Newsgroup: it.comp.reti.cisco
Titolo: Access List righe numerate

Salve a tutti
Mi ricordo di aver sentito parlare di un tipo di access list con le
varie righe numerate, cosa che permetteva di aggiungere una determinata
riga in una posizione ben precisa senza riscrivere tutto, solo che non
riesco a trovare niente su web, potete darmi qualche indizio.
Grazie


extended access-list?
ip access-list extended NOMEACL
dopodiché premetti alla singola regola il numero della posizione dove vuoi che sia messa.
ciao Alex.

Ummm Vero, non pensavo fosse così semplice la risposta, solo che non
riuscivo a trovare un sito che ne parlava, ma ora ho cercato meglio:
http://www.cisco.com/univercd/cc/td/doc/product/software/ios124/124cg/hiap_c/ch05/haclace.htm
grazie
AM ha scritto:


ip access-list, sono le NAMED access-list che a differenza di quelle 
standard o extended permettono l'editing della singola riga.
Ciao
Ringhio
Nuk ha scritto:


 wrote in message
news:dse23n$j4h$2...@nnrp.ngi.it...

Ciao.
Anche le numbered access-list, 1-99 standard e 100-199 extended,  sono
editabili per singola riga...
Per quanto riguarda il numero di linea della singola access list, dalla 12.2
S in poi esiste il sequence che permette di aggiungere o eliminare la
singola riga semplicemente anteponendo il numero sequenziale.
Es.
router#show access-list
Extended IP access list 110
    10 deny ip host 10.10.10.3 host 192.168.254.134
    20 permit ip any any
Volendo aggiungere una entry a questa ACL, è sufficiente fare:
Router#conf t
Router(config)#ip access-list extended 110
Router(config-ext-nacl)#15 permit ip host 10.10.10.1 host 192.168.254.134
...come risultato avrai..
router#show access-list
Extended IP access list 110
    10 deny ip host 10.10.10.3 host 192.168.254.134
    15 permit ip host 10.10.10.1 host 192.168.254.134
    20 permit ip any any
Ciao Carlo

 



Ciao...
Non per fare il bastian contrario, ma anche un'ACL che tu configuri con il
comando "access-list ....." ect puoi editarla cosě come un IP access-list
come dici tu... semplicemente trattandola come una IP access-list....
...certo, a meno che tu non stia usando una vecchissima 11.X
provare per credere
Ciao
Carlo

 ....certo, a meno che tu non stia usando una vecchissima 11.X


 >
Ciao...
mi permetto di ribadire...
ti posto l'output dei comandi che do su un router a beneficio di quello che
stavo dicendo....
Router#conf t
Router(config)#access-list 150 permit ip host 10.10.10.1 any
Router(config)#access-list 150 deny ip host 10.10.10.2 any
Router(config)#access-list 150 permit ip any any
Router(config)#
Router(config)#
Router(config)#^Z
Router#sh access-lists 150
Extended IP access list 150
    permit ip host 10.10.10.1 any
    deny ip host 10.10.10.2 any
    permit ip any any
Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#ip access-list extended 150
Router(config-ext-nacl)#no deny ip host 10.10.10.2 any
Router(config-ext-nacl)#
Router(config-ext-nacl)#
Router(config-ext-nacl)#^Z
Router#sh access-lists 150
Extended IP access list 150
 permit ip host 10.10.10.1 any
 permit ip any any
Poi qui sotto con un IOS che permette la sequence
Router#conf t
Router(config)#access-list 150 permit ip host 10.10.10.1 any
Router(config)#access-list 150 deny ip host 10.10.10.2 any
Router(config)#access-list 150 permit ip any any
Router(config)#
Router(config)#
Router(config)#^Z
Router#sh access-lists 150
Extended IP access list 150
  10  permit ip host 10.10.10.1 any
  20 deny ip host 10.10.10.2 any
  30  permit ip any any
Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#ip access-list extended 150
Router(config-ext-nacl)#no 20
Router(config-ext-nacl)#
Router(config-ext-nacl)#^Z
Router#sh access-lists 150
Extended IP access list 150
 10 permit ip host 10.10.10.1 any
 30 permit ip any any
Router#conf t
Router(config)#ip access-list extended 150
Router(config-ext-nacl)#15 permit ip host 10.10.10.3 any
Router(config)#
Router(config)#^Z
Router#sh access-lists 150
Extended IP access list 150
 10 permit ip host 10.10.10.1 any
 15 permit ip host 10.10.10.3 any
 30 permit ip any any
Ciao
Carlo

Ciao Carlo,
non posso che darti ragione avendolo testato seguendo il tuo esempio sul 
mio 1721 ... ma non penso di essermi fumato la boccia tutto d'un colpo, 
puo essere che è stato implementata come feature dalla 12.3 in poi ?
sarà che forse gli anni passati in irlanda mi hanno "alcolizzato" la 
CCNA ??? :-))
Ciao
Ringhio
Carlo Poggiarelli ha scritto:


 CCNA ??? :-))
No no :-) Sto facendo la CCNA in questi giorni e il libro darebbe ragione a
te :-)
-- 
GenTLe ...di Varese, provincia.
TL1000S + Mito 125 per la pista
La mia HP: 
http://digilander.iol.it/thegentle/index.htm
Il più grosso problema dell'umanità è la stupidità: allora perché non
togliere le etichette di sicurezza da qualunque cosa, e lasciare che il
problema si risolva da solo? (cit.)

 Ringhio
Ciao....
LA funzionalità di modifica di una "semplice" ACL tramite l' "ip
access-list", è stata implementata dalla 12.0
mentre la sequenza è stata implementata dalla 12.2S
Sai....
uno che sta preparando il lab della CCIE ste cose deve saperle per forza....
:))
Ciao
Carlo

ah ecco.... mi pareva ... ma come mai questa discrepanza ?
Ciao
Ringhio
GenTLe ha scritto:


 ah ecco.... mi pareva ... ma come mai questa discrepanza ?
I've no idea!
Ma spero tanto che l'esame rifletta il libro :-))))


..mi sa che Ringhio, visto dove lavora, "arriva sempre in ritardo"...  ;-)
Ciao
Don
------------------------
http://www.ciscoshop.it
 

 Router(config)#ip access-list extended 150
che è il comando che serve per creare una named access list, in questo caso
la chiami "150"; avresti potuto chiamarla pippo o quello che ti pare, ma la
chiami con il numero dell'access list già creata. Probabilmente in questo
modo il router trasforma la tua numbered access list 150 in una named access
list col nome 150.
Di conseguenza è permessa la cancellazione delle singole righe.
Prova a fare così:
Router#conf t
Router(config)#access-list 150 permit ip host 10.10.10.1 any
Router(config)#access-list 150 deny ip host 10.10.10.2 any
Router(config)#access-list 150 permit ip any any
Router(config)#
Router(config)#
Router(config)#^Z
Router#sh access-lists 150
Extended IP access list 150
    permit ip host 10.10.10.1 any
    deny ip host 10.10.10.2 any
    permit ip any any
Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#no access-list 150 deny ip host 10.10.10.2 any
e posta il risultato (non ho router sotto mano per testare). Secondo me ti
sega tutto.
Secondo me quello che fai tu è un modo "strano" di fare questo:
Router#conf t
Router(config)#ip access-list extended 150
Router(config-ext-nacl)#permit ip host 10.10.10.1 any
Router(config-ext-nacl)#deny ip host 10.10.10.2 any
Router(config-ext-nacl)#permit ip any any
Router(config-ext-nacl)#^Z
Router#sh access-lists 150
Extended IP access list 150
    permit ip host 10.10.10.1 any
    deny ip host 10.10.10.2 any
    permit ip any any
Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#ip access-list extended 150
Router(config-ext-nacl)#no deny ip host 10.10.10.2 any
Router(config-ext-nacl)#^Z
Router#sh access-lists 150
Extended IP access list 150
 permit ip host 10.10.10.1 any
 permit ip any any
Potresti fare una verifica per favore?
Grazie, GenTLe



Ciao
.....ma certo che facendo no access-list 150 ..... (anche se scrivi
qualsiasi cosa dopo) ti cancella tutta l'acl.
ma anche se crei una named e poi dai il comando " no access-list pippo" ti
cancella tutta l'ACL.
ecco percè cisco ha introdotto la possibilità di trattare la numbered come
una named....
Non sono io che trasformo nulla ma è l'IOS che te lo permette......
e comunque....
se tu crei una ACL named con un nome....  il rusultato dell' output è
diverso
Guarda qui
Router#show access-list
Router#  (giusto per farti vedere che questo router è libero da acl) :)
ora creo 2 access-list una con il nome ed una con il numero e vedreai che
quella con il numero la visualizzera xome una normale ACL..
Router
Router#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#ip access-list extended pippo
Router(config-ext-nacl)#permit ip 10.10.10.0 0.0.0.255 any
Router(config-ext-nacl)#deny ip any any
Router(config-ext-nacl)#
Router(config-ext-nacl)#exit
Router(config)#ip access-list extended 155
Router(config-ext-nacl)#permit ip 10.10.11.0 0.0.0.255 any
Router(config-ext-nacl)#deny ip any any
Router(config-ext-nacl)#
Router(config-ext-nacl)#^Z
Router#sh run | begin access-list
ip access-list extended pippo
 permit ip 10.10.10.0 0.0.0.255 any
 deny   ip any any
access-list 155 permit ip 10.10.11.0 0.0.0.255 any
access-list 155 deny   ip any any
Come Puoi vedere, anche se create come una named, il cisco la tratta come
una normale ACL
Infatti....
Prova a dare il comando " ip access-list extende 99" secondo te questo
funzionerebbe?
guarda cosa ti dice il router.....
Router(config)#ip access-list extended 99
%
% Invalid access list name.
Router(config)#
Questo per dimostrarvi che non puoi mettere, proprio, qualsiasi cosa.....
Infatti, mettendo il valore di una standard con il comando "ip access-list
extended" il router non l'accetta....
in questo caso avrei dovuto configurare una "ip access-list standard" ,
comando che accetta sia lettere che numeri da 1 a 99
Ciao
Carlo

 Non sono io che trasformo nulla ma è l'IOS che te lo permette......
Capito! :-)
Grazie mille, ste peculiarità dell'ios non sono spiegate dai libri di testo
(manco accennate proprio), quindi è sempre buona cosa impararne di nuove :-)
Ciao, GenTLe


 ...mi sa che Ringhio, visto dove lavora, "arriva sempre in ritardo"...  ;-)



Ecco perchè ti server mettere le mani su un router vero....
C'è anche un bel libro che potrebbe interessarti: Cisco Router Firewall 
Security di Richard A.Deal (Ciscospress).
Li ci trovi, tra l'altro, ler standard ACL, le numbered strandard ACL, le 
named standard ACL, le numbered extended ACL, le named extended ACL; le 
timed ACL, le reflexive ACL, e un sacco di altre cose....
P.S. non è che ti serve un ASA5510 per te ?


io sto spipngendo per upgradare il nostro pix o affiancarlo dall'ASA ... 
vediamo se riesco a convincere chi deve aprire il borsellino in ufficio :-D
Ciao
Ringhio
don ha scritto:
