Дата публикации: 27.11.2010

В этом уроке речь пойдёт о небольшом улучшении доступа к списку последних документов, используя только стандартные средства программы CorelDRAW. А улучшение это будет заключаться в более удачном расположении списка, для более быстрого доступа.

Конечно стандартный список обладает рядом недостатков. Например, в него запоминаются только 15 последних документов. Так же не видно превью файлов. Однако о функционале программы нужно судить исходя из рабочих потребностей. И если для Вас отсутствие превью и небольшое число последних документов не являются недостатками, тогда читаем дальше. В противном случае, используйте макрос RecentFiles .

Итак, главным минусом списка является его положение в меню — практически в самом низу меню File. Конечно его можно было бы поднять, но есть более удачное, на мой взгляд, место для этого списка — контекстное меню рабочей области, которое вызывается кликом правой кнопки на пустом месте в окне CorelDRAW.

Итак, приступаем к выполнению задачи — переносу списка в контекстное меню.

Примечание: в этом видео список находится вверху меню File.

Лабораторная работа

Списки доступа

Если попытаться дать интуитивно понятное определение, то список доступа - это набор правил, по которым маршрутизатор выбирает или сопоставляет маршрут или пакет. В IOS списки доступа используются как основной механизм управления разнообразными режимами работы маршрутизатора, и наилучший способ познакомиться с ними - начать с простейшего приложения управления потоком входящего и исходящего трафиков через определенный интерфейс.

Каждое, правило в стандартном списке доступа сдержит три важных элемента:

число, идентифицирующее список при обращении к нему в других частях конфигурации маршрутизатора;

инструкцию deny (запретить) или permit (разрешить);

идентификатор пакета (например, адрес).

Когда входящие или исходящие пакеты достигают интерфейса, имеющего список доступа, маршрутизатор сверяет пакеты с каждым правилом в списке доступа и принимает решение, следует этот трафик заблокировать (отклонить) или разрешить (принять).

Для IP-трафика существует два базовых типа списков: стандартный и расширенный. Фильтрация стандартных списков доступа основана на адресах в исходной сети. Типичный стандартный список доступа выглядит так:

access-list 1 deny 10.10.1.0 0.0.0.255

access-list 1 deny 10.10.2.0 0.0.0.255

access-list 1 permit any

Этот список блокирует любой трафик из подсетей 10.10.1.0 и 10.10.2.0, независимо от того, какому адресату предназначены пакеты, и разрешает любой трафик, описание которого не соответствует первым двум строкам. Другими словами, разрешен весь трафик, за исключением трафика из подсетей 10.10.1.0 и 10.10.2.0. Создав список, можно применить его к пакетам, проходящим в том или ином направлении через определенный интерфейс. Чтобы применить этот список к трафику, поступающему на определенный интерфейс (то есть к входящему трафику данного интерфейса), используйте команду ip access-group:

interface ethernet0

ip access-group 1 in

Как я уже было упомянуто, существует множество других контекстов, допускающих применение списков доступа. Их можно использовать для ограничения доступа к определенной линии TTY, для указания маршрутов входящего и исходящего трафиков в различных процессах маршрутизации, для решения множества других задач. Также стоит заметить, что, хотя применение списка доступа 1 к пакетам, поступающим на интерфейс ethernet0, предотвращает прохождение через маршрутизатор трафика из подсетей 10.10.1.0 и 10.10.2.0, этот список никак не влияет на трафик, поступающий на любой другой интерфейс, а также не учитывает другие протоколы, отличные от IP. Необходимо настраивать каждый интерфейс и протокол отдельно.

Стандартные списки доступа выполняют фильтрацию на базе исходных IP- адресов (адресов источников). Расширенные списки доступа позволяют создавать намного более сложные фильтры, использующие исходные и целевые адреса в дополнение к информации протоколов более высокого уровня. Например, можно сконструировать фильтр на основе типа и кодовых значений протокола ICMP. Для TCP и UDP можно осуществлять фильтрацию на основе исходных и целевых портов. На рисунке ниже показан маршрутизатор, в котором расширенный список доступа применяется к интерфейсу ethernet0. Этот список доступа блокирует входящий TCP-трафик на порте 23 независимо от исходного и целевого адресов трафика. Так как порт 23 - это telnet-порт, данный список запрещает любым узлам в сети А подключаться по протоколу telnet к любым узлам в сети В и к самому маршрутизатору.

