Newsgroup: it.comp.reti.cisco
Titolo: c3550 e ACL su VLAN

Buondě!
 
Ho un c3550 con 3 vlan dentro
 
quindi:
 
VLAN1 default 
172.16.0.100/23
 
VLAN2: 
172.16.2.254/24
 
VLAN4: 
172.16.4.254/24
 
 
Dunque:
 
a me interesserebbe mettere una ACL in modo che tutto il traffico entrante 
da una VLAN (esempio dalla Vlan 4 alla VLAN1) passasse per una ACL in modo 
da "filtrare" un po' di cosette!
 
Esempio della ACL:
 
access-list 181 deny   udp 172.16.0.0 0.0.255.255 any eq tftp
access-list 181 deny   tcp 172.16.0.0 0.0.255.255 any eq 135
access-list 181 deny   udp 172.16.0.0 0.0.255.255 any eq 135
access-list 181 deny   tcp 172.16.0.0 0.0.255.255 any range 137 139
access-list 181 deny   udp 172.16.0.0 0.0.255.255 any range netbios-ns 
netbios-ss
access-list 181 deny   tcp 172.16.0.0 0.0.255.255 any eq 445
access-list 181 deny   udp 172.16.0.0 0.0.255.255 any eq 445
access-list 181 deny   tcp 172.16.0.0 0.0.255.255 any eq 593
access-list 181 deny   udp 172.16.0.0 0.0.255.255 any eq 593
access-list 181 deny   tcp 172.16.0.0 0.0.255.255 any eq 4444
access-list 181 permit ip 172.16.0.0 0.0.255.255 any
access-list 181 permit ip 10.0.0.0 0.0.0.15 any
access-list 181 deny   ip any any log
 
 
Quindi levare un po' di traffico inutile qui nello switch piů che mettere 
una ACL direttamente sul router a monte.
 
PROBLEMA:
se applico la ACL in ingresso sulla VLAN 4 et 2, non matcha nulla.
 
Leggevo in rete che ci vuole un altro tipo di ACL sugli switch ma 
onestamente non ho trovato un esempio che facesse al caso mio.
 
In pratica io dalla VLAN1 entro nelle altre senza limitazioni, ma dalle vlan 
(2,4) entro sě sulla 1, ma blocco determinato traffico indicato dalla ACL 
181
 
qualcuno ha un link con qualche esempio, cosě posso studiarmelo?
 
Grazie a chi avrŕ la pazienza di darmi ascolto :P
 
 

 non ho trovato un esempio che facesse al caso mio.
 
Hai provato con un'acl named?
Perchè a me è capitata la stessa cosa su un'acl che dovevo usare in una 
route-map; non matchava in nessun modo. L'ho definita uguale ma di tipo diverso 
ed ha funzionato e parliamo di macchine classe 3750.
 
Ciao
Rizio
 
--- Posted via news://
freenews.netfront.net/
 - Complaints to 
ne...@netfront.net
 ---

negativo non pare funzionare
 
ip access-list extended FILTRO_DA_TORRI
deny   udp 172.16.0.0 0.0.255.255 any eq tftp
deny   tcp 172.16.0.0 0.0.255.255 any eq 135
deny   udp 172.16.0.0 0.0.255.255 any eq 135
deny   tcp 172.16.0.0 0.0.255.255 any range 137 139
deny   udp 172.16.0.0 0.0.255.255 any range netbios-ns netbios-ss
deny   tcp 172.16.0.0 0.0.255.255 any eq 445
deny   udp 172.16.0.0 0.0.255.255 any eq 445
deny   tcp 172.16.0.0 0.0.255.255 any eq 593
deny   udp 172.16.0.0 0.0.255.255 any eq 593
deny   tcp 172.16.0.0 0.0.255.255 any eq 4444
permit ip 172.16.0.0 0.0.255.255 any
deny   ip any any log
!
interface Vlan2
description Torre 2 - Distribuzione diretta Capannone
ip address 172.16.2.254 255.255.255.0
no ip redirects
no ip proxy-arp
ip access-group FILTRO_DA_TORRI in
ip policy route-map PBR
!
 
