15.Видео уроки Cisco Packet Tracer. Курс молодого бойца. Access-List

[@vahesahakyan2977]

Уроки просто супер. Не верю своим глазам, какие уже могу составить сложные сети (для моего уровня) и все благодаря вашему курсу. Огромное спасибо. На этом уроке Вы питались настроить сразу несколько subinterface с помощю команды Router(config)#interface range fa0/0.2-4, но надо было написать Router(config)#interface range fa0/0.2-fa0/0.4

[@sdls5858]

спасибо за подксазку!

[@Nur_0609]

Йоу поможешь вот Как изменить фильтры списка событий?

[@galixu3420]

@Nur_0609 йоу чел его уже давно нет в живых а ты так к нему обращаешься ни капли уважения

[@Nur_0609]

@@galixu3420 мне откуда знать земля ему пухом и тем более и ещё я ему сказал помочь а как мне с ним обращаться странный ты конечно

[@Nur_0609]

@@galixu3420 это у тебя нет уважения к людям если ты так сразу говоришь вердикт

[@in3rtic1]

Чувак, объясняешь в разы лучше, чем на офф курсах сиско и хакинга. Красавчик! Серьезно.

[@HK-cn7wc]

за облако для декорации - лайк))

[@andreykarajyan7006]

Пишу из 2024 ,спасибо, очень понятно объясняешь

[@till_pl]

Домашнее задание: удаляем стандартный access list вместо него создаем расширенный: ip access-list extended 1C permit ip 192.168.2.0 0.0.0.255 host 192.168.5.2 permit ip host 192.168.3.100 host 192.168.5.2

[@Bekzhan1986]

класс молоцом, сработало

[@footballegent]

Зачем делать расширенный access list, если мы не указываем протоколов и портов? Целесообразнее использовать стандартный access list и добавить в него два разрешающих правила ! На работу особо не влияет, можно любой из них использовать, но эстетика КС должна быть !

[@bess56]

У меня вот так получилось задать диапазон подинтерфейсов int range fa0/1.2-fa0/1.4

[@ИнновацияПроста]

Спасибо тебе большое добрый человек! От души )

[@jabrayilgarayev7600]

spasibo za uroki !!!BOG voznagradit teba za etu pomow)

[@НатальяБочкова-ц3х]

Вот спасибо! А то перечитала и пересмотрела кучу всего и поняла что ничего не поняла)))))) А у вас все по полкам и без лишнего засорения мозга новичка.

[@Putintheleader1661]

братан большое спасибо тебе по человечески

[@Rikki_Rik]

Спасибо за уроки, однако, чтобы их сделать совсем зам ечательными, неплохо было бы лабы выложить с конфигурацией "до". Чтобы взять и начинать настраивать как в уроке, а не "после", ее когда уже все настроено. Ну это для тех кто не хочет настраивать схему.

[@Zahar_Chernobylsky]

Это можно легко сделать самому)

[@Bellatronix]

Ещё одно, надеюсь, полезное дополнение по теме. В отличие от маршрутизаторов, коммутаторы уровня L3 позволяют применять списки доступа только в отношении логических интерфейсов (VLAN-ов), но не позволяют их применять к физическим. В частности, на trank-порт вообще невозможно повесить никакой ACL, хотя он, как правило, соединяется с маршрутизатором, у которого со своей стороны нет ограничений с применением списков доступа. Возможно, всё зависит от модели, но для коммутатора 3650 это именно так.

[@litromobil51]

прежде чем колупать аксесс лист - первым делом снимайте его с интерфейса. тут конечно показана консоль, но в реальной работе чаще всего это делается удаленно через ssh и любое не осторожное движение обрубает терминал. придется бежать ребутить железку руками так что начиная с виртуальных уроков и даже через консоль надо отрабатывать этот рефлекс. снимать лист с интерфейса а еще лучше перед такими шевелениями задавать отложенный reload in.

[@sergbraslavets3649]

Или, как вариант, делать НОВЫЙ аксесс-лист, задать reload in и применить новый аксесс-лист вместо старого на нужном интерфейсе. И если всё ОК, то удаляем старый аксесс-лист.

