Revisão - Configurando access-lists

Antes de configurarmos as classes de serviços, vamos a uma revisão de access-list pois é a principal forma de marcação para classificação do tráfego.

Configurando Access-List numérica:

1 a 99 - lista padrão numérica

Router(config)#access-list 1 deny host 10.152.222.20
Router(config)#access-list 1 deny 10.152.222.0 0.0.0.255
Router(config)#access-list 1 permit host 10.152.222.20
Router(config)#access-list 1 permit 10.152.222.0 0.0.0.255

Aplicando access-list padrão numperica em uma interface WAN/LAN:

Router(config)#int e0
Router(config-if)#ip access-group 1 in
Router(config-if)#ip access-group 1 out


Router(config)#do sh run
.
.
.
access-list 1 permit 10.152.222.20
access-list 1 permit 10.152.222.0 0.0.0.255
.
.
.
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#no access-list 1 permit 10.152.222.0 0.0.0.255
Router(config)#do sh run
.
.
.


100 A 199 - lista extendida numérica

origem destino
Router(config)#access-list 120 deny ip 10.152.222.0 0.0.0.255 10.152.222.0 0.0.0.255
Router(config)#access-list 120 permit ip any any
Router(config)#


Aplicando access-list extendida numérica em uma interface WAN/LAN:

Router(config)#int e0
Router(config-if)#ip access-group 120 in
Router(config-if)#ip access-group 120 out

Router(config)#do sh run
.
.
.
access-list 120 permit ip host 10.152.222.20 any
access-list 120 permit ip any host 10.152.222.20
.
.
.
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#no access-list 120 permit ip host 10.152.222.20 any
Router(config)#do sh run
.
.
.

Além das access-lists numéricas, possuímos as nomeadas com diversas vantagens além de administrativas, operacionais.
Podemos por exemplo deletar apenas uma linha sem afetar as demais.

Router#conf t
Router(config)#ip access-list standard telnet
Router(config-std-nacl)#permit 10.152.222.0 0.0.0.255
Router(config-std-nacl)#permit host 10.152.222.20

Uma das grandes vantagens da access-lists "nomeada padrão" é que podemos negar apenas uma linha:

Router(config)#do sh run
.
.
.
ip access-list standard telnet
permit 10.152.222.0 0.0.0.255
permit host 10.152.222.20

.
.
.
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#ip access-list standard telnet
Router(config-ext-nacl)#no permit host 10.152.222.20
Router(config-ext-nacl)#do sh run
.
.
.
ip access-list standard telnet
permit 10.152.222.0 0.0.0.255
.
.
.

Assim como as numéricas, possuímos as access-lists "nomeadas extendidas":

Router(config)#ip access-list extended telnet
Router(config)#permit ip 10.152.222.0 0.0.0.255 10.152.222.0 0.0.0.255
Router(config)#permit tcp 10.152.222.0 0.0.0.255 eq 23 10.152.222.0 0.0.0.255
Router(config)#permit tcp 10.152.222.0 0.0.0.255 10.152.222.0 0.0.0.255 eq 23

"Range" de portas:

Router(config)#ip access-list extended voip
Router(config)#permit udp any range 16383 16384 any (range na origem)
Router(config)#permit udp any any range 16383 16384 (range no destino)

Portas maiores que uma pré determinada:

Router(config)#ip access-list extended voip
Router(config)#permit udp any gt 16383 any (portas maiores que udp16373 na origem)
Router(config)#permit udp any any gt 16383 (portas maiores que udp16373 no destino)

Portas menores que uma pré determinada:

Router(config)#ip access-list extended voip
Router(config)#permit udp any lt 32767 any (portas menores que udp32767 na origem)
Router(config)#permit udp any any lt 32767 (portas menores que udp32767 no destino)

Excluir apenas uma porta:

Router(config)#ip access-list extended notelnet
Router(config)#permit udp any neq 23 any
Router(config)#permit udp any any neq 23

HAAA realmente você não cvonseguirá combinar duas access-list standard e extended utilizando um mesmo nome:

Router(config)#ip access-list standard voip
Router(config)#ip access-list extended voip
Access-list type conflicts with prior definition
% A named standard IP access list with this name already exists

Uma das grandes vantagens das access-lists "nomeadas extendidas" é que podemos negar apenas uma linha (assim como a padrão anterior):

Router(config)#do sh run
.
.
.
ip access-list extended voip
permit udp any range 16383 16384 any
permit udp any any range 16383 16384

.
.
.
Enter configuration commands, one per line. End with CNTL/Z.
Router(config)#ip access-list extended voip
Router(config-ext-nacl)#no permit udp any any range 16383 16384
Router(config-ext-nacl)#do sh run
.
.
.
ip access-list extended voip
permit udp any range 16383 16384 any
.
.
.