Packet Tracer ACL Beispiele: Standard- und Extended-ACL-Labor

ACL-Richtlinie und Labor vor den Befehlen planen

Setze Client-A in 192.168.10.0/24, Client-B in 192.168.20.0/24 und Server-1 auf 192.168.30.10/24. Verbinde alle drei Netze mit R1, gib dem Router 192.168.10.1, 192.168.20.1 und 192.168.30.1 und prüfe vor der ACL vollständige Erreichbarkeit. Eine funktionierende Ausgangslage trennt ACL-Fehler von Kabel-, Schnittstellen-, Adress- und Routingproblemen.

Schreibe die Richtlinie in Klartext: Client-A darf das Servernetz erreichen, Client-B darf Server-1 nicht erreichen und anderer Verkehr bleibt erlaubt, sofern die Aufgabe nichts anderes verlangt. Notiere für jeden Test Quelle, Ziel, Protokoll, Port, Schnittstelle, Richtung und erwartetes Ergebnis.

1. 1

   Aufbauen und adressieren

   Erstelle drei Netze und aktiviere alle Router-Schnittstellen.

2. 2

   Ausgangslage beweisen

   Teste vor dem Filtern die Erreichbarkeit.

3. 3

   Ergebnisse festlegen

   Liste erlaubte und verworfene Fälle genau auf.

4. 4

   Saubere Kopie speichern

   Behalte eine PKT-Datei ohne ACL zum Vergleich.

Standard-ACL und erweiterte ACL vergleichen

Eine Standard-IPv4-ACL vergleicht nur die Quelladresse. Sie eignet sich, wenn ein ganzes Quellnetz zugelassen oder gesperrt werden soll. Da sie Ziel und Dienst nicht unterscheiden kann, liegt sie normalerweise nahe am Ziel, damit die Quelle andere Netze weiterhin erreicht.

Eine erweiterte IPv4-ACL kann Protokoll, Quelle, Ziel und TCP- oder UDP-Ports vergleichen. Damit lässt sich HTTP erlauben und ICMP sperren oder ein Client gegenüber einem bestimmten Server blockieren. Platziere sie nahe an der Quelle, damit unerwünschter Verkehr früh verworfen wird.

Standard-ACL-Beispiel: ein Quellnetz sperren

Um 192.168.20.0/24 am Zugriff auf das Server-LAN zu hindern, verwende access-list 10 deny 192.168.20.0 0.0.0.255 und danach access-list 10 permit any. Die ausdrückliche Erlaubnis ist nötig, weil die unsichtbare Schlussregel alles nicht zuvor passende verwirft.

Wende Liste 10 ausgehend auf der Schnittstelle zu 192.168.30.0/24 an: interface g0/2 und ip access-group 10 out. So kann Client-B andere Netze erreichen und wird nur auf dem Weg ins geschützte Servernetz gefiltert.

1. 1

   Deny erstellen

   Sperre 192.168.20.0 mit 0.0.0.255.

2. 2

   Andere Quellen erlauben

   Setze permit any vor das implizite deny.

3. 3

   Nahe am Ziel anwenden

   Binde die ACL ausgehend am Server-LAN.

4. 4

   Beide Clients testen

   Client-B scheitert, Client-A bleibt erreichbar.

Scheitern beide Clients, prüfe zuerst permit, Schnittstelle und Richtung.

Erweitertes ACL-Beispiel: Web erlauben und ping sperren

Erlaube HTTP von 192.168.10.0/24 zu Server-1 mit access-list 110 permit tcp 192.168.10.0 0.0.0.255 host 192.168.30.10 eq 80. Sperre danach ICMP echo mit access-list 110 deny icmp 192.168.10.0 0.0.0.255 host 192.168.30.10 echo. Füge permit ip any any nur hinzu, wenn die Richtlinie übrigen Verkehr erlaubt.

Wende ACL 110 eingehend an der R1-Schnittstelle zum Netz 192.168.10.0/24 an. Zeilen werden von oben nach unten geprüft; der erste Treffer entscheidet. Für HTTPS muss eine Erlaubnis für Port 443 vor einer breiteren Sperre stehen.

1. 1

   Dienst erlauben

   Setze die genaue TCP-Portregel zuerst.

2. 2

   Verkehr sperren

   Vergleiche ICMP oder den verbotenen Dienst.

3. 3

   Rest entscheiden

   Nutze eine Schlussfreigabe nur bei Bedarf.

4. 4

   Nahe an der Quelle anwenden

   Binde eingehend und teste erneut.

Wildcard-Maske und Richtung richtig wählen

Bei zusammenhängenden Netzen ziehst du jedes Oktett der Subnetzmaske von 255 ab. 255.255.255.0 wird 0.0.0.255 und 255.255.255.192 wird 0.0.0.63. Ein Nullbit muss übereinstimmen, ein Einsbit darf variieren. Verwende host 192.168.30.10 für eine Adresse und any nur für tatsächlich alle Adressen.

Die Richtung wird aus Sicht des Routers gelesen: in bedeutet Eintritt in den Router, out bedeutet Austritt. Verfolge ein Testpaket von Quelle zu Ziel und markiere, wo es R1 betritt und verlässt.

Erlaubten und verworfenen Verkehr prüfen

Führe für jede Richtlinie mindestens einen positiven und einen negativen Test aus. Ein fehlgeschlagener ping beweist nur einen Fehler, nicht die richtige ACL-Wirkung. Teste Client-A und Client-B zu Server-1 sowie zu einem unabhängigen Ziel. Für Dienstregeln aktiviere HTTP am Server und verlasse dich nicht nur auf ping.

Mit show access-lists prüfst du Reihenfolge und Trefferzähler, mit show ip interface die angewendete ACL und Richtung, mit show running-config die Syntax. Im Simulation-Modus lassen sich ARP, ICMP, TCP und HTTP filtern, um den Stoppunkt des Pakets zu beobachten.

• Bestätige die Grundverbindung für erlaubten Verkehr.
• Lass den Sperrtest genau auf Quelle, Ziel, Protokoll und Port passen.
• Prüfe nach jedem Test die Trefferzähler.
• Speichere erst, wenn Belege und Richtlinie übereinstimmen.

Reihenfolge, Platzierung und implizites deny beheben

Prüfe zuerst Kabel, Schnittstellenstatus, Adressen, Masken, Gateways und Routen. Bestätige dann die ACL, lies sie von oben nach unten und kontrolliere Schnittstelle und Richtung. Suche nach einer breiten Regel vor einer genauen, einer falschen Wildcard, einem Port an der falschen Stelle oder einer fehlenden Erlaubnis.

Ändere jeweils nur eine Bedingung und wiederhole dieselben Tests. Bleibt ein Zähler null, erreicht der Verkehr die Zeile nicht oder trifft früher. Steigt der falsche Zähler, korrigiere Reihenfolge oder Kriterien statt wahllos Befehle anzuhängen.