問題ID24について
- フォーラムは新サイトへ移行しました。
- このフォーラムではゲスト投稿が禁止されています
tirm777
投稿数: 2
投稿数: 2
ICND2のftpのアクセスリストの記載が答えが間違えていると思います。(passiveモードのftpの通信ならあっていますが、一般的ポートモードのftp通信は以下のようになると思います)
[正しい答え]
(制御ポート)
access-list 111 permit tcp any 192.168.3.254 0.0.0.0 eq 21
(データポート)
access-list 111 permit tcp 192.168.3.254 0.0.0.0 any eq 20
制御ポートとデータポートの通信では送信元及び宛先アドレスが逆になると思います.
[正しい答え]
(制御ポート)
access-list 111 permit tcp any 192.168.3.254 0.0.0.0 eq 21
(データポート)
access-list 111 permit tcp 192.168.3.254 0.0.0.0 any eq 20
制御ポートとデータポートの通信では送信元及び宛先アドレスが逆になると思います.
ururu
投稿数: 24
投稿数: 24
tirm777さん こんにちは。
引用：上記は詳細に設定するための一部かと思いますが、この2つを選択した場合どこに設定しても暗黙のdenyの働きによってFTP通信がうまくいかないように思えます。
（この2つだけでは設定が足りないように思えます）
しかし、現在の正解となっている選択肢であれば
access-list 111 permit tcp any 192.168.3.254 0.0.0.0 eq 21
access-list 111 permit tcp any 192.168.3.254 0.0.0.0 eq 20
（細かい設定はされていないが）FTP通信を許可することになるので、この2つの組み合わせが正解になっているのかと思いますがいかがでしょうか。
引用：
(制御ポート)
access-list 111 permit tcp any 192.168.3.254 0.0.0.0 eq 21
(データポート)
access-list 111 permit tcp 192.168.3.254 0.0.0.0 any eq 20
（この2つだけでは設定が足りないように思えます）
しかし、現在の正解となっている選択肢であれば
access-list 111 permit tcp any 192.168.3.254 0.0.0.0 eq 21
access-list 111 permit tcp any 192.168.3.254 0.0.0.0 eq 20
（細かい設定はされていないが）FTP通信を許可することになるので、この2つの組み合わせが正解になっているのかと思いますがいかがでしょうか。
ponyo
投稿数: 76
投稿数: 76
tirm777さん
正解のACLはおそらく、ルータCのシリアルインターフェースのインバウンド、もしくはイーサネットのアウトバンドに適用するのでしょう。
そうすると、送信元がサーバBの許可ACLは書く必要が無いのです。サーバBが発信するパケットはACLがチェックされませんので。
正解のACLはおそらく、ルータCのシリアルインターフェースのインバウンド、もしくはイーサネットのアウトバンドに適用するのでしょう。
そうすると、送信元がサーバBの許可ACLは書く必要が無いのです。サーバBが発信するパケットはACLがチェックされませんので。
tirm777
投稿数: 2
投稿数: 2
ponyoさん、質問の意図を理解して頂きありがとうございます。
サーバBの発信するパケットがチェックされないので、おっしゃるように、通信をとめないという点では問題ないですね。
正解なのでしょうか。すっきり、しないところはありますが。
サーバBの発信するパケットがチェックされないので、おっしゃるように、通信をとめないという点では問題ないですね。
正解なのでしょうか。すっきり、しないところはありますが。
ponyo
投稿数: 76
投稿数: 76
tirm777さん
>通信をとめないという点では問題ないですね。
はい。あと、activeであったとしても「access-list 111 permit tcp any 192.168.3.254 0.0.0.0 eq 20」は必要です。
tcpですので、クライアントからサーバへの戻りのパケットが発生します。戻りのパケットはアクセスリストにチェックされますので、ururuさんが書かれていますが、これが無いと、暗黙のdenyで拒否されてしまいますから。
そうしますと、正解の選択肢はやはり正解となります。
>通信をとめないという点では問題ないですね。
はい。あと、activeであったとしても「access-list 111 permit tcp any 192.168.3.254 0.0.0.0 eq 20」は必要です。
tcpですので、クライアントからサーバへの戻りのパケットが発生します。戻りのパケットはアクセスリストにチェックされますので、ururuさんが書かれていますが、これが無いと、暗黙のdenyで拒否されてしまいますから。
そうしますと、正解の選択肢はやはり正解となります。
