Newsgroup: it.comp.reti.cisco
Titolo: access-list "established"su dialer0 ed ip Adsl dinamico.

Sto tentando di andare avanti con la configurazione del mio 827
con firmware IP standard 12.1
Vorrei applicare le access-list consigliate dalla ottima
FAQ.
se l' avessi letta prima avrei evitato alcuni post degli ultimi
giorni...  scusatemi :(
Le "righe" che mi creano problemi sono queste qua sotto..
access-list 190 permit tcp any host 80.116.115.153 established
access-list 190 permit tcp any eq ftp-data host 80.116.115.153 gt 1023
access-list 190 permit tcp any eq ftp host 80.116.115.153 gt 1023
access-list 190 permit udp any eq domain host 80.116.115.153 gt 1023
access-list 190 deny ip any any log
Mettendole così funzionano, dalla lan riesco ad uscire verso internet
e vengono invece filtrati i pacchetti non richiesti, (una marea di
135-139 netbios)
Il problema è che l' indirizzo 80.116.115.153 mi è stato assegnato
dinamicamente dal provider.. potrebbe cambiare da un  momento all'
altro con ovvi risultati per le mia access-list 190 ....  :(
Come posso risolvere?
Ho provato a mettere gli indirizzi interni con wildcard ma non riesco
più ad uscire dalla lan.. in realtà esco ma il cisco blocca tutto ciò
che tenta di rientrare....
Ciao
Ste
--
Please remove NOSPAM from address when replying

Ciao.
Dato che l'ACL l'applicherai in ingresso alla D0, puoi traunquillamente
sostituire l'ip con any.
Ciao
P.S.
Se metti established alla prima riga, la terza non serve.
HTH
Carlo
"Stef@none" <str...@aruba.itNOSPAM> wrote in message
news:nh6880dch7cllfnph...@4ax.com...


sostituire l'ip con any.
Vero.
Funzia :)
Grazie.



Sto provando ad applicare i filtri consigliati dalla faq anche sul
traffico in uscita dalla lan ed ho un problema analogo al precedente
causato dall' ip dinamico.
 in particolare ho messo:
ip nat inside source list 101 interface Dialer0 overload
access-list 101 deny udp any range 135 netbios-ss any
access-list 101 permit ip 192.168.0.0 0.0.0.255 any
access-list 101 permit icmp 192.168.0.0 0.0.0.255 any
access-list 101 deny ip any any log
Per uscire esco senza aver riscontrato particolari problemi ma il log
si riempie  di cose del genere:
2004-04-21 21.05.34	Local7.Info	192.168.0.1	308: 00:08:05:
%SEC-6-IPACCESSLOGDP: list 101 denied icmp 80.117.98.219 ->
80.139.185.197 (3/3), 1 packet
2004-04-21 21.05.36	Local7.Info	192.168.0.1	309: 00:08:07:
%SEC-6-IPACCESSLOGDP: list 101 denied icmp 80.117.98.219 ->
82.50.109.139 (3/3), 1 packet
2004-04-21 21.05.38	Local7.Info	192.168.0.1	310: 00:08:10:
%SEC-6-IPACCESSLOGDP: list 101 denied icmp 80.117.98.219 ->
195.36.212.92 (3/3), 1 packet
2004-04-21 21.05.38	Local7.Info	192.168.0.1	311: 00:08:10:
%SEC-6-IPACCESSLOGP: list 101 denied tcp 80.117.98.219(1338) ->
207.46.107.22(1863), 1 packet
2004-04-21 21.05.40	Local7.Info	192.168.0.1	312: 00:08:11:
%SEC-6-IPACCESSLOGDP: list 101 denied icmp 80.117.98.219 ->
213.36.204.217 (3/3), 1 packet
2004-04-21 21.05.42	Local7.Info	192.168.0.1	313: 00:08:13:
%SEC-6-IPACCESSLOGDP: list 101 denied icmp 80.117.98.219 ->
80.117.114.86 (3/13), 1 packet
2004-04-21 21.05.45	Local7.Info	192.168.0.1	314: 00:08:16:
%SEC-6-IPACCESSLOGDP: list 101 denied icmp 80.117.98.219 ->
62.219.104.110 (3/3), 1 
Dove 80.117.98.219 è il mio indirizzo esterno ottenuto dinamicamente..
è normale sta cosa oppure ho omesso/sbagliato qualcosa io nella
configurazione?
Ciao, Grazie.
Pian piano riuscirò pure io a capirci qualcosa di sti CISCO  ;)


Ciao
Dai log sembra che l'ACL 101 sia applicata in uscita sulla D0
O meglio.... sembra essere utilizzata per due scopi.. Nattare e filtrare..
Ma è ovvio che impostata così, potresti solo applicarla in ingresso alla
ethernet o utilizzara per il solo NAT.
Per sola curiosità... manda la tua config così gli si da un' occhiata ;)
Ciao
HTH
Carlo
"Stef@none" <str...@aruba.itNOSPAM> wrote in message
news:4rhd80pski8c8ou7v...@4ax.com...



