Newsgroup: it.comp.reti.cisco
Titolo: Per mayem: subnet acl anti-spoof invertite?

Salve mayem (non ho mai capito che significhi quel nome)
ho preso dal sito delle faq le acl anti-spoof:
access-list 100 deny   ip 127.0.0.0 0.255.255.255 any
access-list 100 deny   ip 10.0.0.0 0.255.255.255 any
access-list 100 deny   ip 0.0.0.0 0.255.255.255 any
access-list 100 deny   ip 172.16.0.0 0.15.255.255 any
access-list 100 deny   ip 192.0.2.0 0.0.0.255 any
access-list 100 deny   ip 192.168.0.0 0.0.255.255 any
access-list 100 deny   ip 224.0.0.0 15.255.255.255 any
access-list 100 deny   ip host 255.255.255.255 any
io mi domando:
le subnet non sono invertite?
o meglio:
se voglio evitare dall'eseterno che arrivi un burlone con ip privato
non dovrei fare
access-list 100 deny ip 10.0.0.0 255.0.0.0 any ?
come mai tu le hai messe al contrario?
è una cosa di cui non mi capacito...
nel mio cisco ho messo queste:
access-list 100 deny   ip any any fragments
access-list 100 permit icmp any any echo-reply
access-list 100 permit icmp any host 62.110.131.41 echo
access-list 100 deny   icmp any any
access-list 100 deny   ip 127.0.0.0 0.255.255.255 any
access-list 100 deny   ip 10.0.0.0 0.255.255.255 any
access-list 100 deny   ip 0.0.0.0 0.255.255.255 any
access-list 100 deny   ip 172.16.0.0 0.15.255.255 any
access-list 100 deny   ip 192.0.2.0 0.0.0.255 any
access-list 100 deny   ip 192.168.0.0 0.0.255.255 any
access-list 100 deny   ip 224.0.0.0 15.255.255.255 any
access-list 100 deny   ip host 255.255.255.255 any
sto per mettere una che blocchi dall'esterno 192.168.xxx.xxx
e volevo mettere:
access-list 100 deny ip 192.168.0.0 255.255.0.0 any
ma vedendo le tue ACL mi so fermato...
come devo fare?
grazie

 ha scritto nel messaggio
news:bgbf83$8k7$1...@grillo.cs.interbusiness.it...

?????????
studia o informati prima di postare...


Io infatti ho postato perchè ho guardato in giro e non ho trovato risposta.
solo esempi con tali subnet come se fosse cosa ovvia... io volevo capire
DOVE fosse spiegato che quella modalità era ovvia.
tu ti sei dimostrato solo scortese non educato e disponibile come altri qui
nel ng che si sono offerti di aiutare gente nuova coi cisco come me.
grazie cmq.

 le subnet non sono invertite?
purtroppo i tuoi post sono sempre troppi, troppo lunghi e troppo confusi
perche' io risca a leggerli e risponderti.
ma ora capisco perche' le access-list non ti funzionano (e perche' lo hai
chiesto cosi' tante volte).
se  tu avessi guardato un qualsiasi doc sul sito cisco ti saresti accorto
che sono invertite, esattamente come nelle faq.
questo perche' le access-list dei router vogliono delle wildcard mask, non
delle subnet mask.
bastava leggere un documento a caso sul come si usano le acl per saperlo.
di questo mi infastidisce che chiedi continuamente e petulantemente aiuto,
piangendo perche' ti abbandonano, arrabbiandoti perche' non ti rispondono
quando basterebbe perdere 5 minuti con google o su 
cisco.com
mi spiace fare il "duro" della situazione, ma questo non e' un help desk,
chi ti aiuta lo fa nel tempo libero perche' ne ha voglia ed e' motivato a
farlo. tu devi dargli un motivo per farlo.
un mayhem che questo mese sbaglia tutte le fatture ....
-- 
 Diplomazia: dire bravo cagnetto fino a che non trovi il bastone. 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Key on 
pgp.mit.edu
 ID C7393613

