Сегодня я расскажу вам о том, как отфильтровать трафик в сети с помощью списков контроля доступа. Рассмотрим как они работают соответственно, что собой представляют, для чего предназначены. Позже я покажу как они настраиваются в Cisco IOS и выложу архив с лабораторными работами для закрепления ваших знаний.

Введение

ACL (Access Control List) - это набор текстовых выражений, которые что-то разрешают, либо что-то запрещают. Обычно ACL разрешает или запрещает IP-пакеты, но помимо всего прочего он может заглядывать внутрь IP-пакета, просматривать тип пакета, TCP и UDP порты. Также ACL существует для различных сетевых протоколов (IP, IPX, AppleTalk и так далее). В основном применение списков доступа рассматривают с точки зрения пакетной фильтрации, то есть пакетная фильтрация необходима в тех ситуациях, когда у вас стоит оборудование на границе Интернет и вашей частной сети и нужно отфильтровать ненужный трафик.
Вы размещаете ACL на входящем направлении и блокируете избыточные виды трафика.

Теория

Функционал ACL состоит в классификации трафика, нужно его проверить сначала, а потом что-то с ним сделать в зависимости от того, куда ACL применяется. ACL применяется везде, например:

• На интерфейсе: пакетная фильтрация
• На линии Telnet: ограничения доступа к маршрутизатору
• VPN: какой трафик нужно шифровать
• QoS: какой трафик обрабатывать приоритетнее
• NAT: какие адреса транслировать

Для применения ACL для всех этих компонентов нужно понять как они работают. И мы в первую очередь будем касаться пакетной фильтрации. Применительно к пакетной фильтрации, ACL размещаются на интерфейсах, сами они создаются независимо, а уже потом они прикручиваются к интерфейсу. Как только вы его прикрутили к интерфейсу маршрутизатор начинает просматривать трафик. Маршрутизатор рассматривает трафик как входящий и исходящий. Тот трафик, который входит в маршрутизатор называется входящим, тот который из него выходит - исходящий. Соответственно ACL размещаются на входящем или на исходящем направлении.

Из вашей частной сети приходит пакет на интерфейс маршрутизатора fa0/1, маршрутизатор проверяет есть ли ACL на интерфейсе или нет, если он есть, то дальше обработка ведется по правилам списка доступа строго в том порядке, в котором записаны выражения , если список доступа разрешает проходить пакету, то в данном случае маршрутизатор отправляет пакет провайдеру через интерфейс fa0/0, если список доступа не разрешает проходить пакету, пакет уничтожается. Если списка доступа нет - пакет пролетает без всяких ограничений. Перед тем как отправить пакет провайдеру, маршрутизатор ещё проверяет интерфейс fa0/0 на наличие исходящего ACL. Дело в том, что ACL может быть прикреплен на интерфейсе как входящий или исходящий. К примеру у нас есть ACL с правилом запретить всем узлам в Интернете посылать в нашу сеть пакеты.
Так на какой интерфейс прикрепить данную ACL? Если мы прикрепим ACL на интерфейс fa0/1 как исходящий, это будет не совсем верно, хотя и ACL работать будет. На маршрутизатор приходит эхо-запрос для какого-то узла в частной сети, он проверяет на интерфейсе fa0/0 есть ли ACL, его нет, дальше проверяет интерфейс fa0/1, на данном интерфейсе есть ACL, он настроен как исходящий, всё верно пакет не проникает в сеть, а уничтожается маршрутизатором. Но если мы прикрепим ACL за интерфейсом fa0/0 как входящий, то пакет будет уничтожатся сразу как пришел на маршрутизатор. Последнее решение является правильным, так как маршрутизатор меньше нагружает свои вычислительные ресурсы. Расширенные ACL нужно размещать как можно ближе к источнику, стандартные же как можно ближе к получателю . Это нужно для того, чтобы не гонять пакеты по всей сети зря.

Сам же ACL представляет собой набор текстовых выражений, в которых написано permit (разрешить) либо deny (запретить), и обработка ведется строго в том порядке в котором заданы выражения. Соответственно когда пакет попадает на интерфейс он проверяется на первое условие, если первое условие совпадает с пакетом, дальнейшая его обработка прекращается. Пакет либо перейдет дальше, либо уничтожится.
Ещё раз, если пакет совпал с условием, дальше он не обрабатывается . Если первое условие не совпало, идет обработка второго условия, если оно совпало, обработка прекращается, если нет, идет обработка третьего условия и так дальше пока не проверятся все условия, если никакое из условий не совпадает, пакет просто уничтожается . Помните, в каждом конце списка стоит неявный deny any (запретить весь трафик). Будьте очень внимательны с этими правилами, которые я выделил, потому что очень часто происходят ошибки при конфигурации.