non matcha nulla
 
 
 
 
"Rizio"  ha scritto nel messaggio news:j5phmk$u5n$1...@adenine.netfront.net...


 non matcha nulla
 
Non sò cosa dire, io il problema allora l'ho risolto (dopo giorni di bestemmie) così



prova a togliere la route map e vedi se va. altrimenti prova a postare 
tutta la config, senza parti riservate

test rapido serale:
 
ip access-group 180 permit ip any any log
 
ecco che matcha
 
000381: Sep 26 23:26:57.833 CET: %SEC-6-IPACCESSLOGP: list 180 permitted tcp 
172.16.2.6(0) -> 216.137.61.99(0), 1 packet
000382: Sep 26 23:26:58.921 CET: %SEC-6-IPACCESSLOGP: list 180 permitted tcp 
172.16.2.13(0) -> 87.9.161.210(0), 1 packet
000383: Sep 26 23:26:59.961 CET: %SEC-6-IPACCESSLOGP: list 180 permitted tcp 
172.16.2.13(0) -> 79.9.183.151(0), 1 packet
000384: Sep 26 23:27:00.997 CET: %SEC-6-IPACCESSLOGP: list 180 permitted udp 
172.16.2.5(0) -> 95.236.33.61(0), 1 packet
000385: Sep 26 23:27:02.021 CET: %SEC-6-IPACCESSLOGP: list 180 permitted tcp 
172.16.2.13(0) -> 95.252.145.159(0), 1 packet
000386: Sep 26 23:27:03.045 CET: %SEC-6-IPACCESSLOGP: list 180 permitted tcp 
172.16.2.13(0) -> 87.9.161.210(0), 1 packet
000387: Sep 26 23:27:04.149 CET: %SEC-6-IPACCESSLOGP: list 180 permitted udp 
172.16.2.5(0) -> 87.7.54.198(0), 1 packet
000388: Sep 26 23:27:05.157 CET: %SEC-6-IPACCESSLOGP: list 180 permitted udp 
172.16.2.5(0) -> 151.45.99.169(0), 1 packet
000389: Sep 26 23:27:06.217 CET: %SEC-6-IPACCESSLOGP: list 180 permitted tcp 
172.16.2.13(0) -> 79.3.140.169(0), 1 packet
 
domani posto la conf completa
 

Come promesso, incollo qui la conf.
In pratica vorrei una ACL in ingresso sulla VLAN2,4,6 che filtra determinato 
traffico e lo droppa e fa passare il resto.
la ACL l'ho indicata nel post precedente.
 
 
 
version 12.2
service nagle
no service pad
service tcp-keepalives-in
service tcp-keepalives-out
service timestamps debug datetime msec localtime show-timezone
service timestamps log datetime msec localtime show-timezone
service password-encryption
service internal
service sequence-numbers
!
hostname c3550-zxcne
!
logging buffered informational
no logging console
no logging monitor
!
username zzzzzzzzzz privilege 15 password 7 xxxxxxxxx
no aaa new-model
clock timezone CET 2
ip subnet-zero
no ip source-route
ip routing
no ip gratuitous-arps
ip domain round-robin
ip domain-name zzzzzzzzzzzzz
ip name-server 212.97.32.2
ip name-server 94.141.24.92
!
!
login on-failure log
!
!
!
!
 
!
!
spanning-tree mode pvst
spanning-tree etherchannel guard misconfig
spanning-tree extend system-id
!
vlan internal allocation policy ascending
!
ip tcp selective-ack
ip tcp timestamp
ip tcp window-size 2144
ip tcp synwait-time 10
ip ssh time-out 90
ip ssh version 2
!
!
!
!
!
interface Null0
no ip unreachables
!
interface FastEthernet0/1
 
switchport access vlan 2
switchport mode access
!
interface FastEthernet0/2
 
switchport access vlan 2
switchport mode access
!
interface FastEthernet0/3
 
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 1,3
switchport mode trunk
!
interface FastEthernet0/4
 
