The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]



"Правила ACL для изолированной подсети"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Маршрутизаторы CISCO и др. оборудование. (ACL, фильтрация и ограничение трафика)
Изначальное сообщение [ Отслеживать ]

"Правила ACL для изолированной подсети"  +/
Сообщение от Net09email (ok), 30-Авг-18, 12:55 
Добрый день!

Стоит задача изолировать влан (46), но при этом разрешить доступ на хосты данной подсети с сетей: 192.168.40.0/24 (влан 40) и 192.168.43.0/24 (влан 43).

Создаю ACL правила:
ip access-list extended education
permit ip 192.168.46.0 0.0.0.255 192.168.46.0 0.0.0.255
permit ip 192.168.40.0 0.0.0.255 192.168.46.0 0.0.0.255
permit ip 192.168.43.0 0.0.0.255 192.168.46.0 0.0.0.255
deny ip any any

Вешаю на интерфейс:
interface Vlan46
ip address 192.168.46.1 255.255.255.0
ip access-group education in
ip access-group education out

Проверяю:
Core6509#ping 192.168.46.1 source 192.168.43.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.46.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.43.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Core6509#ping 192.168.46.1 source 192.168.44.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.46.1, timeout is 2 seconds:
Packet sent with a source address of 192.168.44.1
U.U.U
Success rate is 0 percent (0/5)

Вроде работает, но стоит отправить пинги с компьютера, у которого IP адрес 192.168.44.20:
C:\Users\net09>ping 192.168.46.1

Обмен пакетами с 192.168.46.1 по с 32 байтами данных:
Ответ от 192.168.46.1: число байт=32 время<1мс TTL=255
Ответ от 192.168.46.1: число байт=32 время<1мс TTL=255
Ответ от 192.168.46.1: число байт=32 время<1мс TTL=255
Ответ от 192.168.46.1: число байт=32 время<1мс TTL=255

Статистика Ping для 192.168.46.1:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 0мсек, Максимальное = 0 мсек, Среднее = 0 мсек

Пакеты проходят.

Получается с коммутатора пакеты не проходят, а с компьютера проходят.
Прошу помочь и подсказать, может что то не дописал? Возможно есть другие решения данной задачи?

Core6509#sh ip access-lists education
Extended IP access list education
10 permit ip 192.168.46.0 0.0.0.255 192.168.46.0 0.0.0.255 (5 matches)
20 permit ip 192.168.40.0 0.0.0.255 192.168.46.0 0.0.0.255
30 permit ip 192.168.43.0 0.0.0.255 192.168.46.0 0.0.0.255 (10 matches)
50 deny ip any any (28 matches)

Заранее спасибо.

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Правила ACL для изолированной подсети"  +/
Сообщение от Аноним (1), 30-Авг-18, 16:06 
>[оверквотинг удален]
> Получается с коммутатора пакеты не проходят, а с компьютера проходят.
> Прошу помочь и подсказать, может что то не дописал? Возможно есть другие
> решения данной задачи?
> Core6509#sh ip access-lists education
> Extended IP access list education
> 10 permit ip 192.168.46.0 0.0.0.255 192.168.46.0 0.0.0.255 (5 matches)
> 20 permit ip 192.168.40.0 0.0.0.255 192.168.46.0 0.0.0.255
> 30 permit ip 192.168.43.0 0.0.0.255 192.168.46.0 0.0.0.255 (10 matches)
> 50 deny ip any any (28 matches)
> Заранее спасибо.

А не пробовали пинговать хосты за маршрутизатором? Routing срабатывает до проверки ACL на выходе из интерфейса. А попав на control-plane с адресатом этому control-plane оно и будет им обработано. В ACL оно не попадет никак.
Поищите в интернете "порядок обработки пакетов на Cisco", откиньте ненужные ipsec/encrypt/decrypt/nat и останется ваша схема чистой маршрутизации с input/output ACL.

Да и вешать один и тот-же ACL на вход и выход на одном интерфесе - это отвратительное решение.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Правила ACL для изолированной подсети"  +/
Сообщение от NoName (?), 31-Авг-18, 17:40 
Да так и будет. Почему уже выше написали.
Для полной изоляции лучше использовать vrf.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема


  Закладки на сайте
  Проследить за страницей
Created 1996-2018 by Maxim Chirkov  
ДобавитьПоддержатьВебмастеруГИД  
Hosting by Ihor