Newsgroup: it.comp.reti.cisco
Titolo: C'è qualche anima pia che mi spiega dove sbaglio?? (LUNGO credo)

Premetto che sono un novellino alle prime armi, mi trovo con un cisco soho
77 che ha la seguente configurazione:
Current configuration : 2042 bytes
!
version 12.1
service single-slot-reload-enable
no service pad
service timestamps debug uptime
service timestamps log datetime localtime
service password-encryption
!
hostname Appo
!
logging buffered 5000 debugging
no logging rate-limit
enable secret 5 XXXXXXXXXXXXXXXXXXXXXXXX
!
username matteo password 7 XXXXXXXXXXXXXXXX
ip subnet-zero
no ip finger
!
no ip dhcp-client network-discovery
!
!
!
interface Ethernet0
 ip address 10.0.1.138 255.255.255.0
 ip nat inside
!
interface ATM0
 no ip address
 no ip mroute-cache
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 dsl operating-mode auto
!
interface Dialer1
 ip address negotiated
  ip nat outside
 encapsulation ppp
 dialer pool 1
 ppp chap hostname 
user...@username.com
 ppp chap password 7 XXXXXXXXXXXXX
 ppp pap sent-username 
user...@username.com
 password 7 XXXXXXXXXXXXXXX
!
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
no ip http server
!
ip nat inside source list 1 interface Dialer1 overload
ip nat inside source static tcp 10.0.1.8 8021 interface Dialer1 8021
ip nat inside source static tcp 10.0.1.1 25 interface Dialer1 25
ip nat inside source static tcp 10.0.1.1 110 interface Dialer1 110
ip nat inside source static tcp 10.0.1.1 47 interface Dialer1 47
ip nat inside source static tcp 10.0.1.1 1723 interface Dialer1 1723
ip nat inside source static tcp 10.0.1.1 80 interface Dialer1 80
access-list 1 permit 10.0.1.0 0.0.0.255
!
line con 0
 transport input none
 stopbits 1
line vty 0 4
 access-class 77 in
 login
!
no scheduler max-task-time
end
con questa configurazione tutti i pc all'interno della lan navigano ed in
piů grazie al'ip nat inside riesco a far visualizzare il sito web all'ext, a
far fare vpn e a ricevere posta.
Adesso vorrei filtrare la navigazione all'interno in modo da impedire ad
esempio i software di p2p quindi ho aggiunto queste access-list:
access-list 110 permit tcp any any eq domain
access-list 110 permit tcp any any eq www
access-list 110 permit udp any any eq domain
access-list 110 permit tcp any any eq 3000
access-list 110 permit tcp any any eq pop3
access-list 110 permit tcp any any eq smtp
access-list 110 permit tcp any any eq ftp-data
access-list 110 permit tcp any any eq ftp
access-list 110 permit tcp any any eq 443
access-list 110 permit gre any any
quindi vorrei far navigare (HTTP, HTTPS), ricevere ed inviare la posta (pop3
e smtp) e ricevere via ftp
quando vado ad aggiungere il comando "ip access-group 110 out" sulla dialer1
succede che effettivamente il traffico in uscita viene filtrato secondo le
access-list impostate ma quello in ingresso viene bloccato, invece se metto
il comando "ip access-group 110 in" tutto il traffico in uscita viene
bloccato mentre quello in ingresso funzione.
Mi spiegate per favore dove sbaglio??

 ha scritto:


 
scusate se mi intrometto ma ho avuto anche io lo stesso problema.
Premetto che il router è meno intelligente di un firewall e lavora solo sulla sorgente e sulla destinazione dei 
pacchetti e NON guarda affatto dove è cominciata la connessione, ma perché Cisco dà la possibilità di specificare dove 
applicare la ACL, cioè IN ed OUT?
Inoltre so che alcuni siti redirigono il client (leggi browser) su altre porte per tenere libera la porta 80 quando ci 
sono moltissime richieste. In questro caso come si fa?
Mi rifarò vivo con altre domande in merito... ;-)
ciao Alex.

il comando Access-group (access-class per le connessioni "line console")  
associa una ACL ad una interfaccia per il traffico in entrata o in uscita  
dalla stessa, la risposta alla tua domanda è SI.
Ciao
Ringhio


 ha scritto nel messaggio
news:opso7xy6rxzwa2b1@ymit1026...