ACL разделяются на два типа:

• Стандартные (Standard): могут проверять только адреса источников
• Расширенные (Extended): могут проверять адреса источников, а также адреса получателей, в случае IP ещё тип протокола и TCP/UDP порты

Обозначаются списки доступа либо номерами, либо символьными именами. ACL также используются для разных сетевых протоколов. Мы в свою очередь будем работать с IP. Обозначаются они следующим образом, нумерованные списки доступа:

• Стандартные: от 1 до 99
• Расширенные: от 100 до 199

Символьные ACL разделяются тоже на стандартные и расширенные. Расширенные напомню могут проверять гораздо больше, нежели стандартные, но и работают они медленнее, так как придется заглядывать внутрь пакета, в отличии от стандартных где мы смотрим только поле Source Address (Адрес отправителя). При создании ACL каждая запись списка доступа обозначается порядковым номером, по умолчанию в рамках десяти (10, 20, 30 и т.д). Благодаря чему, можно удалить конкретную запись и на её место вставить другую, но эта возможность появилась в Cisco IOS 12.3, до 12.3 приходилось ACL удалять, а потом создать заново полностью. Нельзя разместить более 1 списка доступа на интерфейс, на протокол, на направление . Объясняю: если у нас есть маршрутизатор и у него есть интерфейс, мы можем на входящее направление для IP-протокола разместить только один список доступа, например под номером 10. Ещё одно правило, касающееся самих маршрутизаторов, ACL не действует на трафик, сгенерированный самим маршрутизатором .
Для фильтрации адресов в ACL используется WildCard-маска. Это обратная маска. Берем шаблонное выражение: 255.255.255.255 и отнимаем от шаблона обычную маску.
255.255.255.255-255.255.255.0, у нас получается маска 0.0.0.255, что является обычной маски 255.255.255.0, только 0.0.0.255 является WildCard маской.

Виды ACL

Динамический (Dynamic ACL)

Позволяет сделать следующее, например у вас есть маршрутизатор, который подключен к какому-то серверу и нам нужно закрыть доступ к нему из внешнего мира, но в тоже время есть несколько человек, которые могут подключаться к серверу.
Мы настраиваем динамический список доступа, прикрепляем его на входящем направлении, а дальше людям, которым нужно подключиться, подключаться через Telnet к данному устройству, в результате динамический ACL открывает проход к серверу, и уже человек может зайти скажем через HTTP попасть на сервер. По умолчанию через 10 минут этот проход закрывается и пользователь вынужден ещё раз выполнить Telnet чтобы подключиться к устройству.

Рефлексивный (Reflexive ACL)

Здесь ситуация немножко отличается, когда узел в локальной сети отправляет TCP запрос в Интернет, у нас должен быть открытый проход, чтобы пришел TCP ответ для установки соединения. Если прохода не будет - мы не сможем установить соединение, и вот этим проходом могут воспользоваться злоумышленники, например проникнуть в сеть. Рефлексивные ACL работают таким образом, блокируется полностью доступ (deny any) но формируется ещё один специальный ACL, который может читать параметры пользовательских сессий, которые сгенерированны из локальной сети и для них открывать проход в deny any, в результате получается что из Интернета не смогут установить соединение. А на сессии сгенерированны из локальной сети будут приходить ответы.

Ограничение по времени (Time-based ACL)

Обычный ACL, но с ограничением по времени, вы можете ввести специальное расписание, которое активирует ту или иную запись списка доступа. И сделать такой фокус, например пишем список доступа, в котором запрещаем HTTP-доступ в течении рабочего дня и вешаем его на интерфейс маршрутизатора, то есть, сотрудники предприятия пришли на работу, им закрывается HTTP-доступ, рабочий день закончился, HTTP-доступ открывается,
пожалуйста, если хотите - сидите в Интернете.

