CCNA විසිහත්වන පාඩම Extended Access Control List

CCNA විසිහත්වන පාඩම Extended Access Control List

                                         අපි කලින් Access Control List පාඩම්  දෙකකින් කතා කරල ඉතුරු උන Extended Access Control List ගැන තමයි මේ පාඩමෙන් කතා කරන්නෙ‍. ඊට කලින් කස්ටියන්ටම ස්තුති වෙනව  විශාල ලිපි සංඛ්‍යාවක් නොමැතිවත් බ්ලොග් එකේ හිට්ස් 100000 කටත් වඩා වැඩි ගණනක් දක්වා රැගෙන විත් බ්ලොගේ සාර්ථකව කරගෙන යන්න ඔබ දැක්වු සහයෝගයට. අපි දැන් මුලික ACL සැකසුම් හා ඒවාහිදී අපි පිළිපැදිය යුතු නීති රීති ගැන කලින් පාඩම් වලදි හොද දැනුමක් ලබාගෙන තියෙන හින්ද මේ පාඩමේදි ඒ ගැන වැඩිදුර සදහන් කිරීමක් කරන්නෙ නැහැ. ඒ වගේම ACL තුලදි wildcard mask එක බාවිතාකරන හැටිත් එය ACL තුලදි ක්‍රියාත්මක වන හැටිත් කලින් පාඩම් බලල තේරුනානම් මේ පාඩමේදි ඒක ගොඩක් ප්‍රයෝජනවත් වෙයි.පසුගිය ACL පාඩම් බලන්න පහල ලින්කු භාවිතා කරන්න.
CCNA විසිපස්වෙනි පාඩම Access Control List(ACL) බැදපු නැති කෙල්ලත් සමග.
CCNA විසිහයවෙනි පාඩම Access Control List Configuration.

**Extended Access Control List ලක්ෂණ:

• Standard ACL සැකසුම කරද්දි අපි යොදාගත්තෙ source information (source IP හෝ source network address) පමනයි. නමුත් Extended ACL වලදි අපිට පහතින් දක්වල තියෙන කිහිපයක් හෝ සියල්ල යොදා‍ගෙන සැකසුම් කරන්න පුළුවන්.

                 .. Source IP/Network address

                 .. Destination IP/Network address

                 .. Protocol (eg:- TCP, UDP)

                 .. Port numbers (eg:- telnet 23, HTTP 80, FTP 21)

                 .. Other parameters

• Extended ACL එකක් සැකසුම් කර එය යොදවන්නේ source එකට ආසන්න Interface එකකටයි.
• කලින් පාඩම් වලදි කතා කරපු විදියට Router එකට අපි සැකසුම් කරන්නේ Extended ACL එකක් කියල හරියටම හදුනාගන්න එයට number එකක් assign කරනව. එම number එක 100 - 199 ත් හා 2000 - 2699 අතර නම් Router එක නිශ්ච්තවම එය Extended access control list එකක් විදියට හදුනා ගන්නව.  

**Extended Access Control List අපට යොදාගතහැකි අවස්ථා:

• එක් computer/network එකකට  වෙනත් network එකකට හෝ වෙනත් network එකක ඇති විශේෂිත computer එකකට අතුළුවීම වැලැක්වීමට (deny) හෝ අවසරදීමට (permit).
• යම් computer එකකට හෝ network එකකට අතුළුවන හෝ පිටවන විශේෂිත protocol එකකට අයත් network traffic පමනක් වැලැක්වීම (deny) හෝ අවසර දීමට (permit).

**Extended Access Control List configuration commands:

• access-list [access list number] [permit | deny] [protocol] [source address] [source wildcard mask] [destination address] [destination wildcard mask] [operator <port>] 

