Konfigurasi Skenario 1

Pertama kita buat dahulu access list untuk mengeblok koneksi PC2 ke server :
access-list 1 deny host [Link]

Selanjutnya kita buat access list untuk mengijinkan trafik dari PC1 dan PC3 atau
dengan kata lain trafik selain dari PC2. Mengapa kita perlu membuat rule tersebut ?

Karena pada access list terdapat rule default untuk memblok koneksi dari seluruh host.
Rule ini tidak terlihat (implicit). Jadi sebenarnya ketika kita tadi membuat rule untuk
memblok koneksi dari PC2 tadi, di bawahnya otomatis akan ada rule implicit seperti
berikut :
access-list 1 deny any

Agar PC1 dan PC3 atau PC selain PC2 tetap dapat berkomunikasi dengan server,
maka kita perlu membuat rule yang mengijinkan trafik selain dari PC2. Berikut adalah
rule-nya :

access-list 1 permit any

Langkah selanjutnya adalah menempatkan ACL pada interface router. Kita bisa
menempatkan ACL di kedua interface pada router. Akan tetapi jika kita mengacu pada
salah satu konsep access list standard, dimana ACL diletakkan di interface yang paling
dekat dengan destination packet, maka penempatan ACL kali ini akan diletakkan di
interface Gigabit0/0 (silahkan lihat kembali gambar topologi di atas).

Masuk ke dalam interfece dengan perintah :

interface g0/0

Kemudian aktifkan access list dengan perintah :

ip access-group 1 out

Angka 1 adalah nomor access list yang kita definisikan tadi. Sementara
parameter out digunakan karena posisi trafik ketika melewati interface g0/0 adalah out
(keluar dari router) atau bisa disebut juga trafik outbound. 

Jika masih bingung cara menentukan in dan out silahkan lihat postingan sebelumnya
yang telah membahas sedikit penjelesan tentang access list cisco.

Secara keseluruhan, konfigurasi ACL yang telah dibuat adalah sebagai berikut :
Router(config)#access-list 1 deny host [Link]
Router(config)#access-list 1 permit any
Router(config)#interface g0/0 #masuk ke interface Gigabit0/0
Router(config-if)#ip access-group 1 out

Sekarang mari kita cek daftar ACL yang sudah kita buat dengan perintah do show
access-list :

Standard IP access list 1

10 deny host [Link]
20 permit any

Router(config)#

Pada urutan paling atas terdapat rule deny host [Link]. Lalu di bawahnya terdapat
rule permit any. Ingat kembali bahwa access list bekerja membaca aturan-aturan dari
urutan paling atas kemudian ke bawah.

Ketika terdapat trafik dari host [Link] yang melewati interface gigabit0/0, maka
trafik tersebut akan diperiksa. Karena kondisi trafik tersebut cocok dengan rule ACL
yang sudah dibuat (rule pertama), maka paket tersebut akan ditangani sesuai dengan
perintah ACL yang kita berikan, yakni dibuang (karena deny).

Selanjutnya bagaimana jika terdapat trafik dari PC1 ? Tentu saja ketika trafik tersebut
melewati interface gigabit0/0, trafik tersebut akan diperiksa oleh ACL. ACL mencocokan
kondisi trafik dengan aturan yang pertama. Ternyata tidak cocok. Maka ACL
melanjutkan ke aturan yang kedua.

Pada aturan kedua isinya adalah permit any. Karena perintahnya adalah permit, maka
ACL akan mengijinkan trafik dari PC1 tadi untuk melewati router lalu menuju ke server
atau tujuan lainnya.

Inilah fungsi dari rule permit any. Apabila kita tadi tidak mendefinisikan aturan tersebut,
maka ACL akan menggunakan default rule yang implicit tadi, yakni deny any. Hasilnya
trafik akan dibuang dan tidak sampai ke tujuan.

Konfigurasi Skenario 1 (Named ACL)

Oke itu tadi adalah konfigurasi access list dengan menggunakan sistem penomoran.
Cara lain untuk mendefinisikan access list adalah dengan menggunakan sistem
penamaan (named ACL). Cara konfigurasinya tidak berbeda jauh.

Sebelum mengkonfigurasi named ACL, hapus dahulu access list yang sudah dibuat tadi
agar tidak bentrok :
no access-list 1

Selanjutnya kita buat nama untuk ACL-nya terlebih dahulu :

ip access-list standard ONLY_BLOCK_PC2

kemudian kita buat aturannya :

deny host [Link]

permit any
Jika kalian cermati, ada sedikit perbedaan dalam format penulisan rule/aturan access-
list. Pada numbered ACL, kita harus mengikut sertakan nomor ACL sebelum
mendefinisikan aturannya.