[@DIM171000]

Сергей очень полезный комментарий, спасибо! Не подскажете как настраивается Access list на L3 коммутаторах ? У меня проблема в том что на физический интерфейс коммутатора не получается повесить правило NAT outside, только на виртуальные, я привязал к физическому интерфейсу VLAN5 и назначил его outside, но все равно при этом пакеты пропускаются.

[@Ali_Strannik]

блин ты кросс,это реально полезный совет

[@parvizxudiyev4296]

спасибо за урок,четко объясняете

[@AsSimpleAsSnoWW]

На 9 минуте у меня абсолютно не пингуется инет сервер. Что может быть не так? Наты прописаны, сабинтерфейсы настроены. Сравнил настройки конечного роутера по лабе. Все настроено также , но все равно не пингуется. Может быть надо какие-то маршруты прописать? Может кто-то сталкивался с подобным

[@fentan6806]

я указал ip route 0.0.0.0 0.0.0.0 на двух роутерах

[@aleksandrkamenskih1251]

Если ещё актуально - возможно не прописаны шлюзы

[@taesxvilkim9497]

​@@aleksandrkamenskih1251 прописаны, все ровно не робит

[@axiomii04]

@@aleksandrkamenskih1251еще актуально))

[@goodguy5060]

Очень интересный урок!!!

[@АндрейШляпников-м5и]

Standard IP access list TO-1C 10 permit 192.168.2.0 0.0.0.255 (4 match(es)) 20 permit host 192.168.3.100 (4 match(es)) Получается в аксес лист 1С надо одно разрешающие правило добавить для хоста админа

[@k2600100]

Домашнее задание К стандартному ACL TO-1C, добавляем ещё строку для компьютера 192.1683.100 ip access-list standard TO-1C permit host 192.168.3.100

[@SergeZy]

10:15 пинг от сервера 1с всё равно проходит, хоть его сети нет в аксес листе FOR-NAT. ip nat inside source list FOR-NAT interface FastEthernet0/0 overload ip classless ip route 0.0.0.0 0.0.0.0 210.210.0.1 ! ip flow-export version 9 ! ! ip access-list standard FOR-NAT permit 192.168.2.0 0.0.0.255 permit 192.168.3.0 0.0.0.255 permit 192.168.4.0 0.0.0.255

[@АТС-м4я]

Та же беда. Пересоздал маршрутизатор и все норм. Что это было так и не понял. Возможно сначала поспешил добавил в ACL сеть 5.0 и сразу удалил (точно уже не помню), и вылез такой баг.

[@АТС-м4я]

А нет. Поспешил с выводами. Беда осталась. Буду думать дальше.

[@p4sh592]

Покажите конфиг второго рутера

[@АТС-м4я]

Второго это Router1?

[@АТС-м4я]

Точно, провайдера же взломали. Я проверял пинг уже после взлома провайдера Router1. ip route 192.168.0.0 255.255.0.0 210.210.0.2. А надо было до.

[@webmthread9836]

в 1С добавил "permit host 192.168.3.100" все вроде работает, админ имеет доступ и бухгалтерия , все остальные нет

[@Alex-yw7sn]

подскажите какой пароль от Router 0

[@victorekgardt6385]

Как настроить acl, чтобы один vlan, например 10 (админов) видел другой vlan, например 20, но наоборот нет? При этом оба вланы подсоединены к L2 коммутатору, а он к L3. Пытался по аналогии с acl для NAT, но так не работает

[@ВиталийВиталий-ь9р]

Очень тяжелый урок для понимания

[@WhiteBear141981]

Шикарно! Спасибо!

[@L0000Kme]

Интересный урок

[@MrSlavyanizmo]

спасибо большое! На слайде очепятка, стандартыне вместо стандартные

[@denisgavryushenko4481]

Вопрос. А почему, в моменте, когда мы прописываем доступ к серверу 1С, прописать не ip access-group TO-1C out, а ip access-group TO-1C in, он дропает пакеты? При проверке, как идет пакет в режиме симуляции, он дропается, когда возвращается обратно к роутеру. И пакет зацикливается. Он возвращается не к компьютеру-отправителю, а к серверу 1С.

