Newsgroup: it.comp.reti.cisco
Titolo: ACL e TFTP

Salve
ho un cisco 837 con queste ACL attive (100) sulla ETH0 (con su gli ip
pubblici e quello lan, ho una multigroup mega)
access-list 100 deny   ip 127.0.0.0 0.255.255.255 any
access-list 100 deny   ip 10.0.0.0 0.255.255.255 any
access-list 100 deny   ip 0.0.0.0 0.255.255.255 any
access-list 100 deny   ip 172.16.0.0 0.15.255.255 any
access-list 100 deny   ip 192.0.2.0 0.0.0.255 any
access-list 100 deny   ip 224.0.0.0 15.255.255.255 any
access-list 100 deny   ip host 255.255.255.255 any
access-list 100 permit ip any any
access-list 102 permit ip 192.168.0.0 0.0.0.255 any
no cdp run
!
line con 0
 exec-timeout 120 0
--------------------------------------
domanina: le ACL vengono applicate in base all'ordine no? l'ultima in
basso
è quella x ultima che viene eseguita, giusto? 
come mai se io voglio mettere un altra access-list tipo:
access-list 100 deny tcp any any fragments
access-list 100 deny udp any any fragments
access-list 100 deny icmp any any fragments
queste vengono messe di sotto sotto permit ip any any
quindi vengono soprassedute?
però se io faccio
no  access-list 100 permit ip any any mi cancella tutte le ACL 100
come posso fare per spostarle su e giu le righe di acl?
ogni volta che meto un acl nuova devo rimuovere tutte le precedenti?
Stavo pensando a esportare dal cisco la configurazione via TFTP
creando un tftp server sul mio pc in lan
una volta li potevo editarla con  un editor testuale tipo blocco note e
mettere le varie access-list nell'ordine a me piu comodo e poi riupparlo
sul
router
avete procedimenti su come fare?
installo tftp server 3com sul mio pc
lan 192.168.0.4
il router  è 192.168.0.254
dal router il comando è : "copy running-config tftp"
però come configuro tftp, cioè DOVE il router versa il file via tftp ?
Una volta sul mio pc, come faccio a riuploadare l'immagine sul router ?
ovvio che dopo che il router ha ricevuto la immagine nuova della conf se
faccio un reload la ricarica da lui e non via network.
ho cercato al sito cisco e ho visto la procedura usando snmp
non ho trovato il tftp.
potete aiutarmi? grazie
bye
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG


[...]
molto semplicemente, cut dalla sessione terminale al notepad, te le
organizzi e poi past .
Cut&paste
ciao

 organizzi e poi past .
Tu dici che è cosi semplice? :)
stasera mo provo


grazie pittore sono riuscito a fare come hai detto tu.
che ne pensi di queste access list?
queste sono attive sulla eth0 a cui ho assegnato sia ip pubblici che ip
lan
192.168.0.254
access-list 100 deny tcp any any fragments
access-list 100 deny udp any any fragments
access-list 100 deny icmp any any fragments
access-list 100 deny   ip 127.0.0.0 0.255.255.255 any
access-list 100 deny   ip 10.0.0.0 0.255.255.255 any
access-list 100 deny   ip 0.0.0.0 0.255.255.255 any
access-list 100 deny   ip 172.16.0.0 0.15.255.255 any
access-list 100 deny   ip 192.0.2.0 0.0.0.255 any
access-list 100 deny   ip 224.0.0.0 15.255.255.255 any
access-list 100 deny   ip host 255.255.255.255 any
access-list 100 permit ip any any
access-list 102 permit ip 192.168.0.0 0.0.0.255 any
-- 


 ha scritto nel messaggio
news:d1f565f43692baaaced...@mygate.mailgate.org...

per pensarne bisognerebbe sapere cosa vuoi realizzare..in ogni caso non sono
un mago delle acl sicuramente c'e' chi ne sa' piu' di me :)

Ciao
ti spiego bene che vojo fare:
il mio range publico va da 41 a 47
voglio bloccare in entrata tutti i pacchetti fremmentati
ho messo le ACL anti-spoofing
voglio permettere in entrata SOLO gli icmp echo request ma negare tutti
gli altri
ICMP in entrata
voglio permettere in entrata solo il protocollo TCP, UDP e IPV6 (41).
permettere tutte le TCP e UDP al di fuori di quelle negate
negare tutti i protocolli tranne tcp udp v6.
queste sono le ACL:
access-list 100 deny   tcp any any fragment
access-list 100 deny   udp any any fragment
access-list 100 deny   icmp any any fragment
access-list 100 permit icmp any any echo
access-list 100 deny icmp any any                 (con questo voglio
negare tutti icmp in entrata tranne l'echo request)
access-list 100 deny   ip 127.0.0.0 0.255.255.255 any
access-list 100 deny   ip 10.0.0.0 0.255.255.255 any
access-list 100 deny   ip 0.0.0.0 0.255.255.255 any
access-list 100 deny   ip 172.16.0.0 0.15.255.255 any
access-list 100 deny   ip 192.0.2.0 0.0.0.255 any
access-list 100 deny   ip 224.0.0.0 15.255.255.255 any
access-list 100 deny   ip host 255.255.255.255 any
access-list 100 deny   ip host 62.110.131.40 host 62.110.131.40   da qui
in poi mi proteggo dal land attack.
access-list 100 deny   ip host 62.110.131.41 host 62.110.131.41
access-list 100 deny   ip host 62.110.131.42 host 62.110.131.42
access-list 100 deny   ip host 62.110.131.43 host 62.110.131.43
access-list 100 deny   ip host 62.110.131.44 host 62.110.131.44
access-list 100 deny   ip host 62.110.131.45 host 62.110.131.45
access-list 100 deny   ip host 62.110.131.46 host 62.110.131.46
access-list 100 deny   ip host 62.110.131.47 host 62.110.131.47    fine
protezione land attack (obsoleto)
access-list 100 deny   ip any host 62.110.131.40
access-list 100 deny   ip any host 62.110.131.47
access-list 100 permit 6 any any (protocollo tcp ) (con questo dovrei
permettere libero giro TRANNE alle ACL sopra del tcp)
access-list 100 permit 17 any any (protocollo udp)  (      "           "
" "                "               "   udp)
access-list 100 permit 41 any any (protocollo ipv6)
access-list 100 deny ip any any (con questa riga voglio negare tutti i
protocolli tranne quelli sopra)
Le ACL 100 sono in uso sulla eth0 dove ho assegnati gli ip pubblici
"ip access-group 100 in" è attivo sulla eth0.
Vanno bene?
funzionano a dovere? in questo modo veramente blocco tutti i protocolli
tranne tcp/udp/v6 ?
Grazie
