Не понятно откуда попадает ICMP трафик в ACL! Что не та не п..., zloy_admin, 08-Окт-06, 14:45 [смотреть все]Есть ACL на смотряшем в лок сеть инетерфесе ! interface GigabitEthernet0/1.193 description test encapsulation dot1Q 193 ip address 192.168.193.1 255.255.255.0 ip access-group traf-from-192-168-193-0 in ip access-group traf-to-192-168-193-0 out ip nat inside ip virtual-reassembly no snmp trap link-status no cdp enable ! Есть сам ACL in ! ip access-list extended traf-from-192-168-193-0 deny ip host 192.168.193.17 any deny ip host 192.168.193.19 any permit ip 192.168.193.0 0.0.0.255 any deny ip any any log-input ! И ACL out ! ip access-list extended traf-to-192-168-193-0 permit ip any 192.168.193.0 0.0.0.255 deny ip any any log-input ! Есть NAT ! ip nat pool POOL-192-168-193-0 1.2.3.65 1.2.3.65 prefix-length 26 ip nat inside source list traf-from-192-168-193-0 pool POOL-192-168-193-0 overload ! Есть интерфейс смотряций в инет ! ! interface GigabitEthernet0/3.6 description GT encapsulation dot1Q 6 ip address 5.5.5.5 255.255.255.240 ip access-group from_gt_in in ip access-group to_gt_out out ip verify unicast reverse-path no ip redirects no ip proxy-arp ip flow ingress ip flow egress ip nat outside ip inspect ftp_inet out ip virtual-reassembly no snmp trap link-status no cdp enable ! ACL на нем ! ip access-list extended from_gt_in deny ip 0.0.0.0 0.255.255.255 any log deny ip host 255.255.255.255 any log deny ip 127.0.0.0 0.255.255.255 any log deny ip 224.0.0.0 15.255.255.255 any log deny ip 240.0.0.0 7.255.255.255 any log deny ip 10.0.0.0 0.255.255.255 any log deny ip 172.16.0.0 0.15.255.255 any log deny ip 192.168.0.0 0.0.255.255 any log deny ip 192.0.2.0 0.0.0.255 any log deny ip 169.254.0.0 0.0.255.255 any log deny tcp any any eq 135 deny udp any any eq 135 deny tcp any any eq 137 log deny udp any any eq netbios-ns log deny tcp any any eq 138 log deny udp any any eq netbios-dgm log deny tcp any any eq 139 log deny udp any any eq netbios-ss log permit ip any 1.2.232.0 0.0.0.3 permit ip any 1.2.232.16 0.0.0.15 permit ip any 1.2.232.32 0.0.0.7 permit ip any 1.2.232.40 0.0.0.7 permit ip any 1.2.232.64 0.0.0.63 permit ip any 5.5.5.5 0.0.0.15 deny ip any any log-input ! ! ip access-list extended to_gt_out deny ip 0.0.0.0 0.255.255.255 any log deny ip host 255.255.255.255 any log deny ip 127.0.0.0 0.255.255.255 any log deny ip 224.0.0.0 15.255.255.255 any log deny ip 240.0.0.0 7.255.255.255 any log deny ip 10.0.0.0 0.255.255.255 any log deny ip 172.16.0.0 0.15.255.255 any log deny ip 192.168.0.0 0.0.255.255 any log deny ip 192.0.2.0 0.0.0.255 any log deny ip 169.254.0.0 0.0.255.255 any log deny tcp any any eq 135 log deny udp any any eq 135 log deny tcp any any eq 137 log deny udp any any eq netbios-ns log deny tcp any any eq 138 log deny udp any any eq netbios-dgm log deny tcp any any eq 139 log deny udp any any eq netbios-ss log permit ip 1.2.3.0 0.0.0.3 any permit ip 1.2.3.16 0.0.0.15 any permit ip 1.2.3.32 0.0.0.7 any permit ip 1.2.3.40 0.0.0.7 any permit ip 1.2.3.64 0.0.0.63 any permit ip 5.5.5.5 0.0.0.15 аny deny ip any any log-input ! ! Вот лог!!! Oct 8 16:39:07 172.16.1.1 2157647: 4447025: Oct 8 16:39:07: %SEC-6-IPACCESSLOGDP: list traf-from-192-168-193-0 denied icmp 1.2.3.215 -> 89.106.103.242 (0/0), 1 packet Oct 8 16:39:08 172.16.1.1 2157648: 4447026: Oct 8 16:39:08: %SEC-6-IPACCESSLOGDP: list traf-from-192-168-193-0 denied icmp 1.2.50.157 -> 89.106.99.95 (0/0), 1 packet Oct 8 16:39:10 172.16.1.1 2157649: 4447027: Oct 8 16:39:09: %SEC-6-IPACCESSLOGDP: list traf-from-192-168-193-0 denied icmp 1.2.234.171 -> 89.106.32.2 (0/0), 1 packet Oct 8 16:39:11 172.16.1.1 2157650: 4447028: Oct 8 16:39:10: %SEC-6-IPACCESSLOGDP: list traf-from-192-168-193-0 denied icmp 1.2.233.211 -> 89.106.32.2 (0/0), 1 packet Oct 8 16:39:12 172.16.1.1 2157651: 4447029: Oct 8 16:39:11: %SEC-6-IPACCESSLOGDP: list traf-from-192-168-193-0 denied icmp 1.2.233.244 -> 89.106.25.219 (0/0), 1 packet Внимание вопрос: Откуда береться этот ICMP трафик если я его не запускаю в роутер с наружи и не пропускаю на внутреннем интерфейсе! PS. IP адреса источников это моя AS, но у меня нет этих сетей физически.Что не так не пойму может по дефолту стото проходит или генериться :))) |
- Не понятно откуда попадает ICMP трафик в ACL! Что не та не п..., nick, 10:28 , 09-Окт-06 (1)
- Не понятно откуда попадает ICMP трафик в ACL! Что не та не п..., zloy_admin, 15:59 , 09-Окт-06 (2)
>1.2.3.215, 1.2.50.157, 1.2.234.171 эти IP адреса Вам известны, они есть со стороны > >interface GigabitEthernet0/1.193 >description test >encapsulation dot1Q 193 >ip address 192.168.193.1 255.255.255.0 В том-то и дело что эти адреса из моей автономки но их у меня физически нет! Кажись я чтото начинаю соображать но не уверен :))) откуда береться трафик с соурс адресом из моей автономки но не из моей сети то есть этой сетки нет еще у меня не освоил :) А приходит все через интерфейс который смотрит к прову то есть interface GigabitEthernet0/3.6 и почемуто попадает в ACL сети 192.168.193.0/24.
|