Настройка

Сами ACL создаются отдельно, то есть это просто некий список, который создается в глобальном конфиге, потом он присваивается к интерфейсу и только тогда он и начинает работать. Необходимо помнить некоторые моменты, для того, чтобы правильно настроить списки доступа:

• Обработка ведется строго в том порядке, в котором записаны условия
• Если пакет совпал с условием, дальше он не обрабатывается
• В конце каждого списка доступа стоит неявный deny any (запретить всё)
• Расширенные ACL нужно размещать как можно ближе к источнику, стандартные же как можно ближе к получателю
• Нельзя разместить более 1 списка доступа на интерфейс, на протокол, на направление
• ACL не действует на трафик, сгенерированный самим маршрутизатором
• Для фильтрации адресов используется WildCard маска

Стандартный список доступа

Router(config)#access-list <номер списка от 1 до 99> {permit | deny | remark} {address | any | host}

• permit: разрешить
• deny: запретить
• remark: комментарий о списке доступа
• address: запрещаем или разрешаем сеть
• any: разрешаем или запрещаем всё
• host: разрешаем или запрещаем хосту
• source-wildcard: WildCard маска сети
• log: включаем логгирование пакеты проходящие через данную запись ACL

Расширенный список доступа

Router(config)#access-list <номер списка от 100 до 199> {permit | deny | remark} protocol source [operator operand] [port <порт или название протокола>

• protocol source: какой протокол будем разрешать или закрывать (ICMP, TCP, UDP, IP, OSPF и т.д)
• deny: запретить
• operator:
  A.B.C.D - адрес получателя
  any - любой конечный хост
  eq - только пакеты на этом порте
  gt - только пакеты с большим номером порта
  host - единственный конечный хост
  lt - только пакеты с более низким номером порта
  neq - только пакеты не на данном номере порта
  range - диапазон портов
• port: номер порта (TCP или UDP), можно указать имя
• established: разрешаем прохождение TCP-сегментов, которые являются частью уже созданной TCP-сессии

Прикрепляем к интерфейсу

Router(config-if)#ip access-group <номер списка или имя ACL> {in | out}

• in: входящее направление
• out: исходящее направление

Именованные списки доступа

Router(config)#ip access-list {standard | extended} {<номер ACL> | <имя ACL>}
Router(config-ext-nacl)# {default | deny | exit | no | permit | remark}

• standard: стандартный ACL
• extended: расширенный ACL
• default: установить команду в значение по умолчанию

Ограничение доступа к маршрутизатору

R(config)#line vty 0 4 - переходим в режим настройки виртуальных линий.
R(config-line)#password <пароль>
R(config-line)#login
R(config-line)#access-class 21 in - настраиваем логин и пароль, а также закрепляем список доступа с разрешенными IP-адресами.

Динамические списки доступа

R3(config)#username Student password 0 cisco - создаем пользователей для подключения через Telnet.
R3(config)#access-list 101 permit tcp any host 10.2.2.2 eq telnet
R3(config)#access-list 101 dynamic testlist timeout 15 permit ip 192.168.10.0 0.0.0.255 192.168.30.0 0.0.0.255 - разрешаем подключаться к серверу по Telnet всем узлам.
R3(config)#interface serial 0/0/1
R3(config-if)#ip access-group 101 in - закрепляем 101 ACL за интерфейсом в входящем направлении.
R3(config)#line vty 0 4
R3(config-line)#login local
R3(config-line)#autocommand access-enable host timeout 5 - как только пользователь аутентифицируеться, сеть 192.168.30.0 будет доступна, через 5 минут бездействия сеанс закроется.

Рефлексивные списки доступа

R2(config)#ip access-list extended OUTBOUNDFILTERS
R2(config-ext-nacl)#permit tcp 192.168.0.0 0.0.255.255 any reflect TCPTRAFFIC
R2(config-ext-nacl)#permit icmp 192.168.0.0 0.0.255.255 any reflect ICMPTRAFFIC - заставляем маршрутизатор отслеживать трафик, который инициировался изнутри.
R2(config)#ip access-list extended INBOUNDFILTERS
R2(config-ext-nacl)#evaluate TCPTRAFFIC
R2(config-ext-nacl)#evaluate ICMPTRAFFIC - создаем входящую политику, которая требует, чтобы маршрутизатор проверял входящий трафик, чтобы видеть инициировался ли изнутри и связываем TCPTRAFFIC к INBOUNDFILTERS.
R2(config)#interface serial 0/1/0
R2(config-if)#ip access-group INBOUNDFILTERS in
R2(config-if)#ip access-group OUTBOUNDFILTERS out - применяем входящий и исходящий ACL на интерфейс.

Ограничение по времени

R1(config)#time-range EVERYOTHERDAY
R1(config-time-range)#periodic Monday Wednesday Friday 8:00 to 17:00 - создаем список времени, в котором добавляем дни недели и время.
R1(config)#access-list 101 permit tcp 192.168.10.0 0.0.0.255 any eq telnet time-range EVERYOTHERDAY - применяем time-range к ACL.
R1(config)#interface s0/0/0
R1(config-if)#ip access-group 101 out - закрепляем ACL за интерфейсом.

