AppleTalk LAN 1

Ethernet

At: 1-10, Desktop

At: 11-11, Wanconnect

At: 11-11, Wanconnect HDLC

olive

At: 12-20. Multimedia

Ettierret

AppleTalk UN 2

Рис. 13.5. Объединить две сети LAN AppleTalk можно посредством двух маршрутизаторов, которые связаны через последовательные порты по выделенной линии с соответствующим протоколом WAN

Процедура конфигурирования интерфейса LAN для AppleTalk выполняется следующим образом:

1. В приглашении привилегированного режима поместите команду conf ig t, затем нажмите клавишу Enter. Тем самым вы войдете в режим общей конфигурации.

2. Наберите команду interface ethernet О (номннте, что команды можно сокращать) и нажмите Enter.

3. В приглашении config-if напечатайте команду appletalk cable-range 1-10, потом нажмите Enter. Укажите тот диапазон кабеля, который вы задали для сети LAN AppleTalk. Таким образом вы устанавливаете диапазон кабеля для ceiH LAN, подсоединенной к интерфейсу LAN маршрутизатора.

4. Чтобы назначить зону для интерфейса, воспользуйтесь командой appletalk zone desktop. Параметр desktop - это имя зоны сети LAN. Впишите имя вашей зоны. Затем нажмите Enter {рис. 13.6).

5. Для выхода из режима конфигурации воспользуйтесь клавишами Ctrl+Z.

6. Нажмите Enter и верщггесь В привилегированный режим.

Cdl XMjp Uhbi и*

iriflUr ti*n CBI

.pit lilt Mt

.....IfJiopp

pa p t cBnf

Рис. J3.6, При конфигурировании ингерфейсов IAN

необходимо ввести информацию о сети и зоне

Вам придется повторыть эти действия для всех интерфейсов LAN, которые вы желаете сконфигурировать для Арр1еТа1к-маршрутизаШ1И. Нужно правильно указать диапазон кабеля и информацию о зоне для каждого интерфейса: если вы ошибетесь, повторно указав один и тот же диапазон кабеля, результат будет таким же, как при использовании одного IP-адреса для двух интерфейсов маршрутизатора - маршрутизация между сетями не станет работать.

В приведенном примере мы рассмотрели конфигурирование AppleTalk для iAN-интерфейса Ethernet. Кроме того, AppleTalk поддерживает Token Ring и DDI. Поэтому, если вы конфигурируете интерфейс Token Ring (первый интерфейс маршруптзатора} для AppleTalk-маршрутизации, вом необходимо предоставить информацию о сети и зоне для интерфейса Token Ring 0.

Конфигурирование интерфейсов WAN

Конфтурирование ттерфейсов WAN достаточно легко: следует сконфшуриро-вать все последовательные порты на всех маршрутизаторах для соответствующего протокола WAN и указать для (штерфейсов сведешш о сети и зоне. Последовательные интерфейсы двух соединенных маршрутизаторов необходимо сконфигурировать таким образом, чтобы оба маршрутизатора находились в одной сети и зоЕге (аналогично случаю 1Р-маршрутизации, когда оба маршрутизатора должны иметь связанные между собой последовательные интерфейсы в одной подсети IP).

Конфигурирование интерфейсов WAN для Арр1еТа1к-маршрутизации осуществляется так:

1. В ирнглашении привилегарованного режима поместите команду conf ig t, затем нажмите клавишу Enter. Вы окажетесь в режиме общей конфигурации,

2. Введите команду interface serial О (команды можно сокращать) и нажмите Enter.

3. В строке config-if наберите команду appletalk cable-range 11 и снова нажмите клавишу Enter. Задайте тот диапазон кабеля, который вы определили для соешгаеш1я WAN.