[@АлексейИванов-ч3ю8р]

Почему сохраняется доступ по telnet, если есть неявное запрещающее правило в конце ACCESS-LIST?

[@nikolayzuzu9539]

почему у меня с сервера 1с проходит пинг? даже если добавляю в ACL запись deny 192.168.5.0 0.0.0.255. и 2-й вопрос: почему мы вешаем ACL на интерфейс fa0/0 командой "ip nat inside...", если мы до этого int fa0/0 назначили как outside?

[@user713.]

одно не понятно, почему после того как на Router0 было прописано `permit ip any host 210.210.0.2`, только Router1 не может пинговать внутреннюю сеть. ведь его пинг тоже проходит через 210.210.0.2

[@Bellatronix]

Если соединение во внутреннюю сеть инициируется извне (т.е. с Router1) то в адресе назначения будет указан какой-то из узлов внутренней сети, поэтому этот пакет будет отброшен, как несоответствующий условию списка доступа. Если же соединение инициируется из внутренней сети, например ICMP-запрос (ping), в интернет, то NAT подменит внутренний адрес источника пакета на адрес внешнего интерфейса маршрутизатора, поэтому ответ на этот запрос вернётся уже с адресом внешнего интерфейса, который будет пропущен правилом ACL, а затем преобразован NAT-ом во внутренний.

[@Podranok]

Все супер! Однако мысли походу: 1) разграничить админа (или группу админов) от пользователей в отдельную подсеть. 2) обычно конфигурацией 1С либо других специфических терминальных сервисов, или БД SQL занимается приходящий программист для которого можно так же создать отдельную подсеть (этот чувак обычно наделяется отдельными полномочиями, доступом к ресурсам сети и правами в GPO). Этот чувак, как и штатный админ должны иметь доступ к определенным узлам нашей локальной сети извне (у себя из дома). Так же распространен вариант доступа пользователей из отдела продаж к базе 1С при выгрузке отчетов (ордера, накладные) с мобильных устройств. Т.е. в реальности сеть и число участников доступа к участкам локальной сети извне многократно выше. Вопрос: все это настраивается руками или есть более гуманный для админа способ ? :) 3) что делать, если при рассмотрении пункта 2 провайдер предоставляет легитимным участникам, запрашивающим доступ к нашей локальной сети: а) серый IP адрес б) белый IP адрес по DHCP, но с коротким TTL, постоянно меняющийся между сессиями, обычно раз в 24 часа. 4) что делать, если злоумышленник завладел легитимным устройством, с которого осуществляется доступ к ресурсам нашей сети? Например, менеджер по продажам потерял мобильное устройство и не сообщил об этом вовремя админу (потерял + заболел либо просто дурак) :) Т.е. на неопределенный период времени наша сеть остается уязвимой для атак с этого устройства. Есть ли способ защиты сети на этот случай? :) 5) возникает вопрос об импортировании готовых конфигураций в активное сетевое оборудование, в случае, когда для написания одной конфигурации требуется достаточно много времени, нежели импортирование и правка отдельных параметров готовой. Так же резервное копирование конфигурации роутера на случай ЧП. Хотелось бы узнать об этом :) PS. Deny произносится как "дэнай" ;)

[@netskills]

