aiuto riguardo esami CCNA2

[crystalcz]

ciao ragazzi
sto studiando per il conseguimento del CCNA2.
Per adesso faccio simulazioni a destra e a manca ma su alcune domande ho dei dubbi chi mi da una mano. Secondo voi quelle corrette quali sono?
grazie a chiunque mi aiuti


Select the statements that describe ACL processing of packets. (Choose three.)
1)An implicit deny any rejects any packet that does not match any ACL statement.
2)A packet can either be rejected or forwarded as directed by the statement that is matched.
3)A packet that has been denied by one statement can be permitted by a subsequent statement.
4)A packet that does not match the conditions of any ACL statements will be forwarded by default.
5)Each statement is checked only until a match is detected or until the end of the ACL statement list.
6)Each packet is compared to the conditions of every statement in the ACL before a forwarding decision is made.



A router that has two Ethernet interfaces and one serial interface is configured to route both IP and IPX. What is the maximum number of IP ACLs that can be configured to filter packets on this router?
1
2
3
6
12


Assuming the ACL (access-list 120 deny tcp host 192.168.15.4 any eq 21 is correctly applied to an interface, what effect will this ACL have on network traffic?

1)Host 192.168.15.4 will be denied ftp access to any destination, but will be permitted all other access.
2)All ftp traffic to host 192.168.15.4 will be denied.
3)All traffic from that interface will be denied.
4)No traffic will be denied because a "permit" statement does not exist in this ACL.

[hmetal]

1: risposte n:1-2-6

2: risposta n:4

3: qui dipende se hai incollato tutta la access list. Se c'è solo quella riga allora la risposta è la 3. Se c'è un permit any dopo la risposta è la 1.

ciao

[crystalcz]

grazie hmetal per aver risposto.
per la prima domanda avevo il dubbio tra la 5 e la 6. Non riesco a capire bene la differenza in termini di traduzione

-Each statement is checked only until a match is detected or until the end of the ACL statement list.
-Each packet is compared to the conditions of every statement in the ACL before a forwarding decision is made.

Il testo da cui ho studiato mi riporta che le dichiarazioni sono valutate nell'ordine in cui sono inserite. Il pacchetto è confrontato sequenzialmente con le regole una alla volta fino a trovare la corrispondenza. Quando viene trovata viene eseguita l'azione specificata nella linea che corrisponde al traffico in questione; le condizioni successive non vengono controllate.

Di questa Each packet is compared to the conditions of every statement in the ACL before a forwarding decision is made l'unica cosa che non mi convinceva è la parola every statement cioè il fatto che vengano controllate a prescindere tutte le dichiarazioni anche se è già stato trovata una dichiarazione che coincide?Pensi voglia dire questo?


Su quella invece che vuole sapere il massimo di ACL che possono essere applicate all'interfaccia m ispieghi una cosa sono 6 perchè posso applicarne due ACL (1 pe IP e 1 per IPX) per singola interfaccia.
Sempre il testo mi dice 1 ACL per interfaccia, per protocollo, per direzione anche se non ho capito ancora bene questa cosa cioè quando io faccio ip access-group 1 in applico un'acl ad un'interfaccia quindi se volessi applicare alla stessa interfaccia un'acl per l'out posso farlo o no visto che il libro dice 1 acl per interfaccia?Il fatto che tra le risposte ci fosse anche 12 mi ha fatto sorgere il dubbio che magari dovevano esserci altre 6 ACL per direzione(in e out per ogni singola interfaccia)


Per quella deny il traffico ftp per quell'host verso qualsiasi destinazione si c'è solo quella dichiarazione ed effettivamente mi sono ricreduto con quello che m i hai detto. Se viene specificata solo quella dichiarazione e non c'è un permit any any a quell'host sull' interfaccia a cui viene applicata l'acl blocca tutto il traffico qualunque esso sia quindi non solo quello verso ftp ma tutto web, telnet ecc?
Quindi se ho ben capito se a quell'host voglio permettere il traffico web dovrei mettere dopo quella dichiarazione in cui nego l'ftp permit tcp 101 host indirizzo any eq 80 se no di default vince l'implicita deny?


ancora grazie hmetal

[hmetal]

Di questa Each packet is compared to the conditions of every statement in the ACL before a forwarding decision is made l'unica cosa che non mi convinceva è la parola every statement cioè il fatto che vengano controllate a prescindere tutte le dichiarazioni anche se è già stato trovata una dichiarazione che coincide?Pensi voglia dire questo?

SI esatto. Cioè questa risposta è sbagliata perche, come dici giustamente tu, una volta che il router matcha un entry nella acl si ferma li e decide in base a quello che è indicato nella acl. Il router non si passa tutta la acl ma si blocca al primo match. Se non trova nessun match alla fine della acl c'è un implicito deny any any. A meno che non si si metta un permit any any a mano.

