Newsgroup: it.comp.reti.cisco
Titolo: Domanda veloce su ACL

Ciao!
un domandone veloce
dato che i cisco ragionano con le subnet rovesciate
esempio .255 č come .0
.8 č come .248 (se non sbaglio)
Domanda sulla mia aCL:
Ho il range ip pubblico che va da x.176 a 183
.176 network
.177 gateway
.178 firewall
.179 server etc
.183 broadcast
se voglio fare una acl che blocchi X verso la mia subnet, č corretta la
ACL:
access-list 100 deny   tcp any eq 3000 host x.x.x.176 0.0.0.8 
Mi interessa sapere se il range .176-183 (subnet .248) sia qui
rappresentato correttamente.
grazie
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 rappresentato correttamente.
No e' sbagliata.
Le wildcard sono sempre dispari.
Poi un trucchetto sulle subnet, la wildcard associata e' uguale al
numero di ip della rete meno 1.
Oppure 255-(ultimo otteto della netmask)
Quindi 183-176=8-1=7, oppure 255-248=7.
Ricorda questo solo per le subnet, cioe' inferiori ad una /24.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFE/u9uuxRXtjsR9sRAzq7AJ9wOhzGU75ZwsfNZpi+SZ6helyZdQCgvkNs
gJ1iNzcOEaOZ/EkQ3KcpTag=
=5ZxV
-----END PGP SIGNATURE-----

 Ricorda questo solo per le subnet, cioe' inferiori ad una /24.
Non mi è chiaro per nulla... ho fatto le prove da un host fuori, a fare
un port scan
e la ACL sembra funzionare, i pacchetti li droppa correttamente.
come mai?
Scondo te, come dovrebbe essere fatta per bene la ACL?


 Scondo te, come dovrebbe essere fatta per bene la ACL?
Fai uno show run, probabilmente il risultato e' diverso da quello che
hai scritto.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFFBh2uuxRXtjsR9sRA+0/AJ9HgXazJiCAfKT6rC+VB/8qf+UvdACfY09O
Df1wuTac1ZxqUTjgLjHqNiI=
=HBTV
-----END PGP SIGNATURE-----

 hai scritto.
Il risultato combacia perfettamente con quanto ho scritto nel primo
post.
Can you help me?
thank you


 post.
Sei sicuro che se fai uno scan tutti e solo quegli ip risultano bloccati
? Io dico che sugli estrmi avrai qualche difformita' da quello che ti
aspetti...
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFFF1ruuxRXtjsR9sRAyRVAJ0ctur1OzQ/s0IwQNDfQlifeBaCpgCfZPAq
PsPhpLHh4p07W7l1TsOYwlc=
=knbf
-----END PGP SIGNATURE-----

lo scan lo faccio da un ip esterno alla mia rete.
giusto ieri sera implementavo la stessa acl e ho messo 0.0.0.8 e non andava
ho messo 0.0.0.7 e andava.
ora sto configurando anche un altro router x fare delle prove
e la subnet sembra andare ok.
"Hartigan" <hart...@sincity.real.life> ha scritto nel messaggio 
news:P3ZQg.463$Xm....@tornado.fastwebnet.it...


 
ah ok, allora e' giusto.
Si devi mettere la wildcard della netmask della subnet che vuoi inserire
nella acl.
La wildcard e' un NOT  dei bit degli otteti della netmask.
quindi:
255.255.255.248 in binario diventa
11111111.11111111.11111111.11111000
Usando la funzione NOT, quindi tutto viene invertito...
00000000.00000000.00000000.00000111
Che equivale a:
0.0.0.7
Capito ?
Poi decimalmente il conto funziona con le due scorciatoie
che ti ho scritto.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFFe7GuuxRXtjsR9sRA1T4AJ47xMRMGz9US+GQnRw0CkdqEAx6swCgk2vl
u8KP0/5biq5mjvmdrW31HJU=
=xiIT
-----END PGP SIGNATURE-----

Dunque
devo mettere quindi la subnet invertita -1
ciè se è un 255.255.255.248 metto 0.0.0.7
se è un 255.255.255.240 metto 0.0.0.15
se il mio range è :
1.1.1.176-183
dove .176 network id
dove .177 default gw (il cisco stesso)
dove .178 ~ 182 ho dei server con ip pubblico sulla eth
e .183 broadcast address
la ACL come la metto
uso come ip iniziale
deny ip 1.1.1.176 0.0.0.7 ???


 deny ip 1.1.1.176 0.0.0.7 ???
Usi come ip iniziale il Network ID come sempre.
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFF6lOuuxRXtjsR9sRArAXAKCUg8rP6fSbZ751Y37P+yJKFpDtMwCeLpib
0fxadP59dwg1065PEVLJCms=
=+q02
-----END PGP SIGNATURE-----

 Dunque
[Cut!]
Qui un paio di cose utili:
http://www.subnetmask.info/
http://www.subnet-calculator.com/
http://jodies.de/ipcalc
- --
==
"Vorrei solo sapere che sei morto.
Cosi', per stare un po meglio."
- -
Per scrivermi una email o avere la mia PGP Key, posta
un messaggio con il seguente soggetto:"REQUEST EMAIL HARTIGAN".
==
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
iD8DBQFFF6oWuuxRXtjsR9sRAoOGAJ9OQr62QGp2X6PA9YF+z3ggoY9cTwCeMIvh
16ojP8liKFGMKKMTMJ1yzZc=
=/EuS
-----END PGP SIGNATURE-----