Newsgroup: it.comp.reti.cisco
Titolo: Access List: dubbi, perplessità,....

Domanda....
In un 2611Xm ho configurato le due porte ethernet con i segunti indirizzi
int fast0/0
ip address 192.168.32.1  255.255.255.0
no shut
int fast0/1
ip address 172.16.32.1 255.255.0.0
no shut
a questo punto ho abilitato il rip e tutto funziona correttamente: dalla
rete 192 vedo la 172 e viceversa.
ho quindi creato l'access list
access-list 101 deny ip 172.16.0.0   0.0.255.255  192.168.32.0  0.0.0.255
access-list 101 permit ip any any
e l'ho assegnatain ingresso alla porta 0/1:
int fast 0/1
ip access-group 101 in
In teoria tutti i pacchetti provenienti dalla rete 172 e diretti verso la
192 dattraverso la fast 0/1 dovrebbero esser bloccati, mentre tutti gli
altri dovrebbero essere permessi. Quindi gli utneti della 172 non potranno
vedere gli utenti della rete 192, ma gli utenti della 192 dovrebbero poter
vedere quelli della rete 172.
Il problema è che non va !
Secondo voi dove sta il problema ?
GRAZIE !!

 Secondo voi dove sta il problema ?
Il problema sta nel fatto che la comunicazione e' sempre bidirezionale, non
importa da dove comincia .... fa conto due persone che si parlano 
A dice a B ciao
B lo sente e risponde ciao 
se la comunicazione e' aperta si parlano
Ora supponi che A e' sordo  (oppure che B e'muto)
Se A dice ciao 
B lo sente e risponde ma A non lo sente e pensa che non ci sia.
La tua Access list fa esattamente questo.
Se ci dici quali protocolli vuoi rendere accessibili unilateralmente possiamo
vedere se il tuo problema ha o meno una soluzione.
Ciao
-- 
   __|__  Fabio Sardone|  
____(0)_____           | 
http://www.geocities.com/f_sardone/pictures.html
  O  o  O              | Change dot in . and remove .invalid

 Ciao
Da ciò che mi risulta, nella creazione di una access list estesa occorre
identificare la sorgente e la destinazione, mentre nell'applicazione
dell'access list occorre definire la direzione dei pacchetti (in o out).
Quindi se definisco dei criteri a cui devono rispondere i pacchetti in
ingresso ad una porta, tali criteri non dovrebbero influenzare (ovviamente)
i pacchetti in uscita sulla stessa porta, se no che senso avrebbe definire
una direzione (in o
out) e la sorgente e la destinazione ?
Infatti se metto la access list in out, le due sottoreti si vedono: infatti
in uscita sulla fast0/1 non potranno mai giungere pacchetti con sorgente la
rete 172 e destinazione la 192. Non mi spiego quindi come mai con
l'access-list elencata sopra le 2 reti si comportano esattamente allo stesso
modo.
Quello che desidero ottenere è una separazione tra le due reti: la rete 172
non dovrà assolutamente accedere alla 192 (qualsiasi sia il protocollo e
porta usata) mentre la rete 192 dovrà poter vedere la 172. Tutto qui. Lo so
che per ottenere ciò ci sono molti altri metodi, ma desidererei implementare
tale configurazione con le access-list.


 Ciao
Ciao Ciao :-)


 Credo che ci voglia un proxy/stateful firewall per fare cio' che vuoi tu.
Pensandoci meglio,
potresti usare un bel NAT overload cosi' facendo la connessione sarebbe solo
unidirezionale, funzionando solo per le connessioni iniziate da un lato. Questo
sistema infatti funziona sia per UDP che per TCP mentre
l'uso di access list "established" puo' essere d'aiuto per il TCP soltanto.
Buon divertimento.


   O  o  O              | Change dot in . and remove .invalid
Mi "inserisco" perchè l'argomento mi interessa.
La situazine descritta da "xxxxxx" (avrà un nome???) è piuttosto comune,
interconnettere due reti e fare in modo che solo una rete veda l'altra per
motivi di sicurezza.
Sto' sbattendo la testa anche io su questa questione per delle VPN fatte
con i PIX, ma non ho trovato soluzione.
Fabio ha solo e soltanto ragione, però rimane il fatto che per fare una
banale operazione come questa si debba mettere in piedi NAT (che potrebbe
dare controindicazioni) oppure apparati aggiuntivi.
A me non viene in mente altro però penso che ci sia qualcosa di semplice
per realizzare una cosa di questo genere.
Ciao
Luca
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 l'uso di access list "established" puo' essere d'aiuto per il TCP
soltanto.
Premetto che non sono espertissimo, ma non capisco questa affermazione.
Non basterebbe aggiungere all'inizio dell'access-list :
access-list 101 permit ip 172.16.0.0   0.0.255.255  192.168.32.0  0.0.0.255
established
Mi spiegate se sto sbagliando.
Grazie e ciao.

 Grazie e ciao.
Figurati
Ciao



che significa " tale bit non ci sta ...."
dicendogli permit ip non gli dico di permettere tutti i protocolli IP, UDP
compreso ?
Ciao e grazie.

 compreso ?
Certo, permetti tutti i protocolli della suite IP (ICMP UDP TCP) ma non puoi
specificare le porte. Se specifichi TCP o UDP puoi specificare una porta (o un
range) ma la keyword established si applica solo al TCP. Infatti established
verifica la presenza di alcuni bit settati nel'header tcp. Dalla seguente url:
http://www.cisco.com/univercd/cc/td/doc/product/software/ios122/122cgcr/fipras_r/1rfip1.htm#1017448
established:
(Optional) For the TCP protocol only: Indicates an established connection. A
match occurs if the TCP datagram has the ACK, FIN, PSH, RST, SYN or URG control
bits set. The nonmatching case is that of the initial TCP datagram to form a
connection. 
Tali bit non esistono nel datagramma UDP. Suggerisco Edward Comer:
Internetworking con il TCP/IP. La seconda edizione (tradotta in italiano) era
McGraw Hill mentre la quarta l'ho comprata in Inglese ed e' prentice hall.
Maggiori informazioni sulle access-list
http://www.cisco.com/univercd/cc/td/doc/product/software/ios122/122cgcr/fipr_c/ipcprt1/1cfip.htm#1109098
Buone letture.


Ho utilizzato la seguente configurazione:
interface fast0/0
    ip access-group inbound in
    ip access-group outbound out
ip access-list extended inbound
permit ip 172.16.32.0 0.0.255.255 192.168.32.0 0.0.0.255
evaluate packetssent
deny ip any any
ip access-list extended outbound
deny ip 192.168.32.0 0.0.0.255 172.16.32.0 0.0.255.255
permit tcp any any reflect packetssent timeout 120
permit udp any any reflect packetssent timeout 120
permit icmp any any reflect packetssent timeout 120
permit ip any any
Se applico l'access list all'interfaccia ethernet dovei poter effettuare la
connessione dalla rete 172.16.32.0 alla 192.168.32.0 ma dovrebbe essere
impedita la connessione dalla 192.168.32.0 alla 172.16.32.0.
Purtroppo la cosa non funziona nel senso che presi due PC appartenenti alle
due reti essi risultano essere isolati.
Dove sta l'errore ?
Grazie !