4. Чтобы указать зону для последовательного интерфейса, напечатайте команду appletalk zone wanconnect, где wanconnect - имя, которое применяется

ffc EJr 6И CifM Ы' 1е-

I p<iv.ta.nFl!i-i/>h ;.t-1{< t,t.-T.n ll-U

Рис. /3.7. При конфигурировании интерфейсов WAN следует задать информацию о сети и зоне

О конфигурировании наиболее часто используемых на маршрутизаторах Cisco протоколов WAN говорится в главе 15.

Мониторинг AppleTalk-маршрутизации

В1СЛЮЧИВ Лрр1еТа]к-марШрутизацню и сконфигурировав интерфейсы, вы получаете возможность пользоваться таблицами маршрутизащш AppleTalk и просматривать конфигурацию различных интерфейсов, а также сведения о трафике AppleTalk в сети, в частности список пакетов, которые маршрутизатор получил и отправил.

Чтобы вывести таблицу маршрути.}ации. наберите команду show appletalk route в приглашении пользовательского или привилегированного режима и нажмите клавишу Enter. На рис. 13.8 представлена таблица маршрутизации на маршрутизаторе 2505, у которого интерфейс Ethernet О связан с сетью LAN AppleTalk, а интерфейс Serial О - с другим маршрутизатором 2505 через последовательное соединение. Диапазоны сетей, помечен1[ые буквой С , пол1слюче ны напрямую к маршрутизатору. Диапазон сети 12-20, обозначенный буквой *R*, - это другая сеть LAN AppleTalk, связь с которой осуществляется через последовательное соединение с другим маршрути.чагором (схема соединения маршрутизаторов представлена иа рис. 13,5).

MoHiiTOpimr AppleTalk-марщрутизащш на маршрутизаторе реализуется с помощью еще нескольких команд show. Вы можете [(ознакомиться с 1ш<]юрмацией об одном тггерфе11се или П1юсмогреть сведения о коифи1-урации всех тщгерфейсов.

( *. t - ElOm с - ЕдптсШ. II - ЙВКГ

Ihi rtnt inn U>(*4 (w uuK mtrv i> In OifauU <i>rl>iu.x> *Mm.

С H.C l-ll dlncll* lonnHiad. ECh-n-E*. Igni d №Ii

С tWi u-u AlMtlu cennactad, Baj-laU. №fe мпм^ячаак

Hat IS-m ил I 11. . e aac. tarlall, aana Itliudla

I l lial

Рис. 13.8. Просмотр таблицы маршрутизации на маршрутизаторе

в качестве имени зоны для последовательного соединения, а также для напоминания о том, что это соединение WAN. Нажмите Enter (рпс. 13.7).

5. Для выхода из режима конфигурации воспользуйтесь клавтиами Ctrl+Z.

6. Нажмите Enter, чтобы вернуться в привилегарованныЙ режим.

МОНИТОРИНГ APPLETALK-МАРШРУТИЗДЦИИ 213

которые поддерживают Арр1еТа1к-марп1рут1ШЦШО, а также о зонах AppleTalk и связанных с ппми диапазонах сетей. Табл, 13.2 содержггг список этих команд (о1ш вводятся в приглашении пользовательского или пршилсшровашого режима).

Таблица 13.2. Камоиды show applBtalk

Showappletallt. uiterface brief

Show appletalk inter tace

Showappletalit interface eO

Show appletalk zone

Show appletalK global

Предоставляет краткие сведения по йсем интерфейсом мар1ирутизатора и t(x конфигурации для стека протоколов AppleTalk

Диет подробную информоцию по всегл интерфейсом маршрутизатора и их конфигурации для стеко протоколов AppleTalk

Позволяет просмотреть подробные сведения

по онфиг^ации AppleTalk для указанного интерфейса

моршрутиэатора

Предоставляет донные о зоне и cervi для зоны, доступной в обьединенной сети

Выводит информацию о количвгтое сетей и зон, которые доступны в оСьединенной сети, а токже о временны* интервалах ддч запросов протоколо ZIP и сообщений протокола ЕТМР

Если ВЫ читали главы данной книги по порядку, то, вероятно, заметили, что команды show, приведенные в табл 13.2, аналогичны командам show, которыми мы пользовались для просмотра конфигурационной информации IP и IPX/SPX Освоив эти команды, вы сможете познакомиться с конфигурацией любого маршрутизатора для любого сетевого протокола

На рис. 13.9 HOKajaH результат исполнения команды show appletalk interface brief, на рис, 13,10 - команды show appletalk zone, a на рис. 13.11 - команды show appletalk global.