Списки доступа можно применять к исходящему трафику. Например, можно создать список, запрещающий трафик на порте 80, и применить его к исходящим пакетам, передаваемым через интерфейс ethernet0. Таким образом, узлы в сети В не смогут обращаться к веб-серверам в сети А:

Запретить трафик на порте 80 (www-трафик)

ip access-list 111 deny tcp any any eq 80

ip access-list 111 permit ip any any

interface ethernet0

Применить список доступа 111 к исходящему трафику

ip access-group 111 out

Соответствие пакетов пунктам списка

Стандартный список доступа состоит из набора правил. Эти правила обрабатываются по порядку и описывают, какие пакеты следует разрешить или запретить, исходя из адресов их источников. Синтаксис каждого пункта стандартного списка доступа:

access-list номер действие источник

Параметры команды:

номер - число от 1 до 99, идентифицирующее список.

действие - ключевое слово permit или deny, в зависимости от того, хотите вы разрешить или блокировать пакеты.

источник - адрес источника пакетов.

В табл. 7.1 перечислены три способа записи исходных и целевых адресов. В большинстве случаев используются пары адрес-маска, указывающие блоки адресов, поскольку если бы списки доступа составлялись только на основе отдельных IP-адресов, управлять ими было бы гораздо сложнее.

Задание адресов в списках доступа

Синтаксис		Объяснение
Адрес/маска	192.168.2.0 0.0.0.255	Описывает блок IP-адресов. Маска используется в качестве шаблона: единица (1) указывает, что соответствующий бит в адресе может быть любым. Нуль (0) в маске означает, что соответствующий бит должен быть точно таким же, как в указанном адресе. В этом примере указаны адреса от 192.168.2.0 до 192.168.2.255. Таким образом, маска говорит, что при сравнении адресов мы игнорируем последний байт адреса
Host адрес	Host 192.168.2.1	Адрес должен точно совпадать с указанным
		Любой IP-адрес

Пары адрес-маска (шаблоны)

Практически каждый пользователь, впервые столкнувшись со списками доступа, испытывает трудности в понимании шаблонных масок. Проблема заключается в том, что шаблонная маска выглядит как маска подсети, но в действительности ею не является, а представляет собой дополнение cсоответствующей маски подсети. Например, чтобы разрешить любой IP-трафик в сеть 192.168.2.0/24 (то есть 192.168.2.0 с маской подсети 255.255.255.0), соответствующий пункт списка доступа должен выглядеть так:

access-list 10 permit 192.168.2.0 0.0.0.255

Теперь предположим, что маршрутизатор получает пакет с целевым адресом 192.168.2.1. Как определить, что имеет место соответствие? Выполняется побитовая операция ИЛИ шаблонной маски с фактическим адресом назначения и адресом, указанным в правиле списка доступа. Если результаты двух операций совпадают, это говорит о соответствии, и пакет либо допускается, либо блокируется. Чтобы понять это, давайте рассмотрим процесс на уровне битов. В таблице показаны соответствующие адреса и маски в двоичном представлении.

Так происходит вычисление:

Результат 1 = Результат 2

Так как результаты совпадают, целевой адрес 192.168.2.1 подпадает под действие правила в списке доступа. Вкратце, значение маски 0.0.0.255 означает, что последний байт входящего адреса может принимать любое значение, то есть нам неважно, какое именно число стоит на последнем месте. В данном случае соответствие имеет место для всех IP-адресов от 192.168.2.0 до 192.168.2.255. Помимо этого, так как маска указывает, что в последнем байте входящего адреса может находиться любое число, то и последним байтом адреса в списке доступа также может быть любое число. Звучит запутанно, но это означает всего лишь, что 192.168.2.0 0.0.0.255 - это то же самое, что 192.168.2.139 0.0.0.255; обе пары адрес-маска указывают на одну и ту же группу адресов (с 192.168.2.0 по 192.168.2.255).

Информационная безопасность телекоммуникационных сетей обеспечивается комплексом мер по их защите. Для защиты информации широко используются пароли, криптографирование передаваемой информации, устройства физической безопасности и другие аппаратные и программные средства . В настоящем разделе рассматриваются списки контроля доступа - сетевые фильтры, которые устанавливаются на интерфейсах маршрутизаторов. Списки доступа обеспечивают базовый уровень безопасности и определяют, к каким доменам сети открыт доступ , а к каким закрыт. Списки доступа широко применяются на практике.

5.1. Функционирование списков доступа

Сетевой администратор должен иметь возможность управления трафиком, обеспечивая доступ к требуемым ресурсам зарегистрированным легальным пользователям и запрещая несанкционированный доступ к сети. Эффективным средством фильтрации трафика являются списки контроля доступа ( Access Control Lists - ACL ) или просто списки доступа , которые являются сетевыми фильтрами . Списки доступа представляют собой последовательность команд, разрешающих (permit) или запрещающих (deny) продвижение пакетов через маршрутизатор , т.е. разрешающих или запрещающих доступ из других локальных сетей или из Интернета в защищаемую сеть , а также удаленный доступ по протоколам Telnet, SSH . При конфигурировании списков доступа маршрутизатор не только создает пути передачи пакетов, но и фильтрует проходящий через него трафик.