Ringhio wrote:

Non per fare il pignolo ma IN ed OUT significano INconig OUTgoing o INside OUTside?
Voglio dire io ho la seguente ACL applicata sull'ATM0.1 point-to-point applicata in ingresso "ip access-group 101 in"
access-list 101 permit ip host <HostA> any
access-list 101 permit icmp any <IP statico del router> 0.0.0.255 unreachable
access-list 101 permit icmp any <IP statico del router> 0.0.0.255 echo-reply
access-list 101 permit icmp any <IP statico del router> 0.0.0.255 packet-too-big
access-list 101 permit icmp any <IP statico del router> 0.0.0.255 time-exceeded
access-list 101 permit icmp any <IP statico del router> 0.0.0.255 traceroute
access-list 101 permit icmp any <IP statico del router> 0.0.0.255 administratively-prohibited
access-list 101 permit icmp any <IP statico del router> 0.0.0.255 echo
access-list 101 permit tcp host <HostB> eq 22 host <IP statico del router>
access-list 101 permit tcp host <HostC> eq 22 host <IP statico del router>
access-list 101 deny   ip any any log
e se faccio
ssh -l UserID HostD non funziona
ma se aggiungo come penultima riga
access-list 101 permit tcp host <HostD> eq 22 host <IP statico del router>
allora la connessione ssh uscente avverrà.
Ripeto che l'ACL è impostata su IN.
Qualcuno sa spiegarmi perché?
Alex.

 credo di essermi spiegato nel primo post, ho creato questa access-list  


 ha scritto nel messaggio
news:opso8bd5kmzwa2b1@ymit1026...


 ha scritto nel messaggio
news:opso8bd5kmzwa2b1@ymit1026...


posta lo show run perche cosi non è molto chiaro ...
IN e OUT stà per connessioni in INbound e in OUTbound
Per darti un'idea piu chiara, Cisco ti dice che le connessioni OUT sono  
quelle che per arrivare a destinazione devono ATTRAVERSARE il router,  
quelle IN sono quelle che arrivano DIRETTAMENTE all'interfaccia coinvolta.
Manda la show run dai
a presto
Ringhio