Поиск проблем

R#show access-lists {ACL номер | имя} - смотрим информацию о списке доступа.
R#show access-lists - смотрим все списки доступа на маршрутизаторе.

Пример

Router#show access-lists
Extended IP access list nick
permit ip host 172.168.1.1 host 10.0.0.5
deny ip any any (16 match(es))
Standard IP access list nick5
permit 172.16.0.0 0.0.255.255

Мы видим что у нас есть два ACL (стандартный и расширенный) под названиями nick и nick5. Первый список разрешает хосту 172.16.1.1 обращаться по IP (это значит что разрешены все протоколы работающие поверх IP) к хосту 10.0.0.5. Весь остальной трафик запрещен показывает команда deny ip any any. Рядом с этим условием в нашем примере пишет (16 match(es)). Это показывает что 16 пакетов попали под это условие.
Второй ACL разрешает проходить трафик от любого источника в сети 172.16.0.0/16.

Практика

Я собрал лабораторные работы для Packet Tracer с 5 главы курса CCNA 4 по теме ACL. Если у вас есть желание закрепить знания на практике, пожалуйста -

Лабораторная работа

Списки доступа

Если попытаться дать интуитивно понятное определение, то список доступа - это набор правил, по которым маршрутизатор выбирает или сопоставляет маршрут или пакет. В IOS списки доступа используются как основной механизм управления разнообразными режимами работы маршрутизатора, и наилучший способ познакомиться с ними - начать с простейшего приложения управления потоком входящего и исходящего трафиков через определенный интерфейс.

Каждое, правило в стандартном списке доступа сдержит три важных элемента:

число, идентифицирующее список при обращении к нему в других частях конфигурации маршрутизатора;

инструкцию deny (запретить) или permit (разрешить);

идентификатор пакета (например, адрес).

Когда входящие или исходящие пакеты достигают интерфейса, имеющего список доступа, маршрутизатор сверяет пакеты с каждым правилом в списке доступа и принимает решение, следует этот трафик заблокировать (отклонить) или разрешить (принять).

Для IP-трафика существует два базовых типа списков: стандартный и расширенный. Фильтрация стандартных списков доступа основана на адресах в исходной сети. Типичный стандартный список доступа выглядит так:

access-list 1 deny 10.10.1.0 0.0.0.255

access-list 1 deny 10.10.2.0 0.0.0.255

access-list 1 permit any

Этот список блокирует любой трафик из подсетей 10.10.1.0 и 10.10.2.0, независимо от того, какому адресату предназначены пакеты, и разрешает любой трафик, описание которого не соответствует первым двум строкам. Другими словами, разрешен весь трафик, за исключением трафика из подсетей 10.10.1.0 и 10.10.2.0. Создав список, можно применить его к пакетам, проходящим в том или ином направлении через определенный интерфейс. Чтобы применить этот список к трафику, поступающему на определенный интерфейс (то есть к входящему трафику данного интерфейса), используйте команду ip access-group:

interface ethernet0

ip access-group 1 in

Как я уже было упомянуто, существует множество других контекстов, допускающих применение списков доступа. Их можно использовать для ограничения доступа к определенной линии TTY, для указания маршрутов входящего и исходящего трафиков в различных процессах маршрутизации, для решения множества других задач. Также стоит заметить, что, хотя применение списка доступа 1 к пакетам, поступающим на интерфейс ethernet0, предотвращает прохождение через маршрутизатор трафика из подсетей 10.10.1.0 и 10.10.2.0, этот список никак не влияет на трафик, поступающий на любой другой интерфейс, а также не учитывает другие протоколы, отличные от IP. Необходимо настраивать каждый интерфейс и протокол отдельно.

Стандартные списки доступа выполняют фильтрацию на базе исходных IP- адресов (адресов источников). Расширенные списки доступа позволяют создавать намного более сложные фильтры, использующие исходные и целевые адреса в дополнение к информации протоколов более высокого уровня. Например, можно сконструировать фильтр на основе типа и кодовых значений протокола ICMP. Для TCP и UDP можно осуществлять фильтрацию на основе исходных и целевых портов. На рисунке ниже показан маршрутизатор, в котором расширенный список доступа применяется к интерфейсу ethernet0. Этот список доступа блокирует входящий TCP-трафик на порте 23 независимо от исходного и целевого адресов трафика. Так как порт 23 - это telnet-порт, данный список запрещает любым узлам в сети А подключаться по протоколу telnet к любым узлам в сети В и к самому маршрутизатору.