Разрешается также включить режим отладки [фотокола RTMP AppleTalk и про-сматрггеать все пакеты его обновлен1Ш. отправленные и получетшые маршрутизатором. Напечатайте в приглашении приви легирован ного режша команду debug apple routing и нажмите клавишу Enter, На рпс. 13.12 демонстрируется результат выполнения этой команды. Чтобы выключить режим отладки, наберите команду по debug apple routing и нажшгге Enter: в протпвиом случае вам будет трудно вводить следующие команды.

Вы ыщ1гге, что стек протоколов AppleTalk функционирует с маршрутизацией настолько же эффективно, насколько и стеки IP и IPX. Кроме тою, AppleTalk предоставляет такие функХш!, как работа с зонами и расширешплми сетями, что позволяет упростить создание крупных сетей. Однако первое место среди стеков сетевых протоколов по-прежнему заншнает IP (второе место принадлежит стеку IPX), поэтому вы, скорее всего, будете редко сталкиваться с протоколами стека AppleTalk.

Рис J 3, ?. Используйте команду show appl etalk inter face bri ef для просмотра конфигурации интерфейсов маршрутизатора

tHllt 1м41к

11-11

la-ia i-

Рис. 13.10, Слол(ощью команды show appletalk zone можно познакомиться со сведениями о зоне и сети

£Ь 1Л Saw (шк! Уп*ж Н*

11? r* i>Ab 4U*flia МГУ 11 й>са-Ла.

RTlIF kiMdutfei AM Bint BHFv in мвмйв.

FT hp fthLi-lBfe BPB CBMldand HD St w гш шшкппЛм*

JTlnt >nti-l B Bn.dliBu4*d kft И вкрп ,

ЙЙЯР vreb* ntTBMVll: СПНПС I Ц IntBrTT Лив mi:.

ПйНГ rtquBct rttiwiMC iTDunt- 5. InCdrvBlT 1ЙЁ11 тллс.

ВНР ЛшХяягшгт will >i> cbtcluuiwd,

XrrtP dUvTW vill Ы ktMdlfh cbpclwd

RT№ My net h pnp*v t>A HlLlcHtt нпв -

Hqut * 11) ПЙ1 b* dljtvllHtt* btMin Huting vnilacblK,

RQIfCtnH bntvbbn IaCAL dBWlElB *n tlltlPfACB wlll fm\ Ъ* i

IPf>lh V>ir> ttm udp kABA (Htrt Й 4:B*ruilt1.

ICCBIB CDntni of tMIf

:1iMrhB Df <

Рис 13.11. Команда show appletalk global предназначена для отображения общей конфигураф1И AppleTalk на маршрутизаторе