 Ringhio
Eccola!
Premessa, è un router di test in cui ci sono un sacco di cose... tra cui un abbozzo di impostazione per fungere da 
server dei Cisco VPN client (che non funziona), una VPN (che funziona), Quality of service (che non so come testare per 
verificare la bontà della configurazione - SNMP?)
Legenda
<IP del router> = indirizzo pubblico del router
version 12.3
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname ??????????????????????????
!
boot-start-marker
boot-end-marker
!
enable secret 5 ????????????????????????????????
!
username ??????????? password 7 ???????????????????
clock timezone CET 1
clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
no aaa new-model
ip subnet-zero
no ip source-route
!
!
!
!
ip domain name ???????????????????
ip name-server ??????????????????????
ip inspect name ethernetin http timeout 3600
ip inspect name ethernetin esmtp timeout 3600
ip inspect name ethernetin tcp timeout 3600
ip inspect name ethernetin cuseeme timeout 3600
ip inspect name ethernetin ftp timeout 3600
ip inspect name ethernetin h323 timeout 3600
ip inspect name ethernetin rcmd timeout 3600
ip inspect name ethernetin realaudio timeout 3600
ip inspect name ethernetin sqlnet timeout 3600
ip inspect name ethernetin streamworks timeout 3600
ip inspect name ethernetin tftp timeout 30
ip inspect name ethernetin udp timeout 15
ip inspect name ethernetin vdolive timeout 3600
ip ips po max-events 100
ip ssh version 2
no ftp-server write-enable
!
!
!
!
class-map match-any attach
  match protocol http
class-map match-all vpn-hub
  match access-group 120
!
!
policy-map vpn-pol
  class vpn-hub
   bandwidth 100
   police cir 640000
policy-map parent
  class vpn-hub
   service-policy vpn-pol
!
!
!
crypto isakmp policy 11
  encr 3des
  hash md5
  authentication pre-share
  lifetime 1200
crypto isakmp key ????????????? address ????????????????????
crypto isakmp invalid-spi-recovery
!
crypto isakmp client configuration group alex
  key ??????????????
  dns ??????????????????? ???????????????'
  domain ?????????????????
  pool EasyVPN
!
!
crypto ipsec transform-set sede esp-3des esp-md5-hmac
!
crypto map nolan 11 ipsec-isakmp
  set peer ?????????????????
  set security-association lifetime seconds 1200
  set transform-set sede
  match address 120
  qos pre-classify
!
!
!
interface Loopback0
  no ip address
!
interface Ethernet0
  ip address 10.237.200.254 255.255.255.0 secondary
  ip address 10.234.0.252 255.255.255.0
  ip nat inside
  ip inspect ethernetin in
  ip virtual-reassembly
  no keepalive
  hold-queue 100 out
!
interface ATM0
  no ip address
  no ip route-cache
  no atm ilmi-keepalive
  bundle-enable
  dsl operating-mode auto
!
interface ATM0.1 point-to-point
  bandwidth 640
  ip address <IP del router> 255.255.255.0
  ip access-group 101 in
  ip nat outside
  ip virtual-reassembly
  no ip route-cache
  crypto map nolan
  pvc 8/35
   vbr-nrt 640 320
   oam-pvc manage
   oam retry 5 5 1
   encapsulation aal5snap
   service-policy output vpn-pol
  !
!
interface FastEthernet1
  no ip address
  duplex auto
  speed auto
!
interface FastEthernet2
  no ip address
  duplex auto
  speed auto
!
interface FastEthernet3
  no ip address
  duplex auto
  speed auto
!
interface FastEthernet4
  no ip address
  duplex auto
  speed auto
!
ip classless
ip route 0.0.0.0 0.0.0.0 ATM0.1
ip route 192.168.131.220 255.255.255.255 ATM0.1
!
no ip http server
no ip http secure-server
!
ip nat pool branch <IP del router> <IP del router> netmask 255.255.255.0
ip nat pool EasyVPN 10.234.0.230 10.234.0.234 netmask 255.255.255.0
ip nat inside source route-map nonat pool branch overload
!
!
ip access-list extended vty-access
  permit tcp <?????????????'> 0.0.0.31 any eq 22
  permit tcp host <IP del router> any
  permit tcp 10.232.3.0 0.0.0.255 any eq 22
  permit tcp 10.232.3.0 0.0.0.255 any eq telnet
  permit tcp 192.168.131.0 0.0.0.255 any eq 22
  permit tcp 192.168.131.0 0.0.0.255 any eq telnet
  deny   ip any any
access-list 100 permit tcp 10.234.0.0 0.0.0.255 any
access-list 100 permit udp 10.234.0.0 0.0.0.255 any
access-list 100 permit icmp 10.234.0.0 0.0.0.255 any
access-list 100 deny   ip any any log
access-list 101 permit ip host ???????????????? any
access-list 101 permit icmp any  0.0.0.255 unreachable
access-list 101 permit icmp any <rete del router> 0.0.0.255 echo-reply
access-list 101 permit icmp any <rete del router> 0.0.0.255 packet-too-big
access-list 101 permit icmp any <rete del router> 0.0.0.255 time-exceeded
access-list 101 permit icmp any <rete del router> 0.0.0.255 traceroute
access-list 101 permit icmp any <rete del router> 0.0.0.255 administratively-prohibited
access-list 101 permit icmp any <rete del router> 0.0.0.255 echo
access-list 101 permit tcp host <Host B> eq 22 host <IP del router>
access-list 101 permit tcp host <Host C> eq 22 host <IP del router>
access-list 101 deny   ip any any log
access-list 120 permit ip host 10.234.0.251 192.168.131.0 0.0.0.255
access-list 120 permit ip host 10.234.0.252 192.168.131.0 0.0.0.255
access-list 120 permit ip host 10.234.0.251 host 10.21.41.135
access-list 130 deny   ip host 10.234.0.251 192.168.131.0 0.0.0.255
access-list 130 deny   ip host 10.234.0.252 192.168.131.0 0.0.0.255
access-list 130 deny   ip host 10.234.0.251 host 10.21.41.135
access-list 130 permit ip host 10.234.0.251 any
access-list 130 permit ip host 10.234.0.252 any
!
route-map nonat permit 10
  match ip address 130
!
!
control-plane
!
!
line con 0
  exec-timeout 120 0
  password 7 ??????????????
  login
  no modem enable
  transport preferred all
  transport output all
  stopbits 1
line aux 0
  transport preferred all
  transport output all
line vty 0 4
  access-class vty-access in
  exec-timeout 120 0
  password 7 ??????????????????
  login local
  length 0
  transport preferred all
  transport input all
  transport output all
!
scheduler max-task-time 5000
ntp clock-period 17180046
ntp source Ethernet0
ntp server <ntp server>
end
NOTA BENE l'access group "ip access-group 101 in" è applicato in ingresso.
Non riesco ad aprire connessione ssh verso qualsiasi IP che non sia specificato nella access-list 101 (applicata in 
ingresso)
Grazie!!!