Cisco IOS – konfiguracja access-list dla selektywnego dostępu do Internetu i usług

Question

Witam, chcę ograniczyć ruch w sieci. Założenia są takie: jeden z komputerów 192.168.1.120 na dostę do Internetu drugi z komputerów 192.168.1.121 ma dostp do strony szyfwowanej wp (217.77.100.101) pozostałe komputery mają zabroniony dostęp do http. ale wszystkie komputery w sieci mają dostęp do...

Kostek7 · Accepted Answer

Skoro definiujesz IP (L3) oraz port usługi (L4), powinieneś wykorzystać listę dla protokołu z wyższej warstwy (L4) TCP/UDP.

Kostek7 · Answer

Składnia komendy jest inna, masz o jedno any za dużo - Reference
Przydatne jest dodanie na końcu każdego ACL komendy

access-list 103 deny ip any any

ponieważ wtedy jak patrzysz na statystyki ładnie widać w które regóły trafia ruch.

somebody.gd · Answer

Dzięki za podpowiedź (tę drugą zwłaszcza). Niestety skrócenie komendy do

access-list 101 permit host 192.168.1.20 any

Może w procedurze robie błąd? Wygląda ona tak:

conf t enter 
cisco(config)#
access-list 101 permit host 192.168.1.20 any enter

sb

Kostek7 · Answer

Brakuje jeszcze protokołu którego dotyczy ta lista, czyli IP.

somebody.gd · Answer

Rzeczywiście. Zaraz to poprawię.

sb

Dodano po 13 [minuty]:

Dzięki,
oczywiście, że zadziałało.
Mam nadzieję, że nie nadużyję grzeczności, ale kolejna komenda też gdzieś ma jakis paproch.

access-list 101 permit http host 192.168.1.26 eq 443 host 212.77.100.101 eq 443

podobnie nie "wchodzi" wersja z siecią

access-list 101 permit http host 192.168.1.26 eq 443 host 217.77.0.0 0.0.255.255 eq 443

więc pewnie gdzieś jest błąd w składni. Niestety ja go nie widzę.

sb

somebody.gd · Answer

Dzięki.

wszystkie komendy zostały przyjęte przez OIS. Wygląda to teraz tak:

access-list 101 permit ip host 192.168.1.20 any
access-list 101 permit tcp host 192.168.1.26 eq 443 host 212.77.100.101 eq 443
access-list 102 permit ip any any eq pop3
access-list 102 permit ip any any eq smtp
access-list 103 deny tcp 192.168.1.0 0.0.0.255 any eq 80
access-list 103 deny tcp 192.168.1.0 any any eq 8080
access-list 103 permit ip 192.168.1.0 0.0.0.255 any

A raczej wyglądało bo IOS zoptymalizował komendy i mimo, że

permit ip 192.168.1.0 0.0.0.255 any

było jako ACLka 103, czyli w tym przypadku ostatnia, zrobił z niej 101. Oczywiście skutkiem tego jest to, że cały ruch w sieci hula aż boli. Jak zatem dopuścić ruch po LAN a częściowo (w większej części) zablokować do Internetu. Czy każdy komputer w LANie muszę osobno dopuszczać do serweri do do siebie na wzajem by uniknąć takiego zapisu:

access-list 103 permit ip 192.168.1.0 0.0.0.255 any

Wiem, że można też użyć

ip urlfilter

, ale wydaje mi się, że chcąc blokować cały ruch, no jego 90% to narzędzie się nie nadaje.
Co zrobić z LANem?

sb

Dodano po 3 [godziny] 56 [minuty]:

Nie mogę sobie z tym poradzic. Dlaczego OIS dla poniższego zapisu nie przepuszcza ruchu smtp, pop3, oraz Internetu dla hosta 192.168.1.20?

access-list 101 permit tcp host 192.168.1.20 any eq www
access-list 102 permit tcp any any eq pop3
access-list 102 permit tcp any any eq smtp
access-list 103 deny   tcp 192.168.1.0 0.0.0.255 any eq www
access-list 103 deny   tcp 192.168.1.0 0.0.0.255 any eq 8080
access-list 103 permit ip 192.168.1.0 0.0.0.255 any
access-list 104 permit udp 192.168.1.0 0.0.0.255 any neq 80
no cdp run
!
route-map SDM_RMAP_1 permit 10
 match ip address 101

sb

Cisco IOS – konfiguracja access-list dla selektywnego dostępu do Internetu i usług

Post #1

Post #2

Post #3

Post #4

Post #5

Post #6

Post #7

Podsumowanie tematu