Cisco'da standart ve extended ACL arasındaki fark nedir? Nereye uygulanmalıdır?

ACL (Access Control List) paketleri sıralı kurallara göre izin verir veya reddeder. Kurallar yukarıdan aşağı okunur, ilk eşleşen uygulanır ve sonda görünmeyen bir implicit deny any vardır.

Standart ACL yalnızca kaynağa baktığı için kaynağa yakın konursa o kaynağın her yere erişimini keser. Extended ACL ise istenmeyen trafiği ağda dolaşmadan erken düşürmek için kaynağa yakın konur.

Standart ACL

access-list 10 permit 192.168.10.0 0.0.0.255
access-list 10 deny any
!
line vty 0 4
 access-class 10 in          ! SSH erişimini sınırla

Extended, named ACL

ip access-list extended WEB-ONLY
 10 permit tcp 192.168.10.0 0.0.0.255 host 10.0.0.50 eq 443
 20 permit udp 192.168.10.0 0.0.0.255 any eq 53
 30 deny   ip 192.168.10.0 0.0.0.255 10.0.0.0 0.255.255.255 log
 40 permit ip any any
!
interface Gi0/1
 ip access-group WEB-ONLY in

Önemli noktalar

• Wildcard mask, subnet mask'in tersidir: /24 için 0.0.0.255. host x.x.x.x = x.x.x.x 0.0.0.0.
• Arayüz ve yön başına (in/out) protokol başına tek ACL uygulanabilir.
• Spesifik kurallar üste, genel kurallar alta yazılır.
• Named ACL'lerde sıra numarası ile araya kural eklenebilir veya tek satır silinebilir.
• Implicit deny, routing protokol trafiğini de keser; OSPF komşuluğu düşebilir.

show access-lists
show ip interface Gi0/1