Списки доступа можно применять к исходящему трафику. Например, можно создать список, запрещающий трафик на порте 80, и применить его к исходящим пакетам, передаваемым через интерфейс ethernet0. Таким образом, узлы в сети В не смогут обращаться к веб-серверам в сети А:

Запретить трафик на порте 80 (www-трафик)

ip access-list 111 deny tcp any any eq 80

ip access-list 111 permit ip any any

interface ethernet0

Применить список доступа 111 к исходящему трафику

ip access-group 111 out

Соответствие пакетов пунктам списка

Стандартный список доступа состоит из набора правил. Эти правила обрабатываются по порядку и описывают, какие пакеты следует разрешить или запретить, исходя из адресов их источников. Синтаксис каждого пункта стандартного списка доступа:

access-list номер действие источник

Параметры команды:

номер - число от 1 до 99, идентифицирующее список.

действие - ключевое слово permit или deny, в зависимости от того, хотите вы разрешить или блокировать пакеты.

источник - адрес источника пакетов.

В табл. 7.1 перечислены три способа записи исходных и целевых адресов. В большинстве случаев используются пары адрес-маска, указывающие блоки адресов, поскольку если бы списки доступа составлялись только на основе отдельных IP-адресов, управлять ими было бы гораздо сложнее.

Задание адресов в списках доступа

Синтаксис		Объяснение
Адрес/маска	192.168.2.0 0.0.0.255	Описывает блок IP-адресов. Маска используется в качестве шаблона: единица (1) указывает, что соответствующий бит в адресе может быть любым. Нуль (0) в маске означает, что соответствующий бит должен быть точно таким же, как в указанном адресе. В этом примере указаны адреса от 192.168.2.0 до 192.168.2.255. Таким образом, маска говорит, что при сравнении адресов мы игнорируем последний байт адреса
Host адрес	Host 192.168.2.1	Адрес должен точно совпадать с указанным
		Любой IP-адрес

Пары адрес-маска (шаблоны)

Практически каждый пользователь, впервые столкнувшись со списками доступа, испытывает трудности в понимании шаблонных масок. Проблема заключается в том, что шаблонная маска выглядит как маска подсети, но в действительности ею не является, а представляет собой дополнение cсоответствующей маски подсети. Например, чтобы разрешить любой IP-трафик в сеть 192.168.2.0/24 (то есть 192.168.2.0 с маской подсети 255.255.255.0), соответствующий пункт списка доступа должен выглядеть так:

access-list 10 permit 192.168.2.0 0.0.0.255

Теперь предположим, что маршрутизатор получает пакет с целевым адресом 192.168.2.1. Как определить, что имеет место соответствие? Выполняется побитовая операция ИЛИ шаблонной маски с фактическим адресом назначения и адресом, указанным в правиле списка доступа. Если результаты двух операций совпадают, это говорит о соответствии, и пакет либо допускается, либо блокируется. Чтобы понять это, давайте рассмотрим процесс на уровне битов. В таблице показаны соответствующие адреса и маски в двоичном представлении.

Так происходит вычисление:

Результат 1 = Результат 2

Так как результаты совпадают, целевой адрес 192.168.2.1 подпадает под действие правила в списке доступа. Вкратце, значение маски 0.0.0.255 означает, что последний байт входящего адреса может принимать любое значение, то есть нам неважно, какое именно число стоит на последнем месте. В данном случае соответствие имеет место для всех IP-адресов от 192.168.2.0 до 192.168.2.255. Помимо этого, так как маска указывает, что в последнем байте входящего адреса может находиться любое число, то и последним байтом адреса в списке доступа также может быть любое число. Звучит запутанно, но это означает всего лишь, что 192.168.2.0 0.0.0.255 - это то же самое, что 192.168.2.139 0.0.0.255; обе пары адрес-маска указывают на одну и ту же группу адресов (с 192.168.2.0 по 192.168.2.255).

С помощью управления правами на доступ к данным (IRM) вы можете управлять файлами, загружаемыми из списков или библиотек, и защищать эти файлы.

Подготовка

Службы управления правами Azure (Azure RMS) из Azure защиты информации и эквивалент в локальной службы управления правами Active Directory (AD RMS) поддерживает управление правами для сайтов. Нет отдельных или дополнительных установок не требуются.

Применение IRM к списку или библиотеке, требуются разрешения администратора для этого списка или библиотеки.

Перед Применение IRM к списку или библиотеке сначала она должна быть включена администратором веб-сайтов.

Если вы используете SharePoint Online, ваши пользователи могут возникнуть время ожидания при загрузке большие файлы, защищенные IRM. В этом случае применить защиту IRM с помощью приложений Office и хранить файлы большего размера в библиотеке SharePoint, не использующая IRM.