                        command එක දිගයි වගේ පෙනුනට එක් එක් කොටස පැහැදිලිව තේරුම් ගත්තට පස්සෙ අපිට පුළුවන් ලේසියෙන්ම මේ ගැන commandතේරුම් ගන්න. command එකේ මුලින්ම තියෙන access-list යන කොටස අනිවාරයෙන්ම කුමන ආකාරයක ACL එකක් සැකසුම් කිරීමේදී මුලින්ම යෙදිය යුත්තක්.
access list number:
        Router එකට ACL සැකසුම් කිරීමේදි එය කුමන ආකාරයක ACL එකක්ද කියල Router එක විසින් හදුන ගන්නෙ මේ කොටසට දමන number එකට අනුවයි. අපි දැන් මෙතනදි ඉගෙන ගන්නෙ Extended ACL හින්ද මේ කොටසට දැමිය යුතු වන්නෙ 100-199 ත් 2000-2699 ත් අතර සංඛ්‍යාවකුයි.  
permit | deny:
        කලින් පාඩම් වලදි කතා කලා වගේම මෙතනදිත් අපිට ACL එක හරහා Router එක තුලට ඇතුළු වීමට හෝ පිටවීමට අවසර දිය යුතු network traffic සදහා permit විධානයත් වැලැක්විය යුතු network traffic සදහා deny විධානයත් බාවිතා කරනව.මේ විධානයන් දෙකම එකවර බාවිතා කරන්න බෑ කියලත් මතක තියා ගන්න.
protocol:
     යම් කිසි network එකකට හෝ computer එකකට ඇතුළුවීමට හෝ පිටවීමට එක්  විශේෂිත protocol එකක් සැකසුම් කිරීම තමයි මෙහිදී කරන්නෙ. මෙතනදි protocol කියන ස්ථානයට අපට අවශ්‍ය protocol එකේ නම දැමිය යුතු වෙනව (IP,TCP,UDP,ICMP...). මෙහිදී අපි සැලකිලිමත් විය යුතු කරුණක් තියෙනව. ඒ තමයි එක් protocol එකකට සම්බන්ධ අනෙකුත් protocol සියල්ලටම මෙම අවස්ථාවට පෙර අපි කතා කරපු permit හෝ deny කියන අවස්ථාවේදී සිදුවන දේ බලපානව. උදාහරණයක් විදියට කියනවනම් අපි යම් network එකකට අතුළු විමට IP protocol එකට පමනක් අවසර දෙන්න ඕන කියල. එවිව පෙරනිමිතියෙන්ම TCP හා UDP protocol වලටත් ඊට අතුළුවීමට අවසර ලැබෙනව.ඒයට හේතුව තමයි TCP හා UDP protocol දෙක පිහිටන්නෙත් IP protocol එක ඇතුලෙ නිසා. එම නිසා අපට permit කිරීමට හෝ deny කිරීමට අවශ්‍ය නිශ්චිත protocol එක හදුනාගෙන මෙතනදි දැමිය යුතු වෙනව.
source address:
        කලින් පාඩම් වලිදිත් මේ ගැන කතාකලානෙ.සරලව කියනවනම් මෙතනදි දාන්නෙ ACL එකට සැකසුම් කල යුතු විශේෂිත වු source computer එකේ හෝ source network එකේ address එකයි. මේ ස්ථානයටම අපිට any කියන විධානයත් දාන්න පුළුවන්. එයින් සියළුම source computer හා source network යන්න නියෝජනය කරනව (සියළුම source). කලින් සදහන් කරපු විධානයන්ට අමතරව host කියන විධානයත් මෙහිදී යොදාගන්න පුළුවන්.එමගින් එක් විශේෂිත වු computer එකක් පමණක් source එක විදියට හදුන්වල දෙනව.
source wildcard mask:
        ACL තුල wildcard mask එක යොදාගන්න හැටි හා එය ක්‍රියාත්මක වෙන හැටි අපි විසිහයවෙනි පාඩමෙන් කතාකලා මතක ඇති.source address යටතේ දාපු ip address එකට හෝ network address එකට අදාල wildcard mask එක තමයි මෙතනදි දාන්නෙ.source address යන ස්ථානයට any හෝ host කියන විධානය දාල තිබුනොත් wildcard mask එකක් දැමිය යුතු වන්නේ නැහැ.
destination address:
         දන්නවනෙ data packet ලබාගන්නා (receiver) අපි destination එක විදියට හදුන්වන්නෙ. එහෙනම් අපි මෙතනදි දැමිය යුතු වන්නෙ destination IP address එක හෝ network address එකයි. කලින් source address යටතෙ කතාකලා වගේම මෙතනදිත් අපිට any කියන විධානය පාවිච්චි කරන්න පුළුවන්. එතකොට ඒකෙන් කියවෙන්නෙ සියළුම destination computers හා networks ගැනයි.තවත් විදියකින් කියනවනම් ඕනෑම destination එකක් කියලයි.ඒ වගේම අපිට මෙතනදි host කියන විධානයත් පාවිච්චි කරන්න පුළුවන් එමගින් එක් විශේෂිත වු computer එකක් පමනක් destination එක විදියට හදුන්වන්න පුළුවන්.
destination wildcard mask:
         කලින් wildcard mask එක ගැන කතාකරපු දේමයි මෙතනදි කියන්න තියෙන්නෙ.වෙනසකට තියෙන්නෙ මෙතනදි දාන්නෙ destination IP address එකේ හෝ network address එකේ wildcard mask එකයි. destination address යන ස්ථානයට any  හෝ host කියන විධානය දාල තිබුනොත් destination wildcard mask යන ස්ථානයට අපි කිසිවක් ඇතුලත් කලයුතු වන්නේ නැහැ.
operator:
        ACL එක තුල වැදගත් කාර්යබාර්යක් අපට මේ කොටස තුලින් කරගන්න පුළුවන්. පාඩම පටන්ගද්දිම කිව්වනෙ විශේෂිත protocol එකකට පමණක් extended ACL හරහා යම් network එකකකට හෝ computer එකකට ඇතුළුවීම වළක්වන්නට හෝ අවසර දෙන්නට සැකසුම් කරන්න පුළුවන් කියල. අන්න ඒ කොටස කරන්නෙ මෙතනින් තමයි.protocol යටතෙ අපි දාන මුළු protocol එකටම Extended ACL එක මගින් බලපෑමක් ඇති කරන්න අවශ්‍යනම් අපිට operator කියන අවස්ථාව නැතුවම Extended ACL command එක අවසන් කරන්න පුළුවන්.කලින් protocol යටතෙ කතාකරපු විදියට එතනට දමන protocol එකේ අඩංගු වෙන විශේෂිත protocol එකක් හෝ කිහිපයක් තෝරාගැනීම තමයි මෙතනදි සිද්ධ වෙන්නෙ. මෙතනදි අපිට operator යන කොටස තුල භාවිතා කරන්න පුළුවන් විධානයන් කිහිපයක්ම තියෙනව.ඒ අතරින් CCNA වලදි පහතින් දැක්වෙන විධානයන් ටික දැනගෙන තිබීම හොදටම ප්‍රමාණවත්.
Extended ACL සැකසුම් කිරීමේදී පහත සදහන් දේ ඔබට හොදින්ම වැටහෙනු ඇත......

