 permit tcp any host 1.1.1.1     20 deny ip any any R2(config)# ip access-list extended inokyuni R2(config-ext-nacl)# 15 permit tcp any host 203.230.7.1 R2(config-ext-nacl)# exit R2(config)# do show access-list Extended IP access list inokyuni     10 permit tcp any host 1.1.1.1     15 permit tcp any host 203.230.7.1   (중간에 15번이 삽입됨)     20 deny ip any any R2(config)# exit  R2#
락-앤-키(Lock-and-Key) 인증	R1(config)# username inokyuni password infocomm R1(config)# ip access-list extended LK R1(config-ext-nacl)# permit tcp any host 203.230.7.1 eq telnet R1(config-ext-nacl)# dynamic LK_test permit ip any any  (이 명령 불가) R1(config-ext-nacl)# deny ip any any R1(config-ext-nacl)# exit  R1(config)# int fa0/0 R1(config-if)# ip access-group LK in  R1(config-if)# exit R1(config)# line vty 0 4 R1(config-line)# login local R1(config-line)# autocommand access-enable host timeout 1   (텔넷 접속에서 인증이 되었으면 통신이 가능하도록 설정하고, 타임아웃 값을 설정)  또는 R1(config)# username inokyuni password infocomm R1(config)# access-list 100 permit tcp any host 203.230.7.1 eq telnet R1(config)# access-list 100 dynamic LK_test timeout 1 permit ip any any R1(config)# access-list 100 deny ip any any R1(config)# int se0/0/0 R1(config-if)# ip access-group 100 in  R1(config-if)# exit R1(config)# line vty 0 4 R1(config-line)# login local R1(config-line)# autocommand access-enable host timeout 1 R1(config-line)# exit
락앤키 확인	R2# ping 1.1.1.1 R2# ping 203.230.7.1 R2# telnet 203.230.7.1     (텔넷으로 사용자 인증을 거친 후 테스트를 해보자) R2# ping 1.1.1.1 R2# ping 203.230.7.1 R1# show access-lists
RACL(Reflexive ACL) 내부->외부 (OK) 외부->내부 (불가)	R2(config)# ip access-list extended in_in R2(config-ext-nacl)# permit tcp any any reflect tcp   (이 명령 불가) R2(config-ext-nacl)# permit udp any any reflect udp   (이 명령 불가) R2(config-ext-nacl)# deny ip any any R2(config-ext-nacl)# exit R2(config)# ip access-list extended out_out R2(config-ext-nacl)# eval‎uate tcp   (이 명령 불가) R2(config-ext-nacl)# eval‎uate udp   (이 명령 불가) R2(config-ext-nacl)# deny ip any any R2(config-ext-nacl)# exit R2(config)# int fa0/0 R2(config-if)# ip access-group in_in in  R2(config-if)# ip access-group out_out out R2(config-if)# exit R2(config)#
시간기반 (time-based) 의 ACL 특정시간에만 동작	R1(config)# time range weekday   (이 명령 불가)   R1(config-time-range)# periodic ?    Friday Friday   Monday Monday   Wednesday Wednesday   daily daily   weekday weekday   weekend weekend R1(config-time-range)# periodic weekdays 8:00 to 18:00 R1(config-time-range)# exit R1(config)# access-list 100 permit ip any any time-range weekday R1(config)# access-list 100 deny ip any any time-range weekday R1(config)# int fa0/0 R1(config-if)# ip access R1(config-if)# ip access-group 100 in