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 1,4
switchport mode trunk
!
interface FastEthernet0/5
switchport mode access
!
interface FastEthernet0/6
 
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 1,6
switchport mode trunk
!
interface FastEthernet0/7
switchport mode access
!
interface FastEthernet0/8
switchport mode access
!
interface FastEthernet0/9
switchport mode access
!
interface FastEthernet0/10
switchport mode access
!
interface FastEthernet0/11
description c2610 - DNS1 - 10MbFD
switchport mode access
duplex full
!
interface FastEthernet0/12
switchport mode access
!
interface FastEthernet0/13
switchport mode access
!
interface FastEthernet0/14
switchport mode access
!
interface FastEthernet0/15
switchport mode access
!
interface FastEthernet0/16
switchport mode access
!
interface FastEthernet0/17
switchport mode access
!
interface FastEthernet0/18
switchport mode access
!
interface FastEthernet0/19
switchport mode access
!
interface FastEthernet0/20
switchport mode access
!
interface FastEthernet0/21
switchport mode access
!
interface FastEthernet0/22
switchport mode access
!
interface FastEthernet0/23
switchport mode access
!
interface FastEthernet0/24
switchport mode access
!
interface GigabitEthernet0/1
switchport mode access
!
interface GigabitEthernet0/2
switchport mode access
!
interface Vlan1
description VLAN 1 - Default Network
ip address 172.16.0.100 255.255.254.0
no ip redirects
no ip proxy-arp
ip ospf message-digest-key 1 md5 7 xxxxxxxxxxxxxxxxxxx
!
interface Vlan2
 
ip address 172.16.2.254 255.255.255.0
no ip redirects
no ip proxy-arp
ip policy route-map PBR
!
interface Vlan4
 
ip address 172.16.4.254 255.255.255.0
no ip redirects
no ip proxy-arp
ip policy route-map PBR
!
interface Vlan6
 
ip address 172.16.6.254 255.255.255.0
no ip redirects
no ip proxy-arp
ip policy route-map PBR
!
router ospf 1
log-adjacency-changes
area 0 authentication message-digest
area 2 stub
area 4 stub
area 6 stub
network 172.16.0.0 0.0.1.255 area 0
network 172.16.2.0 0.0.0.255 area 2
network 172.16.4.0 0.0.0.255 area 4
network 172.16.6.0 0.0.0.255 area 6
!
ip classless
no ip forward-protocol udp domain
ip route 0.0.0.0 0.0.0.0 172.16.0.1
ip http server
ip http authentication local
ip http secure-server
!
!
ip access-list extended CPEs-TO-R1
permit ip host 172.16.2.1 any
permit ip any host 172.16.2.1
permit ip host 172.16.2.2 any
permit ip any host 172.16.2.2
permit ip host 172.16.2.3 any
permit ip any host 172.16.2.3
permit ip host 172.16.2.4 any
permit ip any host 172.16.2.4
permit ip host 172.16.2.5 any
permit ip any host 172.16.2.5
permit ip host 172.16.2.7 any
permit ip any host 172.16.2.6
permit ip host 172.16.2.6 any
permit ip any host 172.16.2.7
permit ip host 172.16.2.8 any
permit ip any host 172.16.2.8
permit ip host 172.16.2.9 any
permit ip any host 172.16.2.9
permit ip host 172.16.2.10 any
permit ip any host 172.16.2.10
permit ip host 172.16.2.11 any
permit ip any host 172.16.2.11
permit ip host 172.16.2.12 any
permit ip any host 172.16.2.12
permit ip host 172.16.2.13 any
permit ip any host 172.16.2.13
permit ip host 172.16.2.14 any
permit ip any host 172.16.2.14
permit ip host 172.16.2.15 any
permit ip any host 172.16.2.15
permit ip host 172.16.2.17 any
permit ip any host 172.16.2.17
permit ip host 172.16.6.1 any
permit ip any host 172.16.6.1
permit ip host 172.16.6.2 any
permit ip any host 172.16.6.2
permit ip host 172.16.6.3 any
permit ip any host 172.16.6.3
permit ip host 172.16.6.4 any
permit ip any host 172.16.6.4
permit ip host 172.16.6.5 any
permit ip any host 172.16.6.5
permit ip host 172.16.2.16 any
permit ip any host 172.16.2.16
permit ip host 172.16.6.6 any
permit ip any host 172.16.6.6
permit ip host 172.16.6.7 any
permit ip any host 172.16.6.7
permit ip host 172.16.6.200 any
permit ip any host 172.16.6.200
permit ip any host 172.16.4.1
permit ip host 172.16.4.1 any
ip access-list extended CPEs-TO-R3
permit ip host 172.16.4.200 any
permit ip any host 172.16.4.200
!
access-list 99 permit 77.93.235.238
access-list 99 permit 172.16.0.0 0.0.1.255
route-map PBR permit 100
match ip address CPEs-TO-R1
set ip next-hop 172.16.0.1
!
route-map PBR permit 300
match ip address CPEs-TO-R3
set ip next-hop 172.16.0.243
!
snmp-server community public RO 99
snmp-server location HQ xxxxxx
snmp-server contact xxxxxxxxx
snmp ifmib ifindex persist
!
control-plane
!
!
line con 0
line vty 0 4
login local
transport input ssh
line vty 5 15
login
!
ntp server 192.43.244.18
end
 