1)Да, обычно так и делается. У меня они были в одном сегменте для простоты и для рассмотрения разных аксес-листов. 2)Для подключения внешних сотрудников лучше всего использовать удаленное подключение по VPN, так называемый RA VPN. Аутентификацию этих пользователей можно вынести на отдельный AAA сервер. На маршрутизаторе создается несколько групп удаленных подключений, для каждой группы вы можете определить свои собственные аксес листы. А давать доступ к компьютерам в локальной сети через прописывание аксес листов на внешнем интерфейсе - не самая удачная идея. Если конечно ваш сервер не публичный и находится в DMZ зоне, о которой мы будем говорить через урок. 3)Ответ вытекает из 2-го пунка. Не стоит прописывать аксес листы на доступ к внутренним ресурсам. Либо разрешайте для всех IP. 4)Тут надо исходить опять же из 2-го пункта. Доступ к внутренним ресурсам только через RA VPN. Тогда если сотрудник потеряет устройство, то злоумышленник должен еще знать пароль от VPN подключения. Если уж он и его знает, то естественно здесь уже ничего не поможет. Единственное что можно предложить, это использование устройств обнаружения вторжений. Cisco IPS уже не актуален, так что остается FirePower NIPS или Cisco Threat Defence, либо Snort(бесплатный). С помощью этих устройств можно выявить анамальную активность, например злоумышленник начал выкачивать большие объемы данных, что не характерно для легитимного пользователя. На основе этой анамальной активности учетка может быть заблокирована, как скомпромитированная. 5)вообще не планировал данную тему включать в курс, но подумаю.

[@Podranok]

NetSkills. Видеоуроки. Cisco, zabbix, linux. Большое спасибо за ответ! Вы направляете меня и, надеюсь других интересующихся слушателей, в нужном направлении. Зачем нужны системы мониторинга сети, такие как Zabbix, если Cisco Threat Defence берет на себя роль универсального защитника от кибератак? :)

[@netskills]

Podranok не стоит путать SIEM системы с IPS и с системами мониторинга) Если вкратце, то SIEM система это большой Лог сервер, который собирает логи со всех устройств, будь то устройства безопасности или обычные компьютеры. Дальше он эти логи анализирует, коррелирует между собой. К примеру заметив из логов, что кто-то сначала получило доступ к файловому серверу, а затем получив логи, что с файлового сервера идет удаление файлов активное, он может принять решение, что это злоумышленник, и что следует заблокировать учетку. Т.е. SIEM позволяет собрать всю информацию о событиях в одном месте. Яркие представители SIEM систем - ArcSight, Splunk. IPS же анализирует трафик, а не логи. И уже IPS проанализировав трафик может создать сообщения о нарушении безопасности, которые увидит SIEM система. А там уже как настроим, может сам IPS блокировать трафик, может SIEM система, проанализировав логи. К примеру новый IPS от Cisco (FirePower NgIPS) в себе совмещает и SIEM систему. Cisco Threat Defence - это тоже гибрид IPS с SIEM. Во многом он более удобен что классический IPS, т.к. его можно установить в любом месте, не меня архитектуру сети. Но классический IPS конечно же лучше анализирует трафик. А есть системы мониторинга, такие как Zabbix, Nagios, Cacti, цель которых это мониторинг технического состояния IT инфраструктуры, они никакого отношения не имеют к событиям безопасности (вирусы, сканирование портов, подбор паролей). Их цель это сбор статистики: время пинга до узлов, потери, загрузка канала, свободное место на жестком диске, загрузка процессора, работоспособность определенных сервисов, составление карты сети. Есть умельцы которые используют Zabbix для сбора событий безопасности, прикручивая различные скрипты. Есть и те, кто использует SIEM системы для проверки доступности устройств, загрузки процессоров. Но это все равно что молотком шурупы забивать.

[@Podranok]

NetSkills. Видеоуроки. Cisco, zabbix, linux. Понятно. Спасибо!

[@MasterShaytan]

касательно 5-го пункта, включите пожалуйста в лекции, это очень полезная информация...

[@cultofsogga5863]

Извиняюсь конечно, но не дени, а динай (deny). А так, очень благодарен за лучшие и единственные хорошие видеоуроки на русском языке

[@АндрейГуглофон]

Ответ на вопрос в конце видео. Надо добавить строчку в эксес-лист TO-1C. permit host 192.168.3.100 С вопросами стало еще интересней. Урок такой насыщенный ,можно бы и посложней задание)

[@netskills]

спасибо за отзыв! учту.

[@ArtyomDavydov]

Или permit 192.168.3.100 0.0.0.0

[@s_SiD_s]

Андрей Гуглофон permit host 192.168.3.100 надо поставить первым мне кажеться, перед строчкой бух сети. иначе срабатываеть будет она и отсеивать админа, или нет?