Akan tetapi pada named ACL, kita bisa langsung membuat aturannya tanpa perlu
menuliskan nomor access list ataupun namanya lagi.

Selanjutnya adalah meletakkan ACL pada interface. Konfigurasinya sama dengan

konfigurasi pada numbered ACL, hanya saja nomor ACL diganti menjadi nama ACL.
ip access-group ONLY_BLOCK_PC2 out

Pastikan namanya sudah sesuai dengan nama ACL yang sudah dibuat. Perhatikan juga
kapitalisasi huruf-hurufnya karena sifatnya case-sensitive. Beda satu huruf saja maka
access list tidak akan bekerja.

Berikut adalah keseluruhan konfigurasi named ACL pada skenario 1 :

Router(config)#ip access-list standard ONLY_BLOCK_PC2

Router(config-std-nacl)#deny host [Link]
Router(config-std-nacl)#permit any
Router(config-std-nacl)#exit
Router(config)#interface g0/0 #masuk ke interface Gigabit0/0
Router(config-if)#ip access-group ONLY_BLOCK_PC2 out

Cek daftar ACL yang sudah dibuat dengan perintah do show access-list :

Standard IP access list ONLY_BLOCK_PC2

10 deny host [Link] (1 match(es))
20 permit any (2 match(es))

Router(config)#

Untuk melihat status access list pada interface router, gunakan perintah show ip
interface :
Router(config)#do show ip interface
GigabitEthernet0/0 is up, line protocol is up (connected)
Internet address is [Link]/24
Broadcast address is [Link]
Address determined by setup command
MTU is 1500 bytes
Helper address is not set
Directed broadcast forwarding is disabled
Outgoing access list is ONLY_BLOCK_PC2
Inbound access list is not set

Skenario 2
Pada skenario ini akan ada pengembangan topologi dengan menambahkan satu buah
router dan satu network baru bagi client. Jika sebelumnya hanya terdapat satu buah
jaringan client dan satu buah router, maka pada skenario kali ini akan ada 2 jaringan
client dan 2 unit router.

Kasus pada skenario ini adalah melakukan blok terhadap network selain [Link]/24
agar tidak bisa mengakses server. Dengan kata lain, Server hanya boleh diakses oleh
network [Link]/24 atau dalam skenario ini adalah PC-A, PC-B, dan PC-C. 

Konfigurasi Skenario 2
Konfigurasi access list dilakukan pada R2. Mengapa demikian ? Karena kita
menggunakan konsep access list standard bahwa access list diletakkan pada interface
yang paling dekat dengan destination packet. Interface paling dekat adalah interface yang
ada pada R2.

Kita lanjutkan dengan membuat access list :

access-list 1 permit [Link] [Link]

Kita cukup membuat satu buah rule saja yakni mengijinkan network [Link]/24
untuk mengakses server. Kita tidak perlu menambahkan rule untuk memblok network
[Link]/24 karena secara default, ACL akan memblok semua koneksi yang tidak
memiliki kecocokan dengan rule ACL.

Selanjutnya adalah meletakkan access list pada interface router. Coba tebak, di
interface mana kita akan meletakkan ACL ?

Jawabannya adalah di interface Gigabit0/0. Dan parameter yang digunakan adalah out.

int g0/0
ip access-group 1 out
Konfigurasi ACL secara keseluruhan :

R2(config)#access-list 1 permit [Link] [Link]

R2(config)#int g0/0
R2(config-if)#ip access-group 1 out

Cek list konfigurasi ACL :

Standard IP access list 1

10 permit [Link] [Link]

Router(config)#

Silahkan coba untuk melakukan ping ke server dari salah satu client pada network
[Link]/24. Apabila tidak bisa konek, maka kamu telah berhasil mengkonfigurasi
access list pada skenario ini. Tapi pastikan dulu kalau PC-A, PC-B, dan PC-C bisa ping
ke server.

Kamu juga bisa membuat numbered ACL untuk skenario ini. Gunakan pengetahuan
pada saat konfigurasi named ACL pada skenario 1 . Selamat mengkonfigurasi !

© Konfigurasi Access List Standard Pada Cisco - Diary Config

Source: [Link]