Примечание: Если вы используете SharePoint Server 2013, администратор сервера должен установить средства защиты на всех интерфейсных веб-серверах для каждого типа файла, который нужно защитить с помощью IRM пользователи в вашей организации.

Применение IRM к списку или библиотеке

Перейдите к списку или библиотеке, для которых требуется настроить IRM.

Откройте на ленте вкладку Библиотека и нажмите кнопку Параметры библиотеки . (Если вы работаете в списке, перейдите на вкладку список и нажмите кнопку Параметры списка ).



1. В разделе разрешения и управление выберите пункт Управление правами . Если ссылка управление правами не отображается, IRM может не включена для сайта. Обратитесь к администратору сервера, чтобы узнать, можно включить IRM веб-сайтов. Управление правами ссылки не отображается для библиотеки рисунков.

   На странице Параметры управления правами сведения установите флажок ограничить доступ к документам в этой библиотеке по загрузки для применения ограниченным разрешением на доступ к документам, загружаемыми из этого списка или библиотеки.

   В диалоговом окне Создание название политики разрешений введите описательное имя политики, можно использовать позже эта политика отличия от других политик. Например можно ввести Служебное, конфиденциальное , если применяются ограниченными разрешениями в список или библиотеку, которая будет содержать документы компании, которые являются конфиденциальными.

   В поле Добавить описание политики разрешений введите описание, которое будет отображаться для пользователей, с помощью этого списка или библиотеки, в котором показано, как должно обрабатывать документы в этом списке или библиотеке. Например можно ввести обсуждать содержимое этого документа с другими сотрудниками только Если необходимо ограничить доступ к информации в эти документы, чтобы сотрудники.

   Чтобы применить дополнительные ограничения к документам в этом списке или библиотеке, нажмите Показать параметры и выполните одно из следующих действий:

   	Действие
   Разрешить пользователям печатать документы из этого списка или библиотеки.	Установите флажок Разрешить зрителям для печати .
   Разрешить сотрудникам с разрешением хотя бы на просмотр элементов запускать встроенные программы и макросы в документах.	Установите флажок Разрешить запуск программы чтения экрана и сценарий для работы над документами загруженный зрителям . Примечание: При выборе этого параметра пользователи получат возможность запускать программы для извлечения контента документа.
   Обязать пользователей подтверждать свои учетные данные через определенные интервалы времени. Выберите этот параметр, если доступ к контенту должен предоставляться только в течение определенного интервала времени. При выборе этого параметра срок действия лицензий пользователей для доступа к контенту истечет после указанного числа дней, и пользователи должны будут вернуться на сервер для подтверждения своих учетных данных и загрузки новой копии.	Выберите Пользователи должны проверять свои учетные данные с помощью этого интервала (в днях) установите флажок, а затем укажите количество дней, для которых требуется возможность просмотра документа.
   Запретить пользователям загрузку документов, которые не поддерживают IRM для этого списка или библиотеки. Если этот параметр выбран, пользователи не смогут загружать файлы следующих типов: типы файлов, для которых не установлены соответствующие средства защиты IRM на всех интерфейсных веб-серверах; типы файлов, которые нельзя расшифровать с помощью SharePoint Server 2010. типы файлов, которые защищены IRM в другой программе.	Установите флажок Запретить пользователям отправлять документы, не поддерживающие управление правами на доступ к данным .
   Удалить ограниченные разрешения из списка или библиотеки в определенный день.	Установите флажок снять ограничения на доступ к библиотеке в и выберите нужную дату.
   Задать интервал кэширования учетных данных для программы, которой разрешено открывать документ.	В, Настройка защиты группы и интервала для учетных данных введите интервал кэширования учетных данных в поле число дней.
   Разрешить защиту групп, чтобы пользователи могли делиться документами с участниками той же группы.	Выберите Разрешить защиту групп и введите имя группы.

По завершении настройки необходимых параметров нажмите кнопку ОК .

Общие сведения об управлении правами на доступ к данным (IRM)

Управление правами на доступ к данным (IRM) позволяет ограничивать действия, которые пользователи могут совершать с файлами, загруженными из списков или библиотек. IRM шифрует загруженные файлы и ограничивает список пользователей и программ, которым разрешено расшифровывать эти файлы. Кроме того, IRM может ограничивать права пользователей, которым разрешено чтение файлов, таким образом, что они не могут выполнять некоторые действия, например печатать копии файлов или копировать из них текст.

IRM можно использовать для списков или библиотек, чтобы ограничить распространение засекреченного контента. Например, если создается библиотека документов, чтобы организовать совместную работу с выбранными торговыми представителями над сведениями о выходящих продуктах, с помощью IRM можно сделать так, чтобы эти лица не могли предоставить такой контент другим сотрудникам компании.