[@Vlad-em1bx]

+Artyom Davydov А что значит строчка 0.0.0.0?

[@Vlad-em1bx]

+Андрей Гуглофон Спасибо, Помогли! : )))

[@nicknick5536]

Люди, кто-то стал сетевым инженером после просмотра курса? На сколько помогло? Думаю очень мощная база для новичков.

[@Conf1dent1alOne]

ip nat inside source list - что это значит? Что мы обращаемся к внутреннему источнику памяти роутера или то, что это именно "nat inside", который мы подличаем внезапно к внешнему интерфейсу роутера?

[@Dan_Elite]

А как запретить доступ к SSH ?

[@DifrenGold]

А можно настроить ACL на L2 коммутаторах?

[@АлександрФедоров-у5ф]

Уроки отличные

[@russz4242]

Немного запутался. Зачем нужно было создавать вланы если потом соединители их через маршрутизатор. Только для того чтоб ограничить широковешательный трафик, или чтоб сразу можно было управлять группами пользователей с помощью АКСЕС ЛИСТОВ.?

[@vikol6629]

встречали ли вы такие скрипты, которые проверяют, например сайт, на котром есть список сетей (текстовый вид) и добавляют автоматом в access-list в циску запрет на входящий трафик: все что не в этом списке - отфутболивать?

[@рролрапиввапы]

ваааау

[@kekkekovich3374]

Почему, когда мы с бухгалтерии пинговали 1-С сервер мы на шлюзе по умолчанию 1-С сервера настраивали лист доступа на out?

[@Сергей-в3и6л]

Подскажите пожалуйста чем отличаются access-list-ы созданный командами "ip access-list" и просто "access-list"?

[@alexzakharchenko8993]

В первой части урока при создании ACL и повешении его на NAT - он не срабатывает, проходит и пинг и tcp (сайты открываются), но при попытке посмотреть разрешения sh ip nat translations с этого компа ничего не разрешается (с разрешенных сетей информация отображается). Из чего я сделал очевидный вывод - что трафик все равно пойдет, но не через NAT, но на реальном оборудовании провайдера он должен фильтроваться (ведь частные сети не маршрутизируются). Чтобы трафик перестал ходить, нужно вешать ACL на интерфейс.

[@Vlad-em1bx]

Здравствуйте уважаемы канал NetSkills. Задача вот какая, есть ftp сервер к которому можно обращаться только по ftp и админу надо разрешить ВСЁ! Также надо чтобы FTP шел в интернет, конфигурирую след.образом: ip access-list extended for-ftp-server permit tcp any host 40.0.0.2 eq www permit tcp any host 40.0.0.2 eq ftp permit ip host 10.0.0.10 host 40.0.0.2 все работает, только ftp все ровно в инет не идет. Помогите пожалуйста разобраться. Заранее благодарен!!! :)

[@tremololuna9226]

Что бы было проще добавлять в список правило и не переписывать весь список из за deny в конце, просто присвойте правилу deny в конце номер, на пример 1000. Добавляйте правила по порядку до 1000.

[@ФуадГусейнов-й9ы]

Мог бы пример строчки написать чтобы понятнее было ?

[@НаильХисамутдинов-ъ3е]

объясните пожалуйста как понять входящий и исходящий трафик(in-out)

[@КаналСупермастерА]

Вот у тебя интерфейс на маршрутизаторе есть. Если ты помтавиш in, то аксес лист будет применяться ТОЛЬКО тогда когда пакеты извне приходят на твой интерфейс, а если out, то твой аксес лист будет применяться ТОЛЬКО тогда, когда пакеты будут из твоего маршрутизатора через твой интерфейс выходить наружу, а на входящие пакеты этот аксес лист применяться не будет

[@ВиталийВиталий-ь9р]

Почему тут если отключить ip routing, перестает работать PAT ? Это особенность эмулятора, так и должно быть или он на реальном оборудование тоже должен быть включен. Такое ощущение что тут PAT не работает.