.11-I i.rp..ain?vi

]Еп11тви^Нгни11л|1вЕ Ib m

АррЫли ETCHF mtbtp 4*Ьин1пв 1в вп

lt,4S inBw В^аЫ l.b d B-lnn I, 4mi 1

........ wL :7.1 T, il*t-l-l . lzP-ZX. 2 rtBBp ЯТПГ pkt ввп1

(dJLVh KT? m-SirliilBilI.lS. difllll. bIzv-IC К *- -в, HTHF pkt Bvnt tdtVhi HoutB memr t i-bili an Па In 4f KnutlnT*bU О actlvB nadBsl tdlVh. ЙТл КвнГв вавг flnivhKd wi Haln t Й(1иС1пяТ*Ы> О actluB nad B> t4.19h ЙТ1 KIHP fPM 11.4S CiHH В^вЫ l.bM B,fffi B. dmn B> t4l9h: ATt SK-EtlMnete<it-l-ll. 1жч-2Я, 2 rt*c, ЛТПР pkt Bnt tdlVh- Kit iPv-BBrl lB:ll,tb4. dBt-31-11. в1лв-11 . 1 rt*,. WnV pkt ввпС ftdlfhi ЙТ1 JtoutB вав' вг*1-1:1ла on Нв1л AT )Ьи11цяТ*Ив tl BctlwB MdB > bdlVht ЙТ: KuutB BBBT flnltnd an Haln flt №>1(1пвТ#ь1ц Ц ве€ в пвАив d h> ЙТ: КТПР frvn lt,-1!t Chbw В.eld l.bsd В. 1нп В. dw В> tilllhi Й11 pv-Et)MmBtB:7.J6f, dBfl-li Blza-ia. Л rt*B, Kin lAt BBnt t l9hT 1к-Ввр1в1В:11.1?. diC-11-11. liza-lt. 1 rtB, ЛТНР вЬС ввпС *a.n ATI Hduta a*ar tvtn* Haln M HauCJntwbtB СЭ actlwa nadBsl tAlTht T- Hflwca В94Г ПпвЬвй вл Лв1л ЙГ 1 мС1пвТвЬ1 acClwa nedaa} bdlVbt ATI ПИР Грвя 11,IK <i u tBld M-ipn ilvn B>

-12- 2 rtBB. ЛТНР 3n Beat

..... ... .-. ........KTHP pht ant

tAl4h: nX: Mvnta >рв>- BtutbiB pn Italn nt Kout. 1пвТ>Ыв <] wstivm nnmt ЬЦ9Ъ2 ЙТс Hakii* flnlBlifrd en Haln ЙТ 1Ьик1леТвЫ О Bct4u padsat

Udl4ltf ATi DTHF fKH 11.-IS (пвъ B,eU l.bad В,1дп Ш. dun UlViM ЙТ4 вп:-ЕсЬ*г >в?В:7аБ9, dst--lB. в1лв-Х. 2 rtee RTHF pht iBnt MlThc ЙТ1 BK-SBrlalBlI.lS, dat-11-11, eIre-It. 1 rtB, BTflP pht iBnt tdlSh: ЙТ: Route ев*г СчГсДл* en lUln ЙТ ttaucfnBtbte О BctiwB nndBi> *dlWh= ffT: Haute timlMtmi an Haiti йГ JbuTilrpTJv (2 есПме ned >

bdlVb: ЙТ: iK-Eth rnBtBi?,t p dBt ! IB. miw-ii. i bdlfb: ЙТ: iK-fiBriplHrll.lb. dBftt-ll. wUm-lb, г i

Рис /3. /2. Результат выполнеиия команды debug apple routing

Дополнительные возможности

конфигурирования

Фильтрация

трафика

ршрутизатора

при помощи списков доступа

Итак, вы уже знаете, как на маршрутизаторе Cisco конфигурируются три различных протокола LAN - TCP/IP, IPX/SPX и AppleTalL Мы также обсудили, как конфигурировать интерфейсы и создавать сеть, которая поддерживает данные тины протоколов.

После того как вы сконфигурируете маршрутизаторы, ваша сеть станет напоминать проходную комнату с настежь распахнутыми дверями. Пакеты будут свободно отправляться и приниматься на любом порте маршрутизатора; похоже, что вы создали город без мэра. При управлении маршрутизаторами и сетью крайне важно закрывать доступ для некоторых пакетов, а также контролировать, какие Ш1терфенсы на каких маршрутизаторах вашей сети оказались доступными для трафика от определенных узлов или целых сетей.

Справиться с этой задачей вам помогут списки доступа. Список доступа представляет собой перечень особых предписаний, называемых предписаниями 4раз-решитъ (permit) и *(irnKJiouumbif (deny), которые позволяют регулировать трафик на маршрутизатор и от него (onir способны также управлять доступом пользователей по протоколу Telnet). Предписание разрешить означает, что пакеты, отвечающие известным требоваш1ЯМ, будут пропущены. Друпши словами, им будет разрешено дальнейшее движение. Предписание еоткло1П1ТЬ (в соответствии с каким-либо критерием, например IP-адресом или адресом сети IPX) указывает на то, что пакет необходимо отсортировать или удалить.

Списки доступа могут применяться для запрещения иродвижепия пакетов на определенный интерфейс маршругизатора или от него, а также для ограничения доступа некоторых пользователей и устройств к сетевым ресурсам.

Этд очень важный момент, и администратор сети при конфигурации зашиты пракппсски всегда вылолнясг настройку доступа к устройству Cisco по протоколу Tdnet. - Прим. научи, ред.

Слиски доступа - интереснейшая тема исследования. Они предоставляют большие возможности по управлению потоками данных В сети. Освоить все принципы работы со списками доступа - нелегкая задача. В настоящей главе дана вводная информация по этой теме, а также представлены стандарт- ныв списки доступа (вам. скорее всего, потребуются списки доступа IP, поскольку IP ~ самый популярный маршрутизируемый протокол в мире}. Для сетевых протоколов IP и IPX также могут быть созданы расширенные списки доступа. Если вам нужна дополнительная информация, посетите сайт vvww.ci5co.CQm или обратитесь к представителю местного учебного центра Cisco (обучение доступно и через Web-сайт Gsco) В учебных центрах проводятся курсы, на которых вы сможете получить дополнительные сведения по маршрутизаторам и операционной системе Gsco IOS.

Списки доступа

Как указывалось ранее, списки доступа - это наборы из условных предписаний, которые могут запретить пакетам доступ из сети иа маршрутизатор или с маршрутизатора в какую-либо сегь при выполнении определенных условий. Каждое из предписаний в таком списке читается по порядку, то есть новый входя uniit пакет будет последовательно сравниваться со всеми критериями в списке доступа с начала списка до конца.

Пакеты, которым отказано в доступе, отбрасываются, а те, доступ для которых разрешен, пропускаются. Если пакет, пришедший на маршрутизатор, не соответствует первому предписанию в списке дос1упа (а это может быть как директива отклонить , так и директива - разрегаить -), то он сравниваегся со следующим предписанием.

Процесс сопоставления пакета и списка доступа продолжается до тех пор, пока одно из предписаний не окажется выполненным, и тогда пакет будет либо пропущен, либо отброшен. На рис. 14,1 продемонстрирован процесс сопоставления пакета и предписании - отклонить и разрешить в списке доступа.

Пакет, пропущенный на входном интерфейсе (на основании списга доступа, созданного для этого интерфейса), затем может быть проверен ciuickom доступа на выходном интерфейсе того же маршрутизатора. Это означает, что фильтровать пакеты разрешается и при получении, и при отправлении.

Например, если требуется, чтобы определенные пакеты не попали на маршрутизатор, заблокируйте им доступ на соответствующий интерфейс, скажем на Ethernet, подсоединенный к сети LAN, Вы также можете сортировать пакеты в момент, когда они уходят с маршрутизатора. Допустим, нужно запретить отправку некоторых пакетов с последовательного интерфейса, связав того с друпш маршрутизатором через медленное соединение WAN. Вы имеете право назначить этому

Интерфейс маршрутизатора

Пакеты проверяются на выполнение условий из списка доступа

Список доступа для интерфейса (входящие пакеты)

/СброшенныеЧ пакеты J

Рис. 14,1. В зависимости от предписаний в списке доступа пакеты либо пропускаются, либо отбрасываются

интерфейсу фильтр, который не будет пропускать через последовательный интерфейс пакеты с определенным адресом.

Создание списка доступа \

Разрешается составить список доступа для любого интерфейса маршрутизатора. Однако каждый сетевой протокол, [юддерживаемый интерфейсом, ассоциируется только с одним СШ1СКОМ доступа. Гак, для порта Ethernet О маршрутизатора (который сконфигзфирован под IP- и IPX-маршрутизацию) может существовать список доступа для фильтрации трафика IP и список доступа для фильтращга трафика IPX. Однако недопустимо, чтобьЕ для одного интерфейса одновременно существовало два списка доступа, фильтрующих трафик IP.

Большое преимущество подобной работы состоит в возможности назначить разним интерфейсам маритрутизатора, например Ethernet О и Ethernet 1, один и гот же список доступа. Разрепгается также указать, для фильтрации входящих

Маршрутизатор

ФИЛЬТРАЦИЯ ТРАФИКА МАРШРУТИЗАТОРА ПРИ ПОМОЩИ СПИСКОВ ДОСТУПА 219

- . - Л.---

или выходящих пакетов на интерфейсе 11р1ииенять список доступа. Следовательно, шпто не метает иметь список доступа на одном интерфейсе для фильтрации входящих пакетов, а на другом интерфе1[се того же маршрутизатора - для фильтрации выходящих пакегов.

Создать список доступа несложно: вы просто составляете перечень директив и затем задаете его определепному интерфейсу маршрутизатора. Учтите только, что такой список должен содержать хотя бы одно предписание разрещить .

При работе со списками доступа иногда возникают затруднения из-за наличия двух условных предписаний: разрешить и отклонить*. Вам придется определить, как именно вы будете распоряжаться данньтп! директивами, чтобы корректно фильтровать трафик на маршрзтиэаторе.

Например, носредством предписания разрешить вы можете предоставлять доступ на маршрутизатор пакетам, поступающим из определе1ШЫХ сетей LAN вашей объединенной сети (для этого нужно ук-азать в предписании все адреса сети, узлы которой должны получить доступ). Таким образом, в списке доступа будет несколько предписаний разрешить*. Затем требуется поместить в конце спис1са предписание отклонить , которое запретит доступ для всех других сетей (это делается различными способами, в зависимости от типа трафика).

Или с помощью предписания отклошггь запретите доступ определенным узлам или целым сетям, а потом поместите в конце С1тска предписания разрешить , которые позволят узлам указанных вами сетей посылать пакеты иа данный интерфейс маршрутизатора. Какую бы методику вы ни выбрали, вы не сумеете в одном предписании запретить доступ какому-либо адресу, а в другом -разреш1ггь. Как только пакет совпадет с критерием предписания разрешить , он сразу же будет пропущен, поэтому проверить его на соответствие следующему предписан!но -вотооинть не удастся.

Создание списка доступа требует логических размышлений, а татсже умения таким образом размещать предписатитя, чтобы пропускать необходтадые для маршрутизации пакеты и отсеивать ненужные. Состав.пяя предписаш1я, имейте в виду, что они ие должны противоречить друг .ipyry. Вы, конечно, ие хотше иметь список доступа, отбрасывающий пакеты, для которых этот интерфейс - един-cTBeinio возможный путь к конечному пункту. Рассмотрим некоторые сетевые протоколы и метод1Псу формирования списка доступа для каждого из них. Это поможет разобраться в принципах обращения с такими списками.

При работе со списками доступа для интерфейсов маршрутизатора, входящего в достаточно крупную сеть, придется использовать как директивы разрешить , так и директивы отклонить . После того как в списке доступа указаны все узлы и сети, в конце приводится обобщенное предписание отклонить все (deny all), запрещающее доступ для пакетов, которые ие совпали ни с одним из предписаний разрешить или отклонить .