На веб-сайте IRM применяется ко всему списку или библиотеке, а не к отдельным файлам - так легче гарантировать единый уровень защиты для всего набора документов или файлов. Соответственно, IRM может помочь организации обеспечить соблюдение корпоративной политики, которая определяет использование и распространение конфиденциальных или защищаемых сведений.

Примечание: Сведения на этой странице относительно управления правами переопределяет любые условия, ссылающиеся на «Управление правами» в любой Microsoft SharePoint Server 2013 и SharePoint Server 2016 терминов лицензирования.

Защита контента с помощью IRM

IRM помогает защитить контент с ограниченным доступом, обеспечивая следующие условия.

Уполномоченный пользователь не может выполнять копирование, изменение, печать, передачу по факсу или копирование и вставку контента для несанкционированного использования.

Уполномоченный пользователь не может выполнять копирование контента с помощью функции Print Screen в Microsoft Windows.

Уполномоченный пользователь не может просматривать контент, отправленный по электронной почте после загрузки с сервера.

Доступ к контенту предоставляется только в течение указанного интервала времени, после истечения которого пользователи должны подтвердить свои учетные данные и загрузить контент снова.

Обеспечивается обязательное соблюдение корпоративных политик, которые определяют использование и распространение контента в организации.

Условия, при которых IRM не может помочь защитить контент

IRM не может защитить контент с ограниченным доступом от следующих действий.

Стирание, кража, захват или пересылка вредоносными программами, такими как программы-трояны, регистраторы нажатия клавиш и определенные типы шпионского ПО.

Потеря или повреждение вследствие действий компьютерных вирусов.

Ручное копирование или перепечатывание контента с экрана.

Цифровое или аналоговое фотографирование контента, отображаемого на экране.

Копирование с помощью сторонней программы, делающей снимки экрана.

Копирование метаданных контента (значений столбцов) с помощью сторонней программы, делающей снимки экрана, или путем копирования и вставки.

Принципы работы IRM со списками и библиотеками

Защита IRM применяется к файлам на уровне списка или библиотеки. При включении IRM для библиотеки службы управления правами применяется ко всем файлам в этой библиотеке. При включении IRM для списка управления правами применяется только к файлам, присоединенным к элементам списка, а не к самим элементам списка.

Когда пользователи загружают файлы в список или библиотеку с поддержкой IRM, файлы шифруются таким образом, что их могут просматривать только уполномоченные пользователи. Каждый файл с поддержкой IRM также содержит лицензию на выдачу, которая накладывает ограничения на пользователей, просматривающих файл. Типичные ограничения - это установка для файла режима "только чтение", запрет на копирование текста, сохранение локальной копии и печать файла. Клиентские программы, которые могут читать типы файлов с поддержкой IRM, используют лицензию на выдачу в таком файле, чтобы обеспечить соблюдение этих ограничений. Таким способом файлы с поддержкой IRM сохраняют свою защиту даже после загрузки с сервера.

Типы ограничений, применяемых к файлу при его загрузке из списка или библиотеки, основаны на индивидуальных разрешениях пользователя на веб-сайте SharePoint, содержащем файл. Следующая таблица объясняет, как разрешения на веб-сайтах согласуются с разрешениями IRM.

Разрешения	Разрешения IRM
Управление разрешениями, Управление веб-сайтом	Полный доступ (как определено клиентской программой): это разрешение обычно дает пользователям возможность читать, редактировать, копировать, сохранение и изменять разрешения управления правами.
Редактирование элементов, Управление списками, Добавление и настройка страниц	Изменение , копирование и Сохранение : пользователя можно напечатать файл только в том случае, если установлен флажок
Просмотр элементов	Чтение : пользователь может прочитать документ, но не удается скопировать или изменить его содержимое. Пользователь может печатать только в том случае, если установлен флажок Разрешить пользователям печатать документы на странице Параметры управления правами сведениями для списка или библиотеки.
	Никакие другие разрешения прямо не соответствуют разрешениям IRM.

При включении IRM для списка или библиотеки в SharePoint Server 2013 можно защитить только типы файлов в со списком или библиотекой которого на всех интерфейсных веб-серверах установлен средства защиты. Защита - это программа, который определяет шифрования и расшифровки конкретный файл формата файлов с управлением правами. В SharePoint включены средства защиты для следующих типов файлов:

формы Microsoft Office InfoPath;

форматы файлов 97-2003 для следующих приложений Microsoft Office: Word, Excel и PowerPoint;

форматы файлов Office Open XML для следующих приложений Microsoft Office: Word, Excel и PowerPoint;

формат XPS (XML Paper Specification).