[@mak_whisk]

Спасибо

[@vladnikiforov9541]

Когда создавал первый аксес лист для ната, у меня пинговплся сервер в интернете с сервера 1с, мб баг циско?

[@Каталонскиймяч]

Объясните пожалуйста! Я пока новичок в этом деле, не судите строго. Мне не совсем понятно одна вещь: Когда был применен стандартный ACl на сервер 1С и вы разрешили одну сеть на исходящий трафик, но я не понимаю когда нужно использовать стандартный, а когда расширенный. Вы сказали, что стандартный проверяет только сеть источника, а расширенный сеть источника и получателя, но разве в первом примере с выходом в интернет не нужно применять расширенный т.к пк являются получателями а интернет источником? Простите, просто совсем не могу понять это видео.

[@m.a.a.m.2614]

У меня не работает не один из ниже предложенных вариантов решения домашнего задания , у меня Cisco Pocket Traser 7.0 возможно связано с этим подскажите???

[@hallgrimmhall9349]

Может кто подскажет? Прописываю нат, но траффик идет, невзирая на acl FOR-NAT. Меняю «белый» айпи между роутерами ( вместо 210.210.0.0/30 ставлю 213.234.0/30) и аксесс-лист сразу начинает работать как надо. Как только меняю «белый» айпи обратно - аксесс-лист перестает работать и локальный сервер спокойно пингует веб-сервер, траффик идет мимо аксесс-листа. В чем может быть проблема?

[@hallgrimmhall9349]

А, всё, понял в чем проблема👍 Из разряда - ВНИМАНИЕ! Спасибо за внимание🤦🏻‍♂️

[@az91989]

Возможно ли на одном интерфейсе (логический, физический) привязать две accesslist-а, и более.?

[@netskills]

Abu Muslim На один интерфейс можно повесить ОДИН аксес лист на ВХОДЯЩИЙ трафик и ОДИН аксес лист на ИСХОДЯЩИЙ.

[@Acxatnod32]

Добрый день! Очень хорошие уроки. но объясните, почему тогда уроке про OSFP сервер интернет не видит внутреннюю сеть? без аксес листов.

[@Владимир-ч5ь8ы]

Вопрос из серии "А почему я не могу махать крыльями?". Обычный человек сразу понимает что у спрашивающего нет крыльев и сам вопрос не имеет смысла. Интернет НИКАК не может видеть внутреннюю сеть. Если он(интернет) ее видит, то это уже не внутренняя сеть. Внимательно все пересматривай.

[@mahakala759]

Подскажите, какой пароль на Router0 на enable-режим? На Router1 пароля нет, а на Router0 есть.

[@jamesbond9699]

cisco

[@MasterShaytan]

ответ на домашнее задание: ip access-list standard CERBER-SERVER permit host 192.168.3.100 просто access листы в уроках я называю по своему...))

[@gangalil4675]

как мне запретить доступ вланов друг к другу?

[@БРАТ158]

спс братан

[@Carnolio_ch]

без маршрута на router0 ip route 0.0.0.0 0.0.0.0 210.210.0.1 не пингуется 210,210,1,2

[@alexbell4886]

Это естественно... Вы же когда получаете сетевые настройки от провайдера там же имеется ШЛЮЗ. Тут мы ничего от "провайдера" не получили. В итоге руками пришлось прописать маршрут до маршрутизатора "провайдера"

[@Bekzhan1986]

Кажется самая трудная часть этого курса

[@gunyapogremushkin2303]

у меня так все работает: ip access-list standard TO-1C permit 192.168.2.0 0.0.0.255 permit 192.168.3.100 0.0.0.3 deny any

[@sokolik_tomsk9196]

Может это и глупо, но я не могу понять одно, ACL вешается на интерфей, ACL может быть IN/OUT, но OUT - это не значит выход наружу маршрутизатора, далее ведь пакет попадёт на второй интерфейс внутри маршрутизатора. Грубо говоря мы можем 80 порт закрыть в 4- местах на внутреннем интерфейсе из локальный сети в правилом IN и далее его же закрыть на выходе с правилом OUT, далее пакет попадает на второй интерфейс, который смотри наружу и там так же пакет входит на интерфейс и выходит. Я как-то так понял.При чем если смотреть на int f0/1, то для него входящий трафик будет со стороны локальной сети 192.168... и со стороны интерфейса f0/0.