• eq : equal (සමාන) කියන තේරුම තමයි eq කියන විධානයෙන් ලබාදෙන්නෙ. අපි operator යන ස්ථානයට eq විධානය ලබාදීල protocol ස්ථානයේදී ලබාදුන්නු protocol එකක් යටතේ තියෙන port number එකක් මෙතනදි ලබාදුනොත් එම port number එකට අදාල protocol එකට පමනක් Extended ACL සැකසුම් අන්තර් ගතවෙනව.
• gt : greater than (වඩා වැඩි) මෙය operator ස්ථානයට ලබාදීමෙන් කලින් සදහන් කල පරදි අපි ලබාදෙන port number එකට වඩා වැඩි අගයක් ගන්නා protocol වලට පමනක් Extended  ACL සැකසුම් අන්තර්ගගත වෙනව.
• lt : less than (වඩා අඩු) මෙහිදී Extended ACL මගින් සිදුකරන ලද සැකසුම් බලපාන්නේ අප ලබාදෙන port number එකට වඩා අඩු අගයක් ගන්නා සියළුම protocol සදහා පමනයි.
• range : දන්නවනෙ මෙතනදි සිද්ධවෙන්නෙ අපි ලබාදෙන port number යුගලයක් ඇතුලත පරාසයේ ඇති protocol වලට පමණක් Extended ACL එක මගින් කරන ලද සැකසුම් අන්තර්ගත වීමයි.

                    දැන් අපි Extended ACL සැකසුම් කිරීමේදී අපට අවශ්‍ය වන ප්‍රධාන command එක ගැන කතා කරල ඉවරයි. දැන් තියෙන්නෙ Extended ACL එකක් සැකසුම් කිරීමේදී අනිවාරය නැති නමුත් බොහෝ විට භාවිතා කරන command එකක් ගැන සාකච්චා කරන්නයි.ඕනෑම ACL සැකසුමක අවසානයේදී සියළුම network traffic deny වෙනව කියල ඔයාල දැනටමත් දන්නවනෙ. අන්න ඒ අවස්ථාව නැති කරන්න තමයි මේ command එක භාවිතා කරන්නෙ.    අපි මේ command එකම Standard ACL තුලදිත් බාවිතා කලා ඔයාලට මතක ඇති. ඒ හින්ද Standard ACL configuration පාඩමේදි පැහැදිලි කරල තියෙන විදියටම තමයි Extended ACL තුලත් මේ command එක ක්‍රියාත්මක වෙන්නෙ

