Bài 58: Extended ACL — Cấu Hình Chi Tiết Theo Port, Protocol

💡 Liên hệ thực tế

Ở Bài 57, Standard ACL giống chốt bảo vệ chỉ hỏi "anh từ đâu tới". Nhưng nếu VNExperts muốn: "Cho phép phòng Kế toán truy cập Web (HTTP/HTTPS) ra ngoài, nhưng chặn FTP" — chốt bảo vệ giờ cần hỏi thêm: "anh định đi đâu, và định làm gì ở đó?". Đây chính là năng lực của Extended ACL — lọc chi tiết hơn nhiều so với Standard ACL.

📘 Kiến thức cốt lõi

⚙️ Cú pháp Extended ACL (dùng số hiệu từ 100-199, hoặc mở rộng 2000-2699):

Router(config)# access-list 100 permit tcp 192.168.1.0 0.0.0.255 host 2.2.2.2 eq 80

📎 Cấu trúc đầy đủ: access-list <số> permit|deny <protocol> <IP nguồn> <wildcard nguồn> <IP đích> <wildcard đích> eq <port>. So với Standard ACL, Extended ACL có thêm hẳn 3 phần: protocol (tcp/udp/icmp...), địa chỉ đích, và port cụ thể.

🎯 Ví dụ thực hành đầy đủ — chặn FTP nhưng cho phép Web:

Router(config)# access-list 110 deny tcp 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 eq 21
Router(config)# access-list 110 permit tcp 192.168.20.0 0.0.0.255 any eq 80
Router(config)# access-list 110 permit tcp 192.168.20.0 0.0.0.255 any eq 443
Router(config)# access-list 110 permit ip any any

📎 Dòng đầu chặn FTP (cổng 21) từ mạng Kế toán (192.168.20.0/24) đến mạng Server (192.168.10.0/24). Dòng 2 và 3 cho phép HTTP (cổng 80) và HTTPS (cổng 443) đi ra bất kỳ đâu (any). Dòng cuối permit ip any any cho phép mọi lưu lượng còn lại — nhắc lại nguyên tắc Implicit Deny đã học ở Bài 56: nếu thiếu dòng này, mọi thứ khác sẽ tự động bị chặn.

⚙️ Các cổng (port) thông dụng thường gặp trong đề thi và thực tế:

💡 Có thể dùng tên dịch vụ thay vì số cổng (ví dụ eq www thay vì eq 80, eq telnet thay vì eq 23) — Cisco IOS tự động hiểu và quy đổi, giúp câu lệnh dễ đọc hơn.

⚙️ Áp dụng vào Interface — giống hệt cách làm ở Bài 57:

Router(config)# interface gigabitEthernet 0/1
Router(config-if)# ip access-group 110 in

🔍 Kiểm tra kết quả:

Router# show access-lists

Extended IP access list 110
    10 deny tcp 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 eq 21
    20 permit tcp 192.168.20.0 0.0.0.255 any eq 80
    30 permit tcp 192.168.20.0 0.0.0.255 any eq 443
    40 permit ip any any

💬 Hỏi & Đáp nhanh

❓ Vì sao Extended ACL nên đặt gần nguồn, ngược lại với nguyên tắc "gần đích" của Standard ACL (Bài 57)?

✅ Vì Extended ACL đã có đủ thông tin chi tiết (IP nguồn, IP đích, protocol, port) để lọc chính xác ngay từ đầu — không cần đợi gói tin đi xa mới lọc. Đặt gần nguồn giúp chặn sớm lưu lượng không mong muốn, tránh lãng phí băng thông và tài nguyên xử lý dọc đường đi của gói tin không cần thiết.

❓ Có thể dùng Extended ACL để chỉ lọc theo IP (như Standard ACL) mà không cần chỉ định port không?

✅ Có thể — dùng từ khóa ip thay vì tcp/udp cụ thể (ví dụ permit ip 192.168.1.0 0.0.0.255 any), lúc này Extended ACL sẽ lọc theo IP nguồn/đích mà không quan tâm đến port hay protocol chi tiết, gần giống chức năng Standard ACL nhưng vẫn tận dụng được khả năng chỉ định địa chỉ đích.

❓ Từ khóa eq có phải là toán tử duy nhất dùng để so sánh port không?

❌ Không — ngoài eq (equal to — bằng), Cisco IOS còn hỗ trợ các toán tử khác như gt (lớn hơn), lt (nhỏ hơn), range (trong 1 khoảng port) — cho phép linh hoạt hơn khi cần lọc theo dải cổng thay vì chỉ 1 cổng cụ thể.

📝 Bài tập đánh giá

Câu 1: Dải số hiệu nào hợp lệ cho Extended ACL trên Cisco IOS?

• A. 1-99
• B. 100-199
• C. 200-299
• D. 1300-1999

Câu 2: Trong lệnh access-list 110 deny tcp 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255 eq 21, số 21 đại diện cho điều gì?

• A. Số hiệu ACL
• B. Cổng (port) của giao thức FTP
• C. Subnet mask
• D. Số lượng dòng ACL

👉 Đáp án:

Câu 1: B — Extended ACL dùng dải số hiệu từ 100-199 (hoặc mở rộng 2000-2699), khác với Standard ACL dùng 1-99.

Câu 2: B — Số 21 sau từ khóa eq chỉ định cổng (port) của giao thức FTP, dùng để lọc chính xác loại lưu lượng cần chặn/cho phép.

📚 Bài viết thuộc khóa học CCNA của VNExperts

🧭 Điều hướng