Newsgroup: it.comp.reti.cisco
Titolo: Ping "solo in un senso".

Salve,
scusate se vi rubo tempo ma ho un dubbio sul ping.
Supponiamo che io abbia 2 VLAN e che su una delle due vi siamo delle
macchine di amministrazione (VLAN1) mentre sull'altra vi siano delle
macchine da "controllare" (VLAN2). Supponiamo inoltre che sul router che
permette loro di "parlare" siano implementate delle ACL estese che, appunto,
consentono alle macchine dell'amministrazione (VLAN1) di raggiungere le
suddette macchine da gestire (VLAN2).
Il guaio è che le macchine da gestire, se vogliono, possono fare un ping
vero le macchine dell'amministrazione... Come si puo' fare per consentire
l'invio di pacchetti ICMP solo da un lato, permettendo l'invio di detti
pacchetti dall'altro lato solo una volta che è stata aperta la connessione
dal lato legittimo?
Mi spiego meglio.
A e' un host della VLAN1 e vuole pingare B, host della VLAN2.
Io desidero che B possa mandare solo dei pacchetti ICMP di replica e che NON
gli sia consentito di pingare A. B si limitera' a rispondere al ping, senza
pero' poter pingare A "per primo".
Sono ragionevolmente certa che una cosa del genere esista... Ricordo di aver
letto qualcosa a tal proposito. Ma come si implementa?
Grazie per l'attenzione,
Sarah

ciao federica,
quello che devi implementare e' una cosa abbastanza difficile
ma spremendomi le meningi ho scoperto che si potrebbe risolvere
in due modi:
1: leggersi un tutorial sul firewall cisco (
www.cisco.com
 
www.networkingitalia.it
 ....)
2: inserire queste acl sul router senza saper ne leggere ne scrivere
ip access-l ext vlan1 permit icmp <ip A> <ip B> echo
ip access-l ext vlan2 permit icmp <ip B> <ip A> echo-reply
int vlan1
ip access-gr vlan1 in
int vlan2
ip access-gr vlan2 in
wr
saluti


 wrote in message
news:ss8%b.22089$gk.9...@news3.tin.it...


 ip access-gr vlan2 in
uhm... Non vanno bene, per un semplice motivo: devo anche fare il telnet.
Se sego tutto e permetto solo i pacchetti ICMP, il telnet non funzia.
Indi mi sa che l'unica cosa da fare è applicare delle reflexive ACL...
Devo studiarci un po', ma credo sia la soluzione... Voi che ne dite?
Grazie,
Sarah

 interessa tra la VLAN1 e la VLAN2.
Grazie, ma non va bene...
Il perche' e' nell'altra reply che ho dato.
Grazie cmq!
Sarah

 
se oltre al ping da A verso B devi fare anche telnet allora le ACL 
dovranno essere:
ip access-l ext vlan1
	permit ip <ip A> any
 
ip access-l ext vlan2
	permit icmp <ip B> <ip A> echo-reply
	permit tcp <ip B> eq telnet <ip A>
	deny ip <ip B> <ip A>
	permit ip <ip B> any


 wrote in message
news:sM10c.34913$gk.14...@news3.tin.it...


 Established= accetta pacchetti TCP con flag ACK e RST
Yes, vero... Infatti il problema del telnet mi è nato a posteriori...
Quando,
dopo aver applicato l'ACL, mi sono resa conto che non potevo farlo :)
Cmq, il discorso di utilizzare una ACL estesa con l' "estabilished" non
mi convince piu' di tanto... Resta una soluzione piuttosto approssimativa
e facilmente spoofabile... Senza contare che funziona solo con il TCP.
Indi, come ho già detto altrove, provero' con le reflexive...
Alla fine della fiera adesso devo non solo permettere il ping dal lato
legittimo, ma anche il telnet... Consentendo cmq l'invio, dall'altro lato,
solo
a sessione aperta. Provero', sperando di non bloccare tutto :)
Grazie,
Sarah

 Indi, come ho già detto altrove, provero' con le reflexive...
premesse alcune mie perplessita' che non espongo per non fare nascere
flame, a questo punto io ci metterei delle cbac usando un ios firewall.
ti semplifica il lavoro moltissimo e ha un grado di sicurezza che non
raggiungi con null'altro a livello acl.
un mayhem con la barba lunga
-- 
 Ciò che si fa per amore è sempre al di là del bene e del male. Nietzsche
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613

 raggiungi con null'altro a livello acl.
possibile... ma dovrei mettere, appunto, un altro ios...
indi intanto provo a far qualcosa con quello che gia' ho.
Grazie lo stesso,
Sarah