ACLs de entrada / saída?

Question

Eu entendo a diferença básica, mas acho confuso. Um processa primeiro o pacote, em seguida, encaminha-o e outras rotas primeiro e, em seguida, é processado no ACL. Se eu quiser salvar os recursos dos roteadores, eu devo sempre escolher primeiro (processar e depois rotear). Se um pacote certamente for descartado pelo ACL, por que eu perderia tempo roteando-o em primeiro lugar? Eu sei que ambos são necessários e praticados no mundo real, mas não posso imaginar qualquer uso de segundo.

    

Answer 1

Se estamos falando de um roteador cisco,

acl em uma interface significaria 'deixar o acl processar os pacotes que entram no roteador através dessa interface' i: e; enquanto os pacotes entram no roteador através dessa interface, mas não em pacotes que saem através dessa interface.

acl outbound em uma interface significa 'aplicar o acl a pacotes saindo do roteador através dessa interface, mas não em pacotes de entrada.

Considere o cenário:

Ping de 192.168.1.1 para 10.0.2.1

Quando o CASO 1 está configurado:

A solicitação de ping não passa pela Fa1 / 1 de R1, porque a ACL 55 está configurada para processar o tráfego de saída e o endereço de origem da solicitação corresponde ao intervalo de IPs especificado em acl. A saída do ping será:

Host de destino inacessível

Quando o CASO 2 está configurado:

A solicitação de ping irá atingir 10.0.2.1, mas a resposta de 10.0.2.1 será interrompida na Fa0 / 1 de R1 porque o acl é definido para processar o tráfego de entrada e o endereço de origem da resposta corresponde ao intervalo de IP em acl. A saída do ping será:

Solicitação expirada

Quando o CASO 3 está configurado:

O ping será bem-sucedido. A solicitação de ping não será filtrada em Fa0 / 1 do R1, pois o acl é somente para o tráfego de entrada . Embora a resposta do ping seja considerada na Fa0 / 1 do R1, como é entrada , ela será transmitida porque o endereço de origem da resposta não está no intervalo 10.0.2.0 0.0.0.255, conforme especificado em o acl.

    

Answer 2

Os ALC só se aplicam a contas / grupos de usuários locais e locais construídos em contas / grupos porque estão apenas procurando por SIDs de seu próprio identificador, também conhecido como o computador local. É por isso que quando você tem um arquivo que possui uma entrada ACL para um usuário que não existe no banco de dados SAM, ele aparecerá na lista ACL como uma string SID em vez de um nome de usuário e terá um x vermelho ao lado.

Você pode adicionar de outros usuários a um banco de dados de diretório ativo, mas eles ainda são tratados como usuários locais, o que significa que os computadores locais devem fazer parte do domínio e ser contacáveis pela rede quando um ALE é alterado para isso computador.