Newsgroup: it.comp.reti.cisco
Titolo: ACCESS LISTS CISCO 1700

abbiamo un router cisco 1700...subiamo da tempo svariati attacchi...
con bombardamento di pacchetti ip...
ho creato una access-list(Vedere in fondo alla e-mail.....)
riusciamo a bloccare l'attacco per breve tempo ma poi riesco ad entrare
di nuovo .....chi ci aiuta......???????
Grazie.... e  scusateci l'inesperienza!
soc#show access-lists 
Extended IP access list 120
    deny ip 68.1.0.0 0.0.255.255 host NOSTRO IP ROUTER
    deny tcp 68.1.0.0 0.0.255.255 host NOSTRO IP ROUTER
    permit ip any any (914586 matches)
    permit tcp any any
    deny ip 203.0.0.0 0.255.255.255 host NOSTRO IP ROUTER
    deny tcp 203.0.0.0 0.255.255.255 host NOSTRO IP ROUTER
    deny ip any host NOSTRO IP ROUTER
    deny tcp any host NOSTRO IP ROUTER
    deny icmp any host NOSTRO IP ROUTER
    deny udp any host NOSTRO IP ROUTER
    deny ip any host NOSTRO IP SERVER
    deny tcp any host NOSTRO IP SERVER
    deny icmp any host NOSTRO IP SERVER
    deny udp any host NOSTRO IP SERVER
    deny icmp any host NOSTRO IP SERVER2
    deny udp any host NOSTRO IP SERVER2
soc#
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Grazie.... e  scusateci l'inesperienza!
Boh, io ne so meno di te, però posso dirti che se fai "deny ip ...." blocchi
tutto il traffico e quindi ti puoi risparmiare le "deny tcp..." "deny udp
..." ecc sugli stessi indirizzi, ti risparmi un po' di linee e l'acl diventa
+ comprensibile"
Se fai "permit ip any any" fai passare tutto, io quello lo leverei e
metterei solo quello che effettivamente ti serve.
....ma magari ho detto una bojata pazzesca.
Ciao,
Kiko.

 abbiamo un router cisco 1700...subiamo da tempo svariati attacchi...
Inverti l'approccio al problema: chiudi tutto ed apri solo quello di cui
hai bisogno. Potresti iniziare con:
access-list 101 deny   ip 0.0.0.0 0.255.255.255 any log
access-list 101 deny   ip 10.0.0.0 0.255.255.255 any log
access-list 101 deny   ip 127.0.0.0 0.255.255.255 any log
access-list 101 deny   ip 169.254.0.0 0.0.255.255 any log
access-list 101 deny   ip 172.16.0.0 0.15.255.255 any log
access-list 101 deny   ip 192.0.2.0 0.0.0.255 any log
access-list 101 deny   ip 192.168.0.0 0.0.255.255 any log
access-list 101 deny   ip 224.0.0.0 31.255.255.255 any log
access-list 101 deny   ip host 255.255.255.255 any log
Poi, secondo le tue esigenze, potresti proseguire con:
access-list 101 permit tcp any any gt 1023 established
access-list 101 permit udp any eq domain any gt 1023
access-list 101 permit icmp any any time-exceeded
access-list 101 permit icmp any any unreachable
E successivamente con i servizi che vuoi aprire:
access-list 101 permit tcp any gt 1023 host aaa.bbb.ccc.ddd telnet
access-list 101 permit tcp any gt 1023 host eee.fff.ggg.hhh www
Per finire:
access-list 101 deny   ip any any log
Questo e' solo un esempio (soggetto sicuramente ad errori) per
comprendere il giusto approccio al problema.
Un saluto
-- 
Dario Centofanti


 access-list 101 deny   ip host 255.255.255.255 any log
Una domanda, da quello che hai scritto ho capito che č meglio chiudere gli
accessi da spazi di indirizzamento privati, da 'localhost' e broadcast, ma
non ho capito perché chiudi anche 
169.254.0.0/16
 ; 
192.0.2.0/24
 e
224.0.0.0/3
Un' altra domanda, se nel comando access-list..... la stringa www sta per
porta 80, come identifico la 8080? Solo numericamente?
Ciao e grazie.

 porta 80, come identifico la 8080? Solo numericamente?
Si, puoi usare comunque e sempre l'identificativo numerico della porta
per qualsiasi servizio tcp o udp.
