|
|
|
|
| Компьютерный форум OSzone.net » Железо » Сетевое оборудование » Cisco - [решено] firewall между vlan <Cisco ACL> |
|
|
Cisco - [решено] firewall между vlan <Cisco ACL>
|
Сообщения: 526 |
Появилась необходимость на той же самой циско 1811 сделать ещё один дополнительный vlan - он у нас будет vlan 103
Необходимо сделать deny all traffic между этим vlan 103 и vlan 101 и vlan 102. Исключением будут только dns - из vlan 103 в vlan 101 по протоколу dns до хостов 172.10.1.4 и 172.10.1.5 Так же такие типы протоколов - http , https, smtp ,pop3 из vlan 3 в vlan 1 до хоста 172.10.1.7 Как это сделать с помощью консоли ?необходимо воспользоваться командой access-list.....а вот как и что.....помогитк плиз. Пояснения - на данный момент мне необходимо предоставить нным людям доступ в интернет - я выбрал именно такой способ. На данный момент ISA у меня находится ещё в vlan 1. На этой неделе буду переводить её на FE. Соответственно второй ряд вопросов , они уже правда обсуждались, но всё-таки - по поводу перевода ISA сервер. Я меняю ip у isa на 128.32.1.2 а циско ставлю 128.32.1.1 - подсети 24 - далее произвожу нные манипуляции на ИСА в её настройках...далее меняю параметр ip route на циско на ip route 0.0.0.0 0.0.0.0 128.32.1.2 или ip route 0.0.0.0 0.0.0.0 fastethernet 0 Всё - по идеи после этих настроек проброс портов должен работать с isa до серверов в vlan 101 должен работать После этого я убираю разрешения всех протоколов кроме днс от vlan 103 к vlan 101. Будет вот так. ISP | ISA(internal 128.32.1.2) | CISCO(FE0 - 128.32.1.1) | Clients - vlan 101, vlan 102, vlan 103 ПРАВИЛЬНО? |
|
|
Отправлено: 20:01, 25-11-2008 |
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать ip access-list extended vlan101_in
permit any network 172.10.1.0 0.0.0.255 network 172.10.2.0 0.0.0.255 permit tcp eq domain host 172.10.1.4 network 172.10.254.0 0.0.0.255 permit tcp eq domain host 172.10.1.5 network 172.10.254.0 0.0.0.255 permit udp eq domain host 172.10.1.4 network 172.10.254.0 0.0.0.255 permit udp eq domain host 172.10.1.5 network 172.10.254.0 0.0.0.255 permit ip host 172.16.1.1 network 172.10.254.0 0.0.0.255 deny any |
|
------- Отправлено: 18:45, 27-11-2008 | #41 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать access-list extended vlan101_in
permit any network 172.10.1.0 0.0.0.255 network 172.10.2.0 0.0.0.255 permit tcp eq domain host 172.10.1.4 network 172.10.254.0 0.0.0.255 permit tcp eq domain host 172.10.1.5 network 172.10.254.0 0.0.0.255 permit udp eq domain host 172.10.1.4 network 172.10.254.0 0.0.0.255 permit udp eq domain host 172.10.1.5 network 172.10.254.0 0.0.0.255 deny any Предпоследнее правило было мною удалено такак я перевёл ISA сервер из FE0 обратно в влан 101 Но это набор правил применительно к влан 101 а влан102? Как я понял, то мне необходимо добавит след. правило access-list extended vlan102_in permit any network 172.10.2.0 0.0.0.255 network 172.10.1.0 0.0.0.255 Или я не прав? Сложно мне понять технологию работы ACl на циско....можете более детально описать её работу? Вопрос - как мне настроить логгинг?Сколько не лазил - везде фигурирует внешний сервер?Разве циска на себе логи не умеет держать? 2-ой вопрос - что делает команда ip source route?И почему циска рекомендует отключить данный параметр? |
|
------- Последний раз редактировалось Aleksey Potapov, 27-11-2008 в 22:51. Отправлено: 20:39, 27-11-2008 | #42 |
|
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать |
|
------- Отправлено: 10:00, 28-11-2008 | #43 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать книжка то естьу меня - настольная)
|
|
------- Отправлено: 10:06, 28-11-2008 | #44 |
|
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать Цитата aptv:
2) Цитата aptv:
3) ip source route В стеке TCP/IP некоторые протоколы включают поля с указанием опций принудительного (требуемого) маршрута. (обычно это служебные типа ICMP ) no ip source route заставляет Cisco игнорировать все эти требования, даже если она может их выполнить. |
||
|
------- Отправлено: 11:16, 28-11-2008 | #45 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать У меня получается вот так.