[@netskills]

Евгений Соколов не правильно вы поняли. Когда аксес лист применяется на IN направление, то трафик отбрасывается маршрутизатором сразу и грубо говоря не попадает внутрь маршрутизатора, не учавствует в процессах маршрутизации и не нагружает роутер. Если вы вешаете аксес лист в направлении OUT, то трафик уже находится внутри маршрутизатора и обрабатывается им, отъедает процессорную мощность. Таким образом вы можете резать трафик уже на выходе из физического или логического интерфейса (хотя логический тоже привязан к физическому).

[@СергейКолосков-щ1у]

​@@netskills спасибо!

[@MuxaH81]

Сложный урок, с первого раза не понял, не понял почему если есть команда deny any any что-то может быть при этом разрешено

[@avee_maria]

очень тихий звук во всех видео

[@appltest7608]

Наверное у тебя проблемы с колонками/наушником. С телефона норм звучит на 30% громкости

[@webmthread9836]

У меня все равно телнет заходит, хотя в листе все правильно прописано

[@webmthread9836]

А все работает , после удаления старого листа забыл новый к интерфейсу прикрепить

[@АртёмАлександрович-ш8я]

@@webmthread9836 как прикрутить к интерфейсу? запутался.

[@epictube1271]

​@@АртёмАлександрович-ш8яint fa0/0 Ip access-group FROM-OUTSIDE in

[@russz4242]

Чё за tcp чё за eq , такой чувство что пару уроков пропустил. Понимаю что за 30 мин все не рассказать..

[@_RUDE_]

20:05 рекомендуют вообще telnet не пользоваться, даже внутри собственной сети, только ssh

[@s_SiD_s]

ответ на задачку ip access-list standart TO-1C permit host 192.168.3.100 permit 192.169.2.0 0.0.0.255

[@s_SiD_s]

ollllvllllo оп, внизу уже ответили)

[@СергейКолосков-щ1у]

Я вот с IN и OUT 1с всетаки не до конца понял. Мы делаем правило на исходящий трафик ip access-list standard TO-1C - создаем аксесс-лист permit 192.168.2.0 0.0.0.255 - разрешаем нужную нам сеть ip access-group TO-1C out - вешаем аксесс-лист на исходящий трафик fa0/1.5 т.е. весь трафик будет входить во VLAN 5 свободно, а выходить на 1с уже по правилам, а если к VLAN fa0/1.5 привязать один аксесс-лист на входящий трафик ip access-group TO-1C in то уже ничего не работает. Как я понял при таком раскладе на VLAN 5 на входящий трафик должна быть разрешена только сеть 192.168.2.0 0.0.0.255, а другие нет. А на исходящий, т.к. правил нет не должно быть запретов. Т.е. 192,168,2,0 входит на fa0/1.5 т.к. разрешен аксесс-листом и выходит к 1с, т.к. на исходящий трафик запрета нет. Только по итогу работает на OUT, а на IN не работает. Что я не так понял с OUT и IN?

[@howlingziod3589]

собственно интересует тот же вопрос..

[@howlingziod3589]

в общем все просто) входящие правило на интерфейсе 0/1.5 по факту уже есть в маршрутизаторе, так как пришло с интерфейса 1.2. а значит оно не обрабатывается. вход для интерфейса 1.5 есть трафик от самого 1С, а значит правило будет работать только на исх 1.5 либо на входах 1.2, 1.3, 1.4 что и было сказано автором ролика)

[@bigsem89]

только не дэни, а дэнай)))

[@emil5861]

+bigsem89 не дэнай, а динай [dɪˈnʌɪ] ;-)

[@bigsem89]

Да, это и имелось ввиду, спасибо))

[@TheRussificator]

ДЭНИ АЙПИ!!! БЛЕАТЬ! лондон ис зэ капитал оф грит британ

[@vladislove5226]

@@emil5861 некропост: как раз таки дэнай, а не динай, проверяй, прежде чем поправлять кого-то no offence

[@itobold]

ip access-list standard TO-1C permit 192.168.2.0 0.0.0.255 permit 192.168.3.100 0.0.0.1 так заработало, правильно или костыль?