Списки доступа ACL могут быть созданы для всех сетевых протоколов, функционирующих на маршрутизаторе, например, IPv4, IPv6 или IPX , и устанавливаются на интерфейсах маршрутизаторов. Запрет или разрешение сетевого трафика через интерфейс маршрутизатора реализуется на основании анализа совпадения определенных условий (правил). Для этого списки доступа представляются в виде последовательных записей, в которых анализируются используемые адреса и протоколы.

Списки доступа (сетевые фильтры)создаются как для входящих, так и для исходящих пакетов на основании анализируемых параметров (адреса источника, адреса назначения, используемого протокола и номера порта верхнего уровня), указанных в списке доступа ACL ( рис. 5.1).

Рис. 5.1.

Отдельные списки доступа могут быть созданы на каждом интерфейсе маршрутизатора для каждого направления сетевого трафика (исходящего и входящего) и для каждого сетевого протокола, установленного на интерфейсе. Например, на трех интерфейсах маршрутизатора ( рис. 5.2), сконфигурированных для двух сетевых протоколов (IPv4, IPv6 ), может быть создано 12 отдельных списков доступа: шесть для IPv4 и шесть для IPv6 . То есть, на каждом интерфейсе по 4 списка: 2 для входящего и 2 для исходящего трафика.

Рис. 5.2.

Списки доступа, установленные для фильтрации входящего трафика, обрабатывают пакеты до продвижения пакета на выходной интерфейс . Таким образом, пакет, который по условиям списка доступа отбрасывается, не будет маршрутизироваться, что экономит ресурсы маршрутизатора.

Исходящие списки доступа удобно использовать для защиты локальной сети от нежелательного трафика, поступающего на разные входы маршрутизатора.

Списки доступа повышают гибкость сети. Например, списки, ограничивающие видео трафик, могут уменьшить нагрузку на сеть и поэтому повысить ее пропускную способность для передачи данных или аудио сигналов. Списки позволяют определить, какие типы трафика могут быть отправлены, а какие заблокированы в интерфейсах маршрутизатора, например, можно разрешить маршрутизацию электронной почте, но блокировать трафик Telnet. Можно использовать разрешение или запрет доступа различным типам файлов, таким как FTP или HTTP .

Если списки доступа не формируются на маршрутизаторе, то все проходящие через маршрутизатор пакеты, будут иметь доступ к сети.

Список доступа ACL составляется из утверждений (условий) , которые определяют, следует ли пакеты принимать или отклонять во входных или выходных интерфейсах маршрутизатора. Программное обеспечение IOS Cisco проверяет пакет последовательно по каждому условию. Если условие , разрешающее продвижение пакета, расположено наверху списка, никакие условия, добавленные ниже, не будут запрещать продвижение пакета .

Список доступа можно редактировать только в определенных условиях, которые специально конфигурируются. В большинстве случаев при необходимости редактирования рекомендуется список доступа целиком удалить и создать новый список с новыми условиями .

Созданные маршрутизатором пакеты списками доступа не фильтруются.

Функционирование маршрутизатора по проверке соответствия принятого пакета требованиям списка доступа производится следующим образом. Когда кадр поступает на интерфейс , маршрутизатор извлекает (декапсулирует) из кадра пакет и проверяет его на соответствие условиям списка ACL входного интерфейса. При отсутствии запрета или отсутствии списка доступа пакет маршрутизируется и продвигается на выходной интерфейс , где вновь проверяется, затем инкапсулируется в новый кадр и отправляется интерфейсу следующего устройства.

Проверка условий (утверждений) списка доступа производится последовательно. Если текущее утверждение верно, пакет обрабатывается в соответствие с командами permit или deny списка доступа. В конце каждого списка присутствует неявно заданная по умолчанию команда deny any (запретить все остальное). Поэтому если в списке доступа нет ни одного разрешающего условия, то весь трафик будет заблокирован.

Существуют разные типы списков доступа: стандартные ( standard ACLs), расширенные (extended ACLs), именованные (named ACLs). Когда список доступа конфигурируются на маршрутизаторе, каждый список должен иметь уникальный идентификационный номер или имя . Идентификационный номер созданного списка доступа должен находиться в пределах определенного диапазона, заданного для этого типа списка (табл. 5.1).

Таблица 5.1. Диапазоны идентификационных номеров списков доступа

Диапазон номеров	Название списка доступа
1-99	IP standard access-list
100-199	IP extended access-list
1300-1999	IP standard access-list (extended range)
2000-2699	IP extended access-list (extended range)
600-699	Appletalk access-list
800-899	IPX standard access-list
900-999	IPX extended access-list

Стандартные списки доступа (Standard access lists) - для принятия решения (permit или deny ) в