interface Vlan101 description Vlan1-NSOF ip address 172.10.1.3 255.255.255.0 ip route-cache ip access-list extended vlan_101_vlan_102_in in ip access-list extended vlan_103_internet in ! interface Vlan102 description Vlan2-NSOF ip address 172.10.2.3 255.255.255.0 ip route-cache ip access-list extended vlan_102_vlan_101_in in ! interface Vlan103 description Vlan3-MSOF ip address 172.10.254.3 255.255.255.0 ip route-cache ! interface Async1 no ip address encapsulation slip no ip route-cache shutdown ! ip route 0.0.0.0 0.0.0.0 172.10.1.7 ! ! ip http server ip http access-class 23 no ip http secure-server ! ip access-list extended vlan_101_vlan_102_in remark alow all traffic from Vlan101 to Vlan102 permit any network 172.10.1.0 0.0.0.255 network 172.10.2.0 0.0.0.255 deny any ! ip access-list extended vlan_102_vlan_101_in remark alow all traffic from Vlan102 to Vlan101 permit any network 172.10.2.0 0.0.0.255 network 172.10.1.0 0.0.0.255 deny any ! ip access-list extended vlan103_internet remark allow dns traffic from NSOF DNS to Vlan103 permit tcp eq domain host 172.10.1.4 network 172.10.254.0 0.0.0.255 permit tcp eq domain host 172.10.1.5 network 172.10.254.0 0.0.0.255 permit udp eq domain host 172.10.1.4 network 172.10.254.0 0.0.0.255 permit udp eq domain host 172.10.1.5 network 172.10.254.0 0.0.0.255 remark alow internet traffic from Vlan 103 to Gateway NSOFISA01 permit tcp eq 80 host 172.10.1.7 network 172.10.254.0 0.0.0.255 permit tcp eq 443 host 172.10.1.7 network 172.10.254.0 0.0.0.255 permit tcp eq 25 host 172.10.1.7 network 172.10.254.0 0.0.0.255 permit tcp eq 110 host 172.10.1.7 network 172.10.254.0 0.0.0.255 deny any ! |
|
------- Последний раз редактировалось Aleksey Potapov, 28-11-2008 в 13:27. Отправлено: 13:10, 28-11-2008 | #46 |
|
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать Все верно.
Небольшое замечание по поводу применения правила ip access-list extended vlan103_internet По сути вы им ограничиваете ОТВЕТЫ серверов клиентам. Более грамотно сначала ограничить инициирующие запросы клиентов к серверам, а составленное вами правило оставить как есть, т.е. оно ужесточает ограничения. Однако основным ограничением должно быть ограничение на вход на 103 интерфейсе. Мы его уже расматривали вы его даже сами приводили ip access-list extended sdm_vlan103_in remark SDM_ACL Category=1 permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.4 eq domain permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.5 eq domain permit udp 172.10.254.0 0.0.0.255 host 172.10.1.4 eq domain permit udp 172.10.254.0 0.0.0.255 host 172.10.1.5 eq domain permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.7 eq 80 permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.7 eq 110 permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.7 eq 443 permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.7 eq 25 deny any |
|
------- Отправлено: 13:47, 28-11-2008 | #47 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать ТОЕСТЬ
! interface Vlan101 description Vlan1-NSOF ip address 172.10.1.3 255.255.255.0 ip route-cache ip access-list extended vlan101_vlan102_in in ip access-list extended vlan103_vlan101_internet in ! interface Vlan102 description Vlan2-NSOF ip address 172.10.2.3 255.255.255.0 ip route-cache ip access-list extended vlan102_vlan101_in in ! interface Vlan103 description Vlan3-MSOF ip address 172.10.254.3 255.255.255.0 ip route-cache ip access-list extended vlan101_vlan103_internet in ! interface Async1 no ip address encapsulation slip no ip route-cache shutdown ! ip route 0.0.0.0 0.0.0.0 172.10.1.7 ! ! ip http server ip http access-class 23 no ip http secure-server ! ip access-list extended vlan101_vlan102_in remark alow all traffic from Vlan101 to Vlan102 permit any network 172.10.1.0 0.0.0.255 network 172.10.2.0 0.0.0.255 deny any ! ip access-list extended vlan102_vlan101_in remark alow all traffic from Vlan102 to Vlan101 permit any network 172.10.2.0 0.0.0.255 network 172.10.1.0 0.0.0.255 deny any ! ip access-list extended vlan103_vlan101_internet remark allow dns traffic from Vlan103 to NSOF DNS permit tcp eq domain host 172.10.1.4 network 172.10.254.0 0.0.0.255 permit tcp eq domain host 172.10.1.5 network 172.10.254.0 0.0.0.255 permit udp eq domain host 172.10.1.4 network 172.10.254.0 0.0.0.255 permit udp eq domain host 172.10.1.5 network 172.10.254.0 0.0.0.255 remark alow internet traffic from Vlan 103 to Gateway NSOFISA01 permit tcp eq 80 host 172.10.1.7 network 172.10.254.0 0.0.0.255 permit tcp eq 443 host 172.10.1.7 network 172.10.254.0 0.0.0.255 permit tcp eq 25 host 172.10.1.7 network 172.10.254.0 0.0.0.255 permit tcp eq 110 host 172.10.1.7 network 172.10.254.0 0.0.0.255 deny any ! ip access-list extended vlan101_vlan103_internet in remark allow dns traffic from NSOF DNS to Vlan103 permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.4 eq domain permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.5 eq domain permit udp 172.10.254.0 0.0.0.255 host 172.10.1.4 eq domain permit udp 172.10.254.0 0.0.0.255 host 172.10.1.5 eq domain permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.7 eq 80 remark alow internet traffic from Gateway NSOFISA01 to Vlan 103 permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.7 eq 110 permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.7 eq 443 permit tcp 172.10.254.0 0.0.0.255 host 172.10.1.7 eq 25 deny any |
|
------- Отправлено: 13:55, 28-11-2008 | #48 |
|
Назгул Сообщения: 2633
|
Профиль | Отправить PM | Цитировать Вроде все верно.
|
|
------- Отправлено: 14:03, 28-11-2008 | #49 |
|
Сообщения: 526
|
Профиль | Сайт | Отправить PM | Цитировать Как залью и проверю - отпишу.
|
|
------- Отправлено: 14:14, 28-11-2008 | #50 |
|
Участник сейчас на форуме |
 |
Участник вне форума |
 |
Автор темы |
 |
Сообщение прикреплено |
| |||||
| Название темы | Автор | Информация о форуме | Ответов | Последнее сообщение | |
| FreeBSD - Как поднять VPN туннель между Cisco ASA 5520 и FreeBSD 7.0? | Raven_kg | Общий по FreeBSD | 0 | 05-06-2009 16:22 | |
| Cisco - [решено] Cisco Vlan <1811 + MS ISA> | Aleksey Potapov | Сетевое оборудование | 60 | 30-10-2008 17:07 | |
| Cisco - доступ между Vlan-ами | temich77 | Сетевое оборудование | 1 | 23-06-2008 12:57 | |
| Управление Cisco PIX и Cisco IDS | Bugs | Сетевые технологии | 4 | 25-05-2005 10:41 | |
| Cisco Catalyst 2924XL и ACL | UnReLeAsEd | Защита компьютерных систем | 0 | 21-05-2005 13:53 | |
|
|
Время: 15:10. | © OSzone.net 2001-
|
|
Powered by: vBulletin Copyright ©2000 - 2025, Jelsoft Enterprises Ltd. |