[@mikaylmhrrmlisenator5990]

int fa0/1.5 ip access-group thaks for lessons out

[@МирахматХанов]

какой пароль от роутера 0

[@flattire_racing]

cisco

[@dm_www9360]

ip access-list standard 1C permit 192.168.2.0 0.0.0.255 permit host 192.168.3.100

[@Andre4s123]

зачем 2.0?

[@Bekzhan1986]

Как можно запомнить все эти команды, что то их стало слишком много может все записать в блокнот и хранить их там Как работают сетевые инженера, они тоже используют блокноты? при собеседовании на работу сетевого инженера, они будут спрашивать все эти команды?

[@dimooon3594]

тот кто будет спрашивать - сам их все не знает, я тебе больше скажу, вообще все команды никто не знает, проблемы решаются по мере их поступления. Достаточно лишь знать как оно работает и понимать где искать инфу, чтобы исправить проблему.

[@TrttK7]

Ты сексуалка

[@bahruzjafarov4668]

deny ip 192.168.3.0 0.0.0.255 host 210.210.1.2 zachem vi napisali etu komandu,, esli uje vishe uje "permit ip host 192.168.3.100 host 210.210.1.2"... vit posle etoqo na vsex ostalnix dostup budet zakrit. ya ne napisal "deny ip 192.168.3.0 0.0.0.255 host 210.210.1.2",,, vse rabotaet i bez neqo... esli ya v cem to ashibayus,, napishite otvet pojalusta..

[@cmd4062]

нужно чтобы на остальных был доступ куда то еще и в то же время не было доступа к любым портам сервера 210.210.1.2 кроме www(80). если мы не напишем "deny ip 192.168.3.0 0.0.0.255 host 210.210.1.2" . то тогда правило "permit ip any any" позволит всем компам из той же сети юзать любые порты этого сервера.

[@mikaylmhrrmlisenator5990]

privet.spasibo za uroki. permit ip host 192.168.3.100 host 192.168.5.2 deny ip 192.168.2.0 0.0.0.255 host 192.168.5.2 deny ip 192.168.3.0 0.0.0.255 host 192.168.5.2 deny ip 192.168.4.0 0.0.0.255 host 192.168.5.2 permit ip any any

[@viand451]

Автор, зачем ты делаешь лабы УЖЕ готовыми? Нельзя было сделать заготовку? Просто, ковырять эту топологию самому по картинке на ютубе немного гемморно, описания к лабе, как бы нет, а качаешь лабу - а там уже всё готово. Уроки-то хорошие, вопросов нет, а реализация именно лаб - хреновая.

[@truth_is_the_best]

Так а в чем проблема самому сделать стенд? Пока делаешь стенд или заготовки, закрепляешь навыки. Я вообще лабы скачиваю, только в случае, если на моем макете, что-то не идет и я не могу найти ошибку. Скачал, сравнил, выявил ошибку, пошел дальше. И что значит описания к лабе нет??? Евгений все рассказал и в рот положил, осталось только пережевать и проглотить. Во народ дает!

[@СаняСаня-у5у]

На 26 минуте. Почему правило ip access-group TO-1C out, работает только на исходящем трафике, а на входящем (access-group TO-1C in) не работает. Если их вместе написать in, out то тоже ниче не происходит, трафик ходит только тогда когда написан out

[@АлексейИванов-ч3ю8р]

Почему автор правила в Access-list называет access-list?

[@Boris-xk8rv]

у меня была проблема, пинг не не проходил router 0, задал физическому интерфейсу ip 192.168.1.1 255.255.255.0 и все заработало

[@berikkhalmenov6042]

молорик

[@karik4455]

ip access-list standard TO-1C permit host 192.168.2.2 permit host 192.168.3.100