нового правила в указанное место списка или удаления конкретного правила при помощи параметра sequence-number.

Необходимо обратить особое внимание при работе как с нумерованными, так и с именованными списками доступа на тот факт, что по алгоритму работы в каждом списоке доступа в неявной форме указано правило deny 0.0.0.0 0.0.0.0, которое запрещает все, что не было разрешено в явном виде. Это связано с тем, что первоначально правила доступа применялись для фильтрации трафика проходящего через маршрутизатор, и такое правило было полезным с точки зрения обеспечения безопасности и удобства администрирования.

18.2.2 Фильтрация сетей получателей по длине префикса

Длина префикса сети получателя это важный его компонент. Иногда единственным отличием между двумя сетями получателями является длина их сетевого префикса, поэтому возможность сравнивания длин сетевых префиксов должна присутствовать в механизмах фильтрации маршрутной информации (Рисунок 18.8).

10. 1.0.0/28

10. 1.0.0/26

R1R2

Рисунок 18.8 – Фильтрация маршрутной информации по длине префикса сети получателя

Как мы обсуждали в предыдущем пункте, стандартные списки доступа IP, применяемые в качестве маршрутных фильтров, не позволяют производить сравнение длин сетевых префиксов сетей получателей. Следовательно, должен существовать какой-то другой способ установления соответствия между длинами сетевых префиксов.

Для этого были, разработаны списки префиксов IP. Они представляют собой логические выражения, которые могут устанавливать соответствие с указанными начальными наборами битов в сетевых префиксах IP и длинами этих сетевых префиксов. Подобно спискам доступа, списки префиксов IP состоят из одного или нескольких выражений, каждое из которых определяет критерий соответствия. Как и правила списков доступа, выражения списков префиксов возвращают результат permit или deny. Однако, в отличие от выражений нумерованных списков доступа, выражения списков префиксов имеют порядковые номера, что позволяет удалять или добавлять в нужное место отдельные выраже-

302

ния списка, не затрагивая весь список целиком, подобно тому как это делается в именованных списках доступа.

Списки префиксов IP могут использоваться только как маршрутные фильтры.

Настройка списка префиксов IP, осуществляется последовательным добавлением в конфигурацию маршрутизатора правил списка префиксов, используя команду ip prefix-list. Синтаксис команды приводится в примере 18.6.

Пример 18.6 – Синтаксис команды ip prefix-list

(config)# ip prefix-list {list-name | list-number} [seq number] {deny network/length | permit network/length} [ge ge-length] [le le-length]

(config)# no ip prefix-list {list-name | list-number} [seq number] {deny network/length | permit network/length} [ge ge-length] [le le-length]

Описание параметров команды ip prefix-list приводиться в таблице 18.5.

Таблица 18.5 – Параметры команды ip prefix-list

Правила, которые использует маршрутизатор при сравнении сетевых префиксов из маршрутного обновления со списком префиксов IP таковы:

303

1.Маршрутизатор рассматривает список префиксов как упорядоченный список. Маршрутизатор сначала сравнивает сетевые префиксы с выражениями

сменьшим seq number, а затем – с большим. Первое сравнение производится

свыражением с наименьшим номером.

2.Маршрутизатор ищет лишь первое совпадение. При нахождении совпадения просмотр списка префиксов прекращается. После этого результат, указанный в строчке выражения по которому было получено совпадение, возвращается в качестве результата сравнения сетевого префикса со всем списком префиксов.

3.При сравнении сетевого префикса с выражением из списка маршрутизатор сначала проверяет, является ли длина сетевого префикса, назовем ее L, большей или равной параметру length указанному в строчке выражения. Если это так, то маршрутизатор сравнивает первые length бит сети получателя с первыми length битами параметра network Если все биты равны используются

следующие правила:

–Если не указаны ни ge ge-length ни le le-length, выражение дает совпадение только в том случае, если длина сетевого префикса сети получателя равна параметру length, т.е. L = length;

–Если указано только ge ge-length, то L ≥ ge-length;

–Если указано только le le-length, то L ≥ le-length;

–Если указанны оба параметра, то le-length ≥ L ≥ ge-length.

4. В конце каждого списка префиксов имеется неявное выражение deny 0.0.0.0/0 le 32, которое соответствует любому сетевому префиксу, который не совпал ни с одним из явных выражений.

18.2.3 Использование списков доступа и списков префиксов при фильтрации маршрутной информации

После настройки списка, по которому будет производиться фильтрация маршрутной информации, необходимо связать этот список с процессом маршрутизации и указать параметры ее обработки.

Для связи списка доступа или списков префиксов с процессом маршрутизации применяются команды distribute-list in и distribute-list out, в зависимости от направления распространения маршрутной информации. Синтаксис команды distribute-list in представлен в примере 18.7.

Пример 18.7 – Синтаксис команды distribute-list in

(config-router)# distribute-list [access-list-number | name | prefix-list

{list-name | list-number}] | [route-map map-tag] in [interface-type |inter-

face-number]

(config)# no distribute-list [access-list-number | name| prefix-list {listname | list-number}]] | [route-map map-tag] in [interface-type interface-num-

ber]

304

Описание параметров команды приводиться в таблице 18.6.

Таблица 18.6 – Параметры команды distribute-list in

Синтаксис команды distribute-list out представлен в примере 18.8.

Пример 18.8 – Синтаксис команды distribute-list out

(config-router)# distribute-list {access-list-number | access-list-name | pre- fix-list {list-name | list-number}]} out [interface-name | routing-process |

as-number]

(config)# no distribute-list {access-list-number | access-list-name | prefixlist {list-name | list-number}]} out [interface-name | routing-process | asnumber]

Описание параметров команды приводиться в таблице 18.7.

305

Таблица 18.7 – Параметры команды distribute-list out

На рисунке 18.9 приводится пример использования списка доступа для фильтрации исходящих маршрутных обновлений.

Маршрутизатор R2 является пограничным маршрутизатором сетей 172.16.0.0/16 и 192.168.1.0/24, кроме этого он получает от маршрутизатора R1 маршрутную информацию о сети 10.0.0.0/8.

Необходимо, чтобы маршрутизатор R3 получал от маршрутизатора R2 маршрутную информацию только о подсетях принадлежащих сети 172.16.0.0/16. Для этого используется правило доступа, которое производит фильтрацию маршрутных обновлений, поступающих маршрутизатору R3, при котором, маршрутизатор R3 получает маршрутную информацию обо всех подсетях сети 172.16.0.0/16, а подсети сети 10.0.0.0/8 остаются ему, неизвестны.

306