• access-list [access list number] permit IP any any

                මේ command එක අපි Standard ACL වලදි යොදාගත්තෙ access-list [access list number] permit any යන ආකාරයටයි. ඒ අනුව Extended ACL වලදි IP හා any යන විධානයන් අමතර වශයෙන් මෙහි යොදාගෙන තියෙනව. දැන් අපි බලමු ඒ විධානයන්ගෙන් මොකද වෙන්නෙ කියල.

IP:

        IP කියන විධානයෙන් තමයි IP protocol තුල ඇති සියළුම අනෙකුත් protocol නියෝජනය කරන්නෙ. දන්නවනේ IP කියන්නෙ protocol stack එකක් කියල. ඒ කියන්නේ අපි පාවිච්චි කරන protocol සියලලන්ගේම පාදම(base එක) කියල කියන්න පුළුවන්.ඒ හින්ද තමයි මෙතනදි IP කියන විධානය භාවිතා කරල තියෙන්නෙ.

any any :

        මෙතනදා any any යනුවෙන් අදහස් කරන්නෙ any source any destination කියලයි.අපි මේ මුළු command එකම සරලව විමසා බැළුවොත් කියවෙන්නෙ යම් කිසි අංකයකින් දැක්වෙන Extended ACL එකට IP protocol එක හරහා ඕනෑම source එකකකින් ඕනෑම destination එකක් වෙත යන හෝ එන සියළු network traffic සදහා අවසර දෙන්න කියලයි.

Extended ACL එක interface එකකට සැකසුම් කරන්නේ පෙර පාඩමේදී කතාකල විදියටමයි. එහි කිසිදු වෙනසක් සිදුවන්නේ නැහැ.ක්‍රියාකාරකම් වලදී මේ පිළිබදව තවදුරටත් විමසා බලමු.

**Extended ACL ක්‍රියාකාරකම්:
සැමවිටම ක්‍රියාකාරකම් සිදුකිරීමේදී command එක type කර ?(ප්‍රශ්ණාර්ථ ලකුණ) ගසා Enter කිරීමෙන් ඊලගට යෙදිය හැකි command එක කුමක්දැයි සොයා බලන්න.

             මෙහි සිදු කරන සියළු ක්‍රියාකාරනම් පහතින් දක්වා ඇති පිංතූර අංක1 පාදක කරගෙන සිදුක ඇත.මෙය full convergence network (සියළු network එකිනෙකට සම්බන්ධ) එකක් බව සලකන්න.

පිංර්‍තර අංක 1

ක්‍රියාකාරකම් 1:

172.168.10.0/16 network එකට internet access කිරීම වැලැක්වීම.(අපි ඉහත සදහන් network එකෙන් පිටතට යන සියළුම http traffic වැලැක්කුවොත් ක්‍රියාකාරකම් 1 හි සදහන් දේ සිදුකරගත හැක.)

R1(config)#access-list 101 deny tcp 172.168.10.0 0.0.255.255 any eq 80
R1(config)#access-list 101 permit ip any any

******Router එකෙහි interface එකට ඉහත access-list 101 සැකසුම් කිරීම******

R1(config)#interface s1/0
R1(config-if)#ip access-group 101 out

                          මෙහිදී Extended ACL හි access list number එක විදියට 101 යොදාගෙන ඇත. ඉන් පසු යම් network traffic එකක්  වැලැක්විය යුතු නිසා deny යන්න යොදාගෙන තියෙනව. http යනු TCP තුල අඩංගු protocol එකක් වන නිසා මෙහිදී TCP කියන විධානය යොදල තියෙනව. ඉන්පසු source network address එක හා ඊට අදාල wildcard mask එක command එකට එකතු කරල තියෙනව. ඊට පසුව any යන විධානයෙන් නියොජනය කරනව ඕනෑම destination එකකට යන අර්ථය. eq යන්නෙන් සමානයි යන්නත් 80(80 වෙනුවට www යන්නද යෙදවිය හැකියි) ලෙස http protocol එකේ TCP  port number එකත් දක්වල තියෙනව.
සරලව කියනවනම් පළවෙනි command එකෙන් කියන්නෙ Extended ACL 101 න් වලක්වන්න TCP protocol එක හරහා  172.168.10.0/16 network එකෙන් ඕනෑම destination එකක් වෙත යන සියළුම http traffic.
දෙවනි command එකෙන් වෙන දේ  කලින් පැහැදිලි කරල තියෙනව.ඉන්පසු Extended ACL එක destination එකට ආසන්න interface එකකට සැකසුම් කරන නිසා මම R1 වල serial interface එකට එය සැකසුම් කරල තියෙනව. අවශ්‍යනම් අපිට පුළුවන් මෙය R1 වල f 2/0 interface එකට inbound ආකාරයට සකසන්නත්.
ක්‍රියාකාරකම් 2:
computer4 එකට අනෙක් network එකේ ඇති mail sever එක පමණක් access කල නොහැකි පරිදි ACL සැකසුම් කරන්න.මෙම සැකසුම් මගින් network එකේ අනෙක් computer හා servers අතර සම්බන්ධතාවට බධා නොවිය යුතු අතර computer4 ට mail server එක හැර අනෙක් computers අතර සම්බන්ධතාවය පෙර පරිදිම තිබිය යුතයි (මෙම ක්‍රියාකාරකමේදී අප සිදුකල යුත්තේ computer4 වෙතින් mail server එක වෙත යන සියළුම network traffic නතර කිරීමයි).

R2(config)#access-list 102 deny ip host 10.120.114.3 host 172.168.10.5
R2(config)#access-list 102 permit ip any any

****** ඉහත සැකසුමම Extended ACL තුල පහත ආකාරයටද සැකසුම් කල හැක ******

R2(config)#access-list 102 deny ip 10.120.114.3 0.0.0.0 172.168.10.5 0.0.0.0
R2(config)#access-list 102 permit ip any any

****** access-list 102 interface එකට සැකසුම් කිරීම ******

R2(config)#interface s 1/0
R2(config-if)#ip access-group 102 out

ඉහත ක්‍රයාකාරකමේ ආකාරයට ඕනෑම අවස්ථාවක යම් source එකක සිට destination එකකට යන සියළු network traffic වැලැක්වීමට අවශ්‍යනම් අප කල යුත්තේ එම network එකට හෝ host එකට අදාල IP protocol එක deny කිරීමයි.
ක්‍රියාකාරකම් 3:
172.168.10.0/16 network එකට අනෙක් network එකේ ඇති ftp server එකේ ftp service එක පමනක් access කල හැකි ආකාරයට ACL සැකසුම් කරන්න.එසේම එම network එකෙන් අනෙක් සියළු network වෙත යන සියළු traffic වළක්වන්න.

R1(config)#access-list 150 permit tcp 172.16.10.0 0.0.255.255 host 10.120.114.4 eq 21

****** ඉහත Extended ACL එක Router interface එකට සැකසුම් කිරීම ****** 

R1(config)#interface f 2/0
R1(config-if)#ip access-group 150 in

මෙම ක්‍රියාකාරකම කිරීමේදී ACL වලදී අන්තිමට සියළුම network traffic deny වීම ප්‍රයෝජනයට ගෙන සැකසුම් කර ඇත.තේරුනේ නැත්තම් පසුගිය ACL පාඩම් ටික බලන්න.
                                 දැන් අපි CCNA වලදි දැනගතයුතු Access Control List ගැන හොද අවබෝදයක් ලබාගෙනයි තියෙන්නෙ.තේරුනේ නැති දෙයක් තිනෙවනම් අනිවාර්යෙන් අහන්න.CCNA විභාගයේදී name ACL ගැන න්‍යායික ප්‍රශ්න කිහිපයක් අහන්නත් ඉඩ තියෙනව.ඒක හින්ද මෙතනින් ගිහින් power point presentation(මේක මම හදපු එකක් නෙමෙයි මෙහි අයිතිය කතෘ සතුයි කේස් එකක් ආවොත් ඔන්න මමනම් දන්නෙ නෑ) එක බාගෙන ඒකෙ අන්තිමට තියෙන name ACL ගැනත් ටිකක් බලාගන්න. එහෙනම් තවත් පාඩමකින් නැවතොත් හමුවෙමු.ඔබ සැමට

***** ජය ශ්‍රී *****