Newsgroup: it.comp.reti.cisco
Titolo: Problemi con access list su cisco 2610

Ho questo cisco 2610 con bri in entrata
vorrei che tutto fosse disabilitato
tranne la possibilita' di andare su determinati ip via web
e basta
ho implementato questa access list ma pare non funzionare
Qualcuno sa darmi una mano? grazie
Current configuration:
!
version 11.3
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname PP2000
!
enable password 7 **
!
username * password 7 ****
username * password 7 *
ip subnet-zero
no ip domain-lookup
isdn switch-type basic-net3
!
!
!
interface BRI0/0
 no ip address
 shutdown
 isdn switch-type basic-net3
!
interface Ethernet0/0
 description connected to EthernetLAN
 ip address ** 255.255.255.128
 ip access-group 100 in
 no keepalive
!
interface BRI1/0
 description connected to Dial-inPCs(ISDN)
 no ip address
 encapsulation ppp
 dialer rotary-group 1
 isdn switch-type basic-net3
 no cdp enable
!
interface BRI1/1
 no ip address
 encapsulation ppp
 dialer rotary-group 1
 isdn switch-type basic-net3
 no cdp enable
!
interface BRI1/2
 no ip address
 encapsulation ppp
 dialer rotary-group 1
 isdn switch-type basic-net3
 no cdp enable
!
interface BRI1/3
 no ip address
 encapsulation ppp
 dialer rotary-group 1
 isdn switch-type basic-net3
 no cdp enable
!
interface Dialer1
 description connected to Dial-inPCs(ISDN)
 ip unnumbered Ethernet0/0
 encapsulation ppp
 no ip split-horizon
 dialer in-band
 dialer-group 1
 peer default ip address pool PP2000-Group-1
 no cdp enable
 ppp authentication chap pap callin
 ppp multilink
!
router rip
 version 2
 network ****
 no auto-summary
!
ip local pool PP2000-Group-1 212.210.123.240 212.210.123.247
ip classless
ip route 0.0.0.0 0.0.0.0 212.210.123.129
!
access-list 100 deny   ip 212.210.123.0 0.0.0.255 any
access-list 100 permit tcp any any established
access-list 100 permit tcp any any eq telnet
access-list 100 permit tcp any any eq www
dialer-list 1 protocol ip list 100
!
line con 0
 exec-timeout 0 0
 password 7 **
 login
line aux 0
line vty 0 4
 password 7 *
 login
!
no scheduler allocate
end

 
la access-list 100 non va messa sulla ethernet ma sulla bri
infatti nella tua configurazione sulla bri non c'e' uno
statement "ip access-group 100 in" quindi puo' entrare tutto
e dalla ethernet puo' uscire qualunque cosa visto che il filtro
e sui pacchetti in. C'e' anche uno statement "dialer-list 1"
che e' associata alla stessa lista, ma che sappia io questa
serve solo per dire chi puo' scatenare una connessione (
quindi da lan a isdn che non e' il tuo caso ) e quali pacchetti
sono considerati "interessanti" dalla isdn e che quindi
tengono alto l'idle-timeout.
Per fare quello che dici proporrei di mettere una lista su
"dialer1" quindi con lo statement "ip access-group 101 in"
e la lista 101 fatta cosi'. La lista su ethernet 0 la leverei.
access-list 101 permit tcp any host <web1> eq 80
access-list 101 permit tcp any host <web2> eq 80
access-list 101 permit tcp any host <web3> eq 80
questi statement permettono la navigazione a chiunque
si colleghi alle bri 
access-list 101 permit tcp any any established
questo permette di far passare i pacchetti in risposta 
a connessione tcp originati dalla lan verso il lato remoto
isdn
il resto dovrebbe essere negato di default visto che abbiamo
usato solo statement "permit"
sulla dialer-list 1 metterei un tranquillo "permit ip any any"
prova e fammi sapere
-- 
Eugenio e una TDM Rossa "Piomba"
Il mio angelo custode ha un problema con il casco:
Gli schiaccia l'aureola.

> 
Grazie ha funzionato tranne per il fatto che bisognava anche abilitare
il dns sulla access list...
grazie tante Eugenio