Sempre il testo mi dice 1 ACL per interfaccia, per protocollo, per direzione anche se non ho capito ancora bene questa cosa cioè quando io faccio ip access-group 1 in applico un'acl ad un'interfaccia quindi se volessi applicare alla stessa interfaccia un'acl per l'out posso farlo o no visto che il libro dice 1 acl per interfaccia?Il

Qui c'è il discorso che feci tempo fa ad un altro utente: secondo me bisognerebbe fare un corso a parte solo per fare i test Cisco! Leggi bene la domanda:

What is the maximum number of IP ACLs that can be configured to filter packets on this router?

Ecco...li sta la fregatura...tu dici giusto " ACL per interfaccia, per protocollo, per direzione " ma la domanda è un tranello perche prima ti dice che usa ipx e ip ( e quindi tu giustamente calcoli 12) mentre la domanda è riferita solo ad IP.
ehehehe Ocio....
Soprattutto ocio a routed protocols (ip, ipx etc...) e routing procols (RIP, IGRP, OSPF etc...). Queste sono quelle che ci sono piu di frequente. LEggi bene le domande.

Per quella deny il traffico ftp per quell'host verso qualsiasi destinazione si c'è solo quella dichiarazione ed effettivamente mi sono ricreduto con quello che m i hai detto. Se viene specificata solo quella dichiarazione e non c'è un permit any any a quell'host sull' interfaccia a cui viene applicata l'acl blocca tutto il traffico qualunque esso sia quindi non solo quello verso ftp ma tutto web, telnet ecc?

esatto. Tu devi pensare l'acl come una lista dall'alto verso il basso. Se tu hai quello alla fine hai un acl del tipo:


access-list 120 deny tcp host 192.168.15.4 any eq 21
deny any any (implicita)

Un access list di questo tipo non ha molto senso. Infatti sta qui la fregatura. INfatti se gli arriva un pacchetto da 192.168.15.4 sulla porta 21 il router matcha l'acl e viene droppato. Se non matcha viene comunque negato dal deny any any implicito. Come risultato hai che quell'host non fara un bel tubo.

NOTA IMPORTANTE:
1- se tu non applichi nessuna access list ad un interfaccia, non c'è il deny any any implicito. Cioè se tu crei un access list pero non la applichi le interfacce non hanno comunque il deny any any. Il problema sorge quando cancelli un access list, ma non la togli dall'interfaccia: in questo modo l'interfaccia blocchera tutto il traffico e non terrà piu conto ne della cancellazione ne delle regole della acl appena cancellata. Quindi occhio. Se togli un acl prima toglila dall'interfaccia e poi dalla lista delle acl.

2- le regole di acl non hanno effetto sui pacchetti generati all'interno del router. Se tu hai un acl che blocca i ping verso l'esterno di un interfaccia, verranno solo bloccati i ping in transito. I ping che tu lanci, ad esempio in console o in telnet, dal router che ha quell'acl verrano lasciati passare.

ciao

[cisketto]

Originariamente inviato da crystalcz

Per quella deny il traffico ftp per quell'host verso qualsiasi destinazione si c'è solo quella dichiarazione ed effettivamente mi sono ricreduto con quello che m i hai detto. Se viene specificata solo quella dichiarazione e non c'è un permit any any a quell'host sull' interfaccia a cui viene applicata l'acl blocca tutto il traffico qualunque esso sia quindi non solo quello verso ftp ma tutto web, telnet ecc?
Quindi se ho ben capito se a quell'host voglio permettere il traffico web dovrei mettere dopo quella dichiarazione in cui nego l'ftp permit tcp 101 host indirizzo any eq 80 se no di default vince l'implicita deny?


ancora grazie hmetal

Il concetto è piu semplice di quanto pensi. Considera che alla fine di ogni acl c'è sempre un deny implicito(deny any any) quindi se un pacchetto non soddisfa nessuna delle entry dell'acl automaticamente viene scartato

nel tuo caso se vuoi bloccare solo il traffico ftp e permettere tutto il resto oltre a

access-list 120 deny tcp host 192.168.15.4 any eq 21

devi mettere

access-list 120 permit ip any any

in questo caso qualsiasi tentativo di connessione diverso da quella ftp soddifa la seconda entry quindi niente viene scartato.

saluti

[hmetal]

riprendo quello che dice cisketto.

Se tu metti un permit any any alla fine non è che cancelli il deny any any ma semplicemente l'acl diventa:

access-list 120 deny tcp host 192.168.15.4 any eq 21
access-list 120 permit ip any any
deny any any (implicito)

Il deny any any rimane!

Ma siccome, come abbiamo detto, il router si ferma al primo match e non continua il parsing dell'acl tutti i pacchetti matcheranno il permit any any.

ciao

[crystalcz]

grazie di cuore per l'aiuto.

Ricapitolando
allora per la prima domanda è la 5 giusta(Each statement is checked only until a match is detected or until the end of the ACL statement list)non la 6
per la seconda (6 ACL)
per la terza(All traffic from that interface will be denied)


ancora grazie

[crystalcz]

raga ho un dubbio su 3 domande voi che mettereste vi allego il file contenente le domande.
grazie