 farlo. tu devi dargli un motivo per farlo.
Non sai quanto mi scoccia rompere le palle... ma vedi... io mi sono sempre
occupato di server, e sistemi operativi server, mi hanno sbattuto deitro a
dei cisco che non ho nemmeno mai visto tranne in foto o negli armadi dei
datacenter, solo perchè i tecnici cisco che abbiamo non sono qui ma sono in
giro x l'italia.
la roba richiesta è sempre per ieri e io sono da solo a farlo
mi sono sbattuto a guardare docuemntazione ma non avendo mai visto i cisco e
non sapendo come ragionano se non la risolvevo al volo venivo linciato...
Ad ogni modo in poche settimane di rotture di palle ho acquisito un bagaglio
di conoscenze notevole per uno che non ha mai visto i cisco nè mai operato
con loro.
Ora so mettere up le config delle multigroup :P
le access list funzionano, avevo solo toppato interfaccia.. lo assegnavo
alla eth0 invece che alla atm0.35 (che ne so :P)
mi scoccia rompere e me ne dispiace
ma putroppo anche io sno in una situazione un po' merdacea...
scusatemi ma vi ringrazio :)
A presto
Elia Spadoni
(RA)
PS: il topic è in romagnolo

 non sapendo come ragionano se non la risolvevo al volo venivo linciato...
a questo punto la cosa funziona cosi':
- la tua azienda ti chiede di fare cose che non sai fare
- le chiede fuori tempo
- non ti munisce di strumenti per lavorare (es. uno smartnet da poche
centinaia di euri ed apri tutti i tac case che vuoi oltre a poter fare il
download degli ios)
poiche' nessuno qui e' stipendiato dalla tua azienda per risolvere i
casini, creo che tu dovresti fare la "voce grossa". con garbo e gentilezza
come sempre.
es.
capo: mayo quanto ci vuole per mettere su quel server che <cosa che non ho
mai fatto e non ho idea del come si faccia> da quel cliente?
mayo: se non ci sono problemi particolari 2 mesi occupandomene un paio di
giorni alla settimana.
capo: eh cazzo, come due mesi? per installare un banale <quello di prima>?
mayo: certo perche' non lo ho mai fatto, non so come si fa, probabilmente
dovro' farlo almeno 3 volte per ottenere i risultati richiesti. 
etc etc
oppure:
capo: mayo domani vai da quel cliente a <altra cosa di cui ignoro tutto>
mayo: lo sai capo che la tal cosa non funzionera', il cliente si
incazzera', creeremo dei disservizi e non ci pagheranno il lavoro fatto?
etc etc.
poi le cose si fanno cmq, ma si sa cosa si sta facendo. quando ho fatto la
mia prima vpn con ipsec in parte funzionava ma c'erano diverse rogne.
dopo diverse telefonate del cliente interventi ed incazzature (del cliente
con il mio capo) sono andato a fare un corso su ipsec ed al mio ritorno
tutto funzionava.
se loro ti chiedono una cosa che non sai fare per ieri loro sbagliano,
loro hanno torto e tu hai il diritto, sempre con garbo e ragionevolezza,
di protestare e richiedere di essere messo nelle condizioni di farlo.
se tu oltre a quello che sai fossi anche un tecnico cisco esperto, avresti
anche una qualifica ed uno stipendio diverso, credo.
un mayhem che non chiedono alle centraliniste di stilare i bilanci


mio caro mayem tu hai ragione
proverò a chiedere umilmente :P qualche csoa in piu
lo smartnet come pacchetto di assistenza non costa poi tanto ma sai...
dicono sempre:  è un operazione temporanea non dovrai farlo sempre tu... e
io sono sempre punto a capo.
quelle volte che mi tocca farlo sono nella cacca...
l'ultimo 827 mi fanno: resettalo
io ho resettato mi sono sbagliato ho fottuto la flash e non ho lo ios.
e che mi han detto? trova uno con un altro 827 e fattelo mandare...
o qualche buon anima mi aiuta o io sono a