|
|
|
|
| Компьютерный форум OSzone.net » Железо » Сетевое оборудование » Cisco - [решено] firewall между vlan <Cisco ACL> |
|
|
Cisco - [решено] firewall между vlan <Cisco ACL>
|
Сообщения: 526 |
Появилась необходимость на той же самой циско 1811 сделать ещё один дополнительный vlan - он у нас будет vlan 103
Необходимо сделать deny all traffic между этим vlan 103 и vlan 101 и vlan 102. Исключением будут только dns - из vlan 103 в vlan 101 по протоколу dns до хостов 172.10.1.4 и 172.10.1.5 Так же такие типы протоколов - http , https, smtp ,pop3 из vlan 3 в vlan 1 до хоста 172.10.1.7 Как это сделать с помощью консоли ?необходимо воспользоваться командой access-list.....а вот как и что.....помогитк плиз. Пояснения - на данный момент мне необходимо предоставить нным людям доступ в интернет - я выбрал именно такой способ. На данный момент ISA у меня находится ещё в vlan 1. На этой неделе буду переводить её на FE. Соответственно второй ряд вопросов , они уже правда обсуждались, но всё-таки - по поводу перевода ISA сервер. Я меняю ip у isa на 128.32.1.2 а циско ставлю 128.32.1.1 - подсети 24 - далее произвожу нные манипуляции на ИСА в её настройках...далее меняю параметр ip route на циско на ip route 0.0.0.0 0.0.0.0 128.32.1.2 или ip route 0.0.0.0 0.0.0.0 fastethernet 0 Всё - по идеи после этих настроек проброс портов должен работать с isa до серверов в vlan 101 должен работать После этого я убираю разрешения всех протоколов кроме днс от vlan 103 к vlan 101. Будет вот так. ISP | ISA(internal 128.32.1.2) | CISCO(FE0 - 128.32.1.1) | Clients - vlan 101, vlan 102, vlan 103 ПРАВИЛЬНО? |
|
|
Отправлено: 20:01, 25-11-2008 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать Вопрос ещё возник...У меня же 1811 циска
Вычитал на сайте USB 2.0 Ports on Cisco 1811 and 1812 Integrated USB ports can be configured to work with optional USB token for off-platform storage of VPN credentials or for deployment of configuration stored on USB Flash devices. Возможно ли их задействовать для передачи данных (логи) на USB внешний жётский диск? |
|
------- Отправлено: 15:35, 28-11-2008 | #51 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать Вот какой конфиг после того как я залил с правилами.
! interface Vlan101 description Vlan1-NSOF ip address 172.10.1.3 255.255.255.0 ip route-cache ip access-group vlan101 in ! interface Vlan102 description Vlan2-NSOF ip address 172.10.2.3 255.255.255.0 ip route-cache ip access-group vlan102 in ! interface Vlan103 description Vlan3-MSOF ip address 172.10.254.3 255.255.255.0 ip route-cache ip access-group vlan103 in ! interface Async1 no ip address encapsulation slip no ip route-cache shutdown ! ip route 0.0.0.0 0.0.0.0 172.10.1.7 ! ! ip http server ip http access-class 23 no ip http secure-server ! ip access-list extended vlan101 permit ip any 172.10.1.0 0.0.0.255 permit icmp any 172.10.1.0 0.0.0.255 permit ip 172.10.1.0 0.0.0.255 172.10.2.0 0.0.0.255 permit icmp 172.10.1.0 0.0.0.255 172.10.2.0 0.0.0.255 permit tcp host 195.14.50.1 eq domain 172.10.254.0 0.0.0.255 permit tcp host 195.14.50.21 eq domain 172.10.254.0 0.0.0.255 permit tcp host 213.234.192.7 eq domain 172.10.254.0 0.0.0.255 permit udp host 195.14.50.1 eq domain 172.10.254.0 0.0.0.255 permit udp host 195.14.50.21 eq domain 172.10.254.0 0.0.0.255 permit udp host 213.234.192.7 eq domain 172.10.254.0 0.0.0.255 permit tcp host 172.10.1.4 eq domain 172.10.254.0 0.0.0.255 permit tcp host 172.10.1.5 eq domain 172.10.254.0 0.0.0.255 permit udp host 172.10.1.4 eq domain 172.10.254.0 0.0.0.255 permit udp host 172.10.1.5 eq domain 172.10.254.0 0.0.0.255 permit tcp host any eq 80 172.10.254.0 0.0.0.255 permit tcp host any eq 443 172.10.254.0 0.0.0.255 permit tcp host any eq 25 172.10.254.0 0.0.0.255 permit tcp host any eq 110 172.10.254.0 0.0.0.255 deny ip any any ! ip access-list extended vlan102 permit ip 172.10.2.0 0.0.0.255 172.10.2.0 0.0.0.255 permit icmp 172.10.2.0 0.0.0.255 172.10.2.0 0.0.0.255 permit ip any 172.10.1.0 0.0.0.255 permit icmp any 172.10.1.0 0.0.0.255 permit tcp 172.10.2.0 0.0.0.255 host 195.14.50.1 eq domain permit tcp 172.10.2.0 0.0.0.255 host 195.14.50.21 eq domain permit tcp 172.10.2.0 0.0.0.255 host 213.234.192.7 eq domain permit udp 172.10.2.0 0.0.0.255 host 195.14.50.1 eq domain permit udp 172.10.2.0 0.0.0.255 host 195.14.50.21eq domain permit udp 172.10.2.0 0.0.0.255 host 213.234.192.7 eq domain deny ip any any ! ip access-list extended vlan103 permit ip 172.10.254.0 0.0.0.255 172.10.254.0 0.0.0.255 permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.4 eq domain permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.5 eq domain permit udp 172.10.254.0 0.0.0.255 host 172.10.1.4 eq domain permit udp 172.10.254.0 0.0.0.255 host 172.10.1.5 eq domain permit tcp 172.10.254.0 0.0.0.255 host 195.14.50.1 eq domain permit tcp 172.10.254.0 0.0.0.255 host 195.14.50.21 eq domain permit tcp 172.10.254.0 0.0.0.255 host 213.234.192.7 eq domain permit udp 172.10.254.0 0.0.0.255 host 195.14.50.1 eq domain permit udp 172.10.254.0 0.0.0.255 host 195.14.50.21eq domain permit udp 172.10.254.0 0.0.0.255 host 213.234.192.7 eq domain permit tcp 172.10.254.0 0.0.0.255 host any eq 80 permit tcp 172.10.254.0 0.0.0.255 host any eq 110 permit tcp 172.10.254.0 0.0.0.255 host any eq 443 permit tcp 172.10.254.0 0.0.0.255 host any eq 25 deny ip any any ! Итог - не могу выйти в интернет из Vlan 101 ТОЧНО.Остальные не проверял - времени не хватило.... На рабочих машинах шлюзом у меня указана циска. Куда рыть? подскажите пожалуйста. PS создал конфиг с одним аутом - отлично работает. Вот он ! interface Vlan101 description Vlan1-NSOF ip address 172.10.1.3 255.255.255.0 ip route-cache ! interface Vlan102 description Vlan2-NSOF ip address 172.10.2.3 255.255.255.0 ip route-cache ! interface Vlan103 description Vlan3-MSOF ip address 172.10.254.3 255.255.255.0 ip route-cache ip access-group vlan103 out ! interface Async1 no ip address encapsulation slip ip route-cache shutdown ! ip route 0.0.0.0 0.0.0.0 172.10.1.7 ! ! ip http server ip http access-class 23 no ip http secure-server ! ip access-list extended vlan103 permit tcp any eq 80 172.10.254.0 0.0.0.255 permit tcp any eq 443 172.10.254.0 0.0.0.255 permit tcp any eq 25 172.10.254.0 0.0.0.255 permit tcp any eq 110 172.10.254.0 0.0.0.255 permit tcp host 172.10.1.4 eq domain 172.10.254.0 0.0.0.255 permit tcp host 172.10.1.5 eq domain 172.10.254.0 0.0.0.255 permit udp host 172.10.1.4 eq domain 172.10.254.0 0.0.0.255 permit udp host 172.10.1.5 eq domain 172.10.254.0 0.0.0.255 permit tcp host 195.14.50.1 eq domain 172.10.254.0 0.0.0.255 permit tcp host 195.14.50.21 eq domain 172.10.254.0 0.0.0.255 permit tcp host 213.234.192.7 eq domain 172.10.254.0 0.0.0.255 permit udp host 195.14.50.1 eq domain 172.10.254.0 0.0.0.255 permit udp host 195.14.50.21 eq domain 172.10.254.0 0.0.0.255 permit udp host 213.234.192.7 eq domain 172.10.254.0 0.0.0.255 deny ip any any ! Вопрос по этому конфигу - можно ли как-то в нём сразу ограничить доступ в интрнет ?(Тоесть указывая не any , а именно к примеру www.mail.ru (и только определённые сервисы - тоесть к примеру знакомства mail.ru чтобы не работали.....и т.п.)) Указывал в нём вместо any для протоколов www, 443 и т.п. ip 172.10.1.7 - инет не работал....Должно ли быть так? |
|
------- Последний раз редактировалось Aleksey Potapov, 28-11-2008 в 22:19. Отправлено: 17:05, 28-11-2008 | #52 |
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать Цитата aptv:
Совсем склероз замучал. У вас клиенты когда через ISA ходят, порт прокси В браузере указывают? 8080 либо 3128? Если "Да", то реальный ответный трафик будет isa tcp 8080 -> 172.10.254.0 0.0.0.255 А входящий трафик будет соответсвенно 172.10.254.0 0.0.0.255 -> isa tcp 8080 ==== Если же в браузерах прокси не указывается, то ИСА работает либо фаерволом, либо прозрачным прокси, и запрос клиента будет: 172.10.254.0 0.0.0.255 -> mail.ru tcp 80 ответ, соответственно зеркален наоборот и кроме any ничего не подойдет. === Цитата aptv:
=== кстати, вместо ip в acl можно указывать именна, но только в SDM Среда автоматом переведет имя в IP будет подобная запись ip access-list extended to_Aton remark 172.23.0.0 and 192.168.0.0 ->Aton remark SDM_ACL Category=2 remark www.aton-line.ru:443 permit tcp 192.168.0.0 0.0.0.255 host 195.151.189.23 eq 443 remark www.aton-line.ru:80 permit tcp 192.168.0.0 0.0.0.255 host 195.151.189.23 eq www |
||
|
------- Отправлено: 22:48, 28-11-2008 | #53 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать вот как раз для vlan101 - клиенты хходят через прокси......с авторизацией - для безопастности сети.
А вот из остальных Влан не получится использоват вэб прокси - так как там приходящие и уходящие клиенты - с ноутами в основном.... Теперь понятно... ! ip access-list extended vlan101 permit ip any 172.10.1.0 0.0.0.255 permit icmp any 172.10.1.0 0.0.0.255 permit ip 172.10.1.0 0.0.0.255 172.10.2.0 0.0.0.255 permit icmp 172.10.1.0 0.0.0.255 172.10.2.0 0.0.0.255 permit tcp host 195.14.50.1 eq domain 172.10.254.0 0.0.0.255 permit tcp host 195.14.50.21 eq domain 172.10.254.0 0.0.0.255 permit tcp host 213.234.192.7 eq domain 172.10.254.0 0.0.0.255 permit udp host 195.14.50.1 eq domain 172.10.254.0 0.0.0.255 permit udp host 195.14.50.21 eq domain 172.10.254.0 0.0.0.255 permit udp host 213.234.192.7 eq domain 172.10.254.0 0.0.0.255 permit tcp host 172.10.1.4 eq domain 172.10.254.0 0.0.0.255 permit tcp host 172.10.1.5 eq domain 172.10.254.0 0.0.0.255 permit udp host 172.10.1.4 eq domain 172.10.254.0 0.0.0.255 permit udp host 172.10.1.5 eq domain 172.10.254.0 0.0.0.255 permit tcp host any eq 80 172.10.254.0 0.0.0.255 permit tcp host any eq 443 172.10.254.0 0.0.0.255 permit tcp host any eq 25 172.10.254.0 0.0.0.255 permit tcp host any eq 110 172.10.254.0 0.0.0.255 deny ip any any ! ip access-list extended vlan102 permit ip 172.10.2.0 0.0.0.255 172.10.2.0 0.0.0.255 permit icmp 172.10.2.0 0.0.0.255 172.10.2.0 0.0.0.255 permit ip any 172.10.1.0 0.0.0.255 permit icmp any 172.10.1.0 0.0.0.255 permit tcp 172.10.2.0 0.0.0.255 host 195.14.50.1 eq domain permit tcp 172.10.2.0 0.0.0.255 host 195.14.50.21 eq domain permit tcp 172.10.2.0 0.0.0.255 host 213.234.192.7 eq domain permit udp 172.10.2.0 0.0.0.255 host 195.14.50.1 eq domain permit udp 172.10.2.0 0.0.0.255 host 195.14.50.21eq domain permit udp 172.10.2.0 0.0.0.255 host 213.234.192.7 eq domain deny ip any any ! ip access-list extended vlan103 permit ip 172.10.254.0 0.0.0.255 172.10.254.0 0.0.0.255 permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.4 eq domain permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.5 eq domain permit udp 172.10.254.0 0.0.0.255 host 172.10.1.4 eq domain permit udp 172.10.254.0 0.0.0.255 host 172.10.1.5 eq domain permit tcp 172.10.254.0 0.0.0.255 host 195.14.50.1 eq domain permit tcp 172.10.254.0 0.0.0.255 host 195.14.50.21 eq domain permit tcp 172.10.254.0 0.0.0.255 host 213.234.192.7 eq domain permit udp 172.10.254.0 0.0.0.255 host 195.14.50.1 eq domain permit udp 172.10.254.0 0.0.0.255 host 195.14.50.21eq domain permit udp 172.10.254.0 0.0.0.255 host 213.234.192.7 eq domain permit tcp 172.10.254.0 0.0.0.255 host any eq 80 permit tcp 172.10.254.0 0.0.0.255 host any eq 110 permit tcp 172.10.254.0 0.0.0.255 host any eq 443 permit tcp 172.10.254.0 0.0.0.255 host any eq 25 deny ip any any ! Но почему всё равно не пускает - ведь в самом первом правиле я указал - из подсети 172.10.1.0 куда угодно используя любой протокол.тоесть по идеи они должны получать доступ на isa server .... permit ip any 172.10.1.0 0.0.0.255 ------------ ТОесть разбор данного протокола возможен к примеру на cisco PIX?(устройств работающих на 7-ом уровне модели OSI?) ------------ |
|
------- Отправлено: 08:27, 29-11-2008 | #54 |
|
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать Цитата aptv:
Вобще процесс разбора проще на прокси серверах, но увы они не универсальны. Универсальные же устройства, типа фаерволов 7-го уровня дороги и не так функциональны. |
|
|
------- Отправлено: 19:12, 29-11-2008 | #55 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать Но почему всё равно не пускает - ведь в самом первом правиле я указал - из подсети 172.10.1.0 куда угодно используя любой протокол.тоесть по идеи они должны получать доступ на isa server ....
permit ip any 172.10.1.0 0.0.0.255 |
|
------- Отправлено: 10:41, 30-11-2008 | #56 |
|
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать Цитата aptv:
2) как вы ACL к интерфейсам прикрепили приведите. |
|
|
------- Отправлено: 21:14, 30-11-2008 | #57 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать 1 - в интернет не пускает.
2 - ip access-group vlan101 in |
|
------- Отправлено: 09:07, 01-12-2008 | #58 |
|
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать 1) Кого не пускает?
2) out - правила есть? |
|
------- Отправлено: 09:13, 01-12-2008 | #59 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать клиента из подсети 172.10.1.0
|
|
------- Отправлено: 09:16, 01-12-2008 | #60 |
|
Участник сейчас на форуме |
 |
Участник вне форума |
 |
Автор темы |
 |
Сообщение прикреплено |
| |||||
| Название темы | Автор | Информация о форуме | Ответов | Последнее сообщение | |
| FreeBSD - Как поднять VPN туннель между Cisco ASA 5520 и FreeBSD 7.0? | Raven_kg | Общий по FreeBSD | 0 | 05-06-2009 16:22 | |
| Cisco - [решено] Cisco Vlan <1811 + MS ISA> | Aleksey Potapov | Сетевое оборудование | 60 | 30-10-2008 17:07 | |
| Cisco - доступ между Vlan-ами | temich77 | Сетевое оборудование | 1 | 23-06-2008 12:57 | |
| Управление Cisco PIX и Cisco IDS | Bugs | Сетевые технологии | 4 | 25-05-2005 10:41 | |
| Cisco Catalyst 2924XL и ACL | UnReLeAsEd | Защита компьютерных систем | 0 | 21-05-2005 13:53 | |
|
|
Время: 11:19. | © OSzone.net 2001-
|
|
Powered by: vBulletin Copyright ©2000 - 2025, Jelsoft Enterprises Ltd. |