Nessuno???
 
 

Nessuno?????????????????
 
Possibile che nessuno applichi delle ACL su un cisco 3550?
 
 

 Possibile che nessuno applichi delle ACL su un cisco 3550?
 
Non ricordo il problema, prova a ridire.


Buongiorno Rizio
 
Buondě!
 
Ho un c3550 con 3 vlan dentro
 
quindi:
 
VLAN1 default 
172.16.0.100/23
 
VLAN2: 
172.16.2.254/24
 
VLAN4: 
172.16.4.254/24
 
 
Dunque:
 
a me interesserebbe mettere una ACL in modo che tutto il traffico entrante
da una VLAN (esempio dalla Vlan 4 alla VLAN1) passasse per una ACL in modo
da "filtrare" un po' di cosette!
 
Esempio della ACL:
 
access-list 181 deny   udp 172.16.0.0 0.0.255.255 any eq tftp
access-list 181 deny   tcp 172.16.0.0 0.0.255.255 any eq 135
access-list 181 deny   udp 172.16.0.0 0.0.255.255 any eq 135
access-list 181 deny   tcp 172.16.0.0 0.0.255.255 any range 137 139
access-list 181 deny   udp 172.16.0.0 0.0.255.255 any range netbios-ns
netbios-ss
access-list 181 deny   tcp 172.16.0.0 0.0.255.255 any eq 445
access-list 181 deny   udp 172.16.0.0 0.0.255.255 any eq 445
access-list 181 deny   tcp 172.16.0.0 0.0.255.255 any eq 593
access-list 181 deny   udp 172.16.0.0 0.0.255.255 any eq 593
access-list 181 deny   tcp 172.16.0.0 0.0.255.255 any eq 4444
access-list 181 permit ip 172.16.0.0 0.0.255.255 any
access-list 181 permit ip 10.0.0.0 0.0.0.15 any
access-list 181 deny   ip any any log
 
 
Quindi levare un po' di traffico inutile qui nello switch piů che mettere
una ACL direttamente sul router a monte.
 
PROBLEMA:
se applico la ACL in ingresso sulla VLAN 4 et 2, non matcha nulla.
 
Leggevo in rete che ci vuole un altro tipo di ACL sugli switch ma
onestamente non ho trovato un esempio che facesse al caso mio.
 
In pratica io dalla VLAN1 entro nelle altre senza limitazioni, ma dalle vlan
(2,4) entro sě sulla 1, ma blocco determinato traffico indicato dalla ACL
181
 
qualcuno ha un link con qualche esempio, cosě posso studiarmelo?
 
Grazie a chi avrŕ la pazienza di darmi ascolto :P
 
 
Intanto incollo qua la conf completa.

"Rizio"  ha scritto nel messaggio news:jee821$8v8$1...@adenine.netfront.net...


 access-list 181 deny ip any any log
 
Mah, io non ci vedo nulla di strano nelle acl, l'unica cosa che ti posso 
riportare è che nel mio 3750 avevo notato che le access list di tipo standard 
non venivano considerate, non sò forse può essere la stessa cosa. Hai provato a 
dichiararle come ip acl?
In ultimo verificherei la situazione del pbr perchè non sò se possa avere delle 
implicazioni a livello di routing e, di conseguenza anche sulle acl (a 
prescindere dal fatto che tu le abbia inserite con il /24 - più conosco Cisco e 
più mi rendo conto che è la Microsoft del routing.... senza nulla togliere a 
Microsoft o Cisco ma in alcune cose proprio non ne hanno colpa :( )


Ciao Rizio, grazie per la tua risposta.
 
Dunque su altri router dove avevo già il PBR, applicavo senza problemi ACL 
in ingresso, questo è uno switch e forse ragiona in modo diverso.
 
ip acl ?
 
mi faresti un esempio?
 
 
 
"Rizio"  ha scritto nel messaggio news:jeh1fg$3g$1...@adenine.netfront.net...


 mi faresti un esempio?
 
Mi sono sbagliato a scrivere prima, scusami, ti ho portato fuori strada, 
intendevo una ACL NAMED e non IP (che non credo voglia significare nulla). Sorry 
ma erroneamente facevo riferimento alla sintassi e non al nome dato da Cisco. 
Per farla più breve sono quelle che usi anche tu nelle route-map.
Questa, per esempio, è un'acl named che ho messo da me per il pbr:
 
ip access-list extended ERP
  permit ip 10.30.3.0 0.0.0.255 172.16.0.0 0.0.255.255
 
e nel lab che avevo allestito per i test mi ricordo che le acl standard non 
funzionavano. Non mi dava errore, non lamentava alcun problema ma il routing non 
veniva modificato in alcun modo. Non vorrei fosse una cosa simile anche nel tuo 
caso perciò se puoi prova a farla named invece che una numerica.


Ciao a tutti ragazzi.
 
Mi sembra che Elia qualche post fa abbia già fatto il test con le acl 
named e non sembra funzionare....
 
A volte mi è capitato che l'acl funzionava ma i contatori non 
cambiavano, restavano sempre a zero.
 
Dato che quando hai messo la riga
access-list 180 permit ip any any log,
in console vedevi che l'acl matchava, perché non provi a inserire la 
stringa log alla fine di tutte le righe "deny" dell'acl 181?
 
Il traffico viene effettivamente bloccato?
 
oppure altro test....
access-list 179 deny   icmp 172.16.0.0 0.0.255.255 any log
access-list 179 permit ip any any log
 
int vlan 4
ip access-group 179 in
 
lanci una serie di ping: vedi qualcosa in console?
i ping sono bloccati?
 
o altro test ancora:
crei acl che dovrebbe matchare il traffico che ti interessa ad esempio
 
access-list 178 permit udp any any eq tftp
non applichi l'acl ad una interfaccia
poi vai in console e fai "debug ip 178" (occhio alla cpu!)
 
ciao!
 
 
 
 
 

debug ip packet 178
 
:-P

 poi vai in console e fai "debug ip 178" (occhio alla cpu!)
 
Questa mi piace!!! Me la segno, tnk's :)


Uffff
 
non sembro riuscire ad applicare una ACL ad una dannata interfaccia nel 3550
 
 
 
"Rizio"  ha scritto nel messaggio news:jehj2b$cm0$1...@adenine.netfront.net...


 access-list 181 deny udp 172.16.0.0 0.0.255.255 any range netbios-ns
 
qui invece ragioni in classe /16 ed a livello generale, sei sicuro che 
sia corretto e che invece non occorra un'acl specifica per vlan con il 
match esatto delle netmask?
 
Magari prova a vedere se questo fa al caso tuo:
http://www.alfredtong.com/cisco/cisco-vlan-acl-using-vlan-maps/
 
 
-- 
Bye
Gianfranco Bartolini
(gianfranco punto bartolini at tiscali punto it)

 match esatto delle netmask?
 
Scusa Elia se rispondo al posto tuo...
No Gianfranco, per funzionare le acl devono semplicemente matchare il 
traffico, senza la necessità del match esatto.
 
ad esempio se voglio che l'host 10.2.2.2 con l'host 10.1.1.1 posso anche 
scrivere cosi':
 
access-list 101 permit ip 10.0.0.0 0.0.0.255 10.0.0.0 0.0.0.255
 
cioè 
10.0.0.0/8
 parla con 
10.0.0.0/8
.
 
ciao
 
marco
 
 


 
Tieni duro ;-)
 
btw ho fatto un test a lavoro su uno switch multilayer.
 
come scrivevo in qualche post fa, il debug ip packet <acl> è un comando 
utile in questi casi. provaci.
ma ho dimenticato di scrivere che per usarlo su uno switch multilayer 
devi disablitare il CEF e il fast switching sulla interfaccia con
 
int vlan xxx
	no ip route-cache cef
 
 
altrimenti il traffico non passa per la cpu e il debug non mostra niente.
 
1) disabiliti il cef sull'interfaccia di ingresso del traffico
2) crei l'access-list Y con il traffico che ti interessa.
3) logging buffered debugging oppure stai in console
4) debug ip packet Y
 
 
 
 

Grazie a tutti per le risposte
purtroppo a tutt'ora non sono riuscito a farlo funzionare.
 
Le subnet sono le seguenti:
 
172.16.0.0/23
 (chiamiamola DMZ)
172.16.2.0/24
; 3.0/24 etc sono le VLAN delle varie "LAN"
 
In pratica un pacchetto dalle LAN (es. 2.0/24) viene ruotato sulla rete 
0.0/23 e esce nel gw 0.1/23 esempio)
 
mi interessa che dalle varie LAN non passino pacchetti destinati al mondo 
esterno (any) su determinate porte che decido, es. 137/139 etc.
In pratica voglio fare un filtro sullo switch piuttosto che sul gw .
 
"Marco Giuliani"  ha scritto nel messaggio 
news:jfes4r$u87$1...@dont-email.me...


 In pratica voglio fare un filtro sullo switch piuttosto che sul gw .
 
Ciao Elia,
 
o metti una acl in outbound nella int vlan 1 "dmz", quella verso il 
gateway, oppure metti una acl in ciascuna interface VLAN 2,4,6.
 
nei vecchi post scrivevi che le acl inbound sulle interfacce LAN non 
mostravano match.
 
Puoi provare a metterla sulla SVI 1 in direzione out
 
ip access-list extended vlan1-out
	deny udp any any eq 137
	deny udp any any eq tftp
	deny udp any any eq 139
	permit ip any any
 
int vlan 1
ip access-group vlan1-out out
 
 
oppure puoi fare una regola indicando solo il traffico consentito 
escludendo di conseguenza tutto il resto.
 
ip access-list extended vlan1-out
	permit ip any any eq 80
         permit ip any any eq 25
 
 
Comunque il "rumore" sulla rete prodotto da netbios č soprattutto di 
tipo broadcast e come tale viene bloccato di default dal router,
 
Ciao,
	Marco
 
 
 

Ciao
appena ho un attimo metto la ACL in uscita sulla VLAN1, però preferivo 
droppare i pacchetti PRIMA che venissero ruotati dallo switch.
 
 

Il 26/09/2011 10:14, Elia S. ha scritto:

Gli ip che hai messo sono della VLAN 1 (a parte quel 10.0.0.0 nn so che 
c'entri)
forse dovevi considerare questi net addresses 172.16.2.0 0.0.0.255 e 
172.16.4.0 0.0.0.255
 
 

Scusa nn sono molto ferrato con i cisco e ho lette le altre risposte 
solo dopo, non avendo sincronizzato il news-reader con il server.