eccola..
un' altra cosa che sembrerebbe non andare e l' FTP
dall' ufficio a casa nonostante abbia apertoe nattato la 21.
Probabile abbia cannato io qualcosa, con cisco sono un 
esordiente totale ;)
Ciao.
Ste
**********************************************************************************
!
version 12.1
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname paparazzo
!
logging console critical
enable secret 5 xxx.
!
!
!
!
!
ip subnet-zero
no ip source-route
no ip finger
ip name-server 212.216.112.112
ip name-server 81.118.222.2
!
no ip bootp server
!
!
!
interface Ethernet0
 ip address 10.0.0.1 255.255.255.0
 no ip directed-broadcast
 ip nat inside
 no cdp enable
!
interface ATM0
 no ip address
 no ip directed-broadcast
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 bundle-enable
 hold-queue 224 in
!
interface Dialer0
 ip address negotiated
 ip access-group 190 in
 no ip directed-broadcast
 ip nat outside
 encapsulation ppp
 dialer pool 1
 no cdp enable
 ppp chap hostname xxx
 ppp chap password 7 xxx
 ppp pap sent-username xxx password 7 xxx
!
ip nat inside source list 101 interface Dialer0 overload
ip nat inside source static tcp 10.0.0.2 8987 interface Dialer0 86
ip nat inside source static tcp 10.0.0.2 21 interface Dialer0 21
ip nat inside source static tcp 10.0.0.2 85 interface Dialer0 85
ip nat inside source static tcp 10.0.0.2 6553 interface Dialer0 6553
ip nat inside source static tcp 10.0.0.150 80 interface Dialer0 80
ip nat inside source static tcp 10.0.0.150 9002 interface Dialer0 9002
ip nat inside source static tcp 10.0.0.150 9102 interface Dialer0 9102
ip nat inside source static tcp 10.0.0.150 9300 interface Dialer0 9300
ip nat inside source static udp 10.0.0.150 9300 interface Dialer0 9300
ip nat inside source static tcp 10.0.0.150 9400 interface Dialer0 9400
ip nat inside source static tcp 10.0.0.2 3389 interface Dialer0 3389
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer0
no ip http server
!
logging 10.0.0.2
access-list 1 permit 10.0.0.0 0.0.0.255
access-list 5 permit 10.0.0.2
access-list 101 permit ip 10.0.0.0 0.0.0.255 any
access-list 102 permit tcp host 10.0.0.20 any eq telnet log
access-list 102 permit tcp host 10.0.0.21 any eq telnet log
access-list 102 permit tcp host 10.0.0.22 any eq telnet log
access-list 102 permit tcp host 81.111.111.111any eq telnet log
access-list 102 permit tcp host 81.112.112.112any eq telnet log
access-list 102 deny   ip any any log
access-list 190 remark *** FILTRI ANTI-SPOOFING *************
access-list 190 deny   ip 127.0.0.0 0.255.255.255 any
access-list 190 deny   ip 10.0.0.0 0.255.255.255 any
access-list 190 deny   ip 172.16.0.0 0.15.255.255 any
access-list 190 deny   ip 192.168.0.0 0.0.255.255 any
access-list 190 deny   ip 224.0.0.0 15.255.255.255 any
access-list 190 remark *** ACCESSO PER EMULE ****************
access-list 190 permit tcp any any eq 6553
access-list 190 permit udp any any eq 4672
access-list 190 remark *** ACCESSO Ufficio-Casa ADSL **********
access-list 190 permit tcp host 81.111.111.111any eq 3389
access-list 190 permit tcp host 81.111.111.111any eq ftp
access-list 190 permit tcp host 81.111.111.111any eq telnet
access-list 190 permit tcp host 81.111.111.111any eq 85
access-list 190 permit tcp host 81.111.111.111any eq 86
access-list 190 permit tcp host 81.111.111.111any eq www
access-list 190 permit tcp host 81.111.111.111any eq 9002
access-list 190 permit tcp host 81.111.111.111any eq 9102
access-list 190 permit udp host 81.111.111.111any eq 9300
access-list 190 permit tcp host 81.111.111.111any eq 9400
access-list 190 remark *** ACCESSO Ufficio-Casa HDSL **********
access-list 190 permit tcp host 81.112.112.112any eq 3389
access-list 190 permit tcp host 81.112.112.112any eq ftp
access-list 190 permit tcp host 81.112.112.112any eq telnet
access-list 190 permit tcp host 81.112.112.112any eq 85
access-list 190 permit tcp host 81.112.112.112any eq 86
access-list 190 permit tcp host 81.112.112.112any eq www
access-list 190 permit tcp host 81.112.112.112any eq 9002
access-list 190 permit tcp host 81.112.112.112any eq 9102
access-list 190 permit udp host 81.112.112.112any eq 9300
access-list 190 permit tcp host 81.112.112.112any eq 9400
access-list 190 remark *** CONN DALL INTERNO ****************
access-list 190 permit tcp any any established
access-list 190 permit tcp any eq ftp-data any gt 1023
access-list 190 permit udp any eq domain any gt 1023
access-list 190 permit icmp any any echo-reply
access-list 190 remark ***BUTTA E LOGGA IL RESTO ************
access-list 190 deny   ip any any log
no cdp run
snmp-server engineID local xxx
snmp-server community public RO 5
!
line con 0
 exec-timeout 0 0
 transport input none
 stopbits 1
line vty 0 4
 access-class 102 in
 password 7 xxx
 login
!
scheduler max-task-time 5000
end