Если организация планирует использовать функцию управления правами на доступ к данным для других типов файлов (в дополнение к вышеперечисленным), администратор сервера должен установить средства защиты для этих дополнительных форматов файлов.

Дата публикации: 27.11.2010

В этом уроке речь пойдёт о небольшом улучшении доступа к списку последних документов, используя только стандартные средства программы CorelDRAW. А улучшение это будет заключаться в более удачном расположении списка, для более быстрого доступа.

Конечно стандартный список обладает рядом недостатков. Например, в него запоминаются только 15 последних документов. Так же не видно превью файлов. Однако о функционале программы нужно судить исходя из рабочих потребностей. И если для Вас отсутствие превью и небольшое число последних документов не являются недостатками, тогда читаем дальше. В противном случае, используйте макрос RecentFiles .

Итак, главным минусом списка является его положение в меню — практически в самом низу меню File. Конечно его можно было бы поднять, но есть более удачное, на мой взгляд, место для этого списка — контекстное меню рабочей области, которое вызывается кликом правой кнопки на пустом месте в окне CorelDRAW.

Итак, приступаем к выполнению задачи — переносу списка в контекстное меню.

Примечание: в этом видео список находится вверху меню File.

Каждый компьютер и прочие современные устройства – ноутбуки, планшеты, нетбуки, смартфоны оснащены разнообразными программами. Некоторые пользователи устанавливают самостоятельно, а прочие загружаются без ведома юзеров.
Нередко возникает необходимость обеспечения доступа ко всему перечню установленных утилит. Пользователи могут заполучить весь перечень несколькими вариантами. При работе с наиболее популярной универсальной системой Windows это сделать совсем несложно.

Могут быть задействованы разнообразные популярные утилиты, а также командная строка. В общем, любой из методов крайне прост в реализации. Некоторые юзеры отдают предпочтение использованию инструментов непосредственно ОС. Однако также частенько задействуются возможности деинсталляторов и оптимизаторов.

Необходимость обеспечения доступа к этому перечню может возникать по совершенно различным причинам. Иногда требуется установить программу, но перед этим желательно посмотреть, есть ли такая или подобная ей утилита на аппарате. Также этим способом удается определить наличие нежелательного ПО.

Командная строка открывает доступ к утилитам ПК

Первым делом попробуем выполнить работу именно с задействованием командной строки. В этом случае нужно будет открыть основное меню, доступ к которому обеспечивается непосредственно с Рабочего стола гаджета. После этого уже производим запуск командной строки. В поле вписываем команду «WMIC».

Следующие действия могут отличаться в зависимости от поставленной цели. Открыть перечень всех сервисом удается после введения «product get name,version». Данная команда позволит вывести на экран список абсолютно всех программ, сформированный в удобную для изучения таблицу.

Если вдруг пользователю нужно будет выполнить сохранение данного перечня, то для этого водится еще одна команда: /output:C:\appsfile.txt product get name,version. Далее уже файл будет сохранен. Для дальнейшей удобной работы с этим документом нужно лишь открыть его.

Задействование Windows PowerShell

Обеспечить доступ к перечню имеющихся на компьютере приложений также можно с помощью разнообразных утилит. Если пользователь желает воспользоваться этим вариантом, то нужно учитывать некое ограничение: реализация его возможна лишь при наличии Windows в 8-ой или 10-ой версии.

Все работы проводиться должны лишь от имени администратора. Так что первоначально обеспечим переход в этот режим, а затем вписываем различные команды. Первым делом указываем powershell, после чего Get-ItemProperty. Отступаем место и продолжаем: HKLM:\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\* | Select-Object DisplayName, DisplayVersion, Publisher, InstallDate | Format-Table –AutoSize.

Данная команда, введенная в указанном порядке позволит открыть доступ ко всем имеющимся софтам. Этот метод является также крайне простым в реализации, однако при наличии определенных версий операционной системы.

Вариант сохранения перечня утилит

Есть отдельная категория программ, которые способны быстро разобраться в этом вопросе. Актуальным помощником является CCleaner. Данный сервис направляет свою деятельность на оптимизацию системы и улучшение параметров работоспособности девайса. Также можно быстро получить доступ к установленным софтам.

При необходимости заполучить список всех приложений можно очень просто. Достаточно лишь открыть раздел под названием «Сервис». Далее кликаем по пункту удаления программ. Как только покажется на экране устройства перечень, то выбираем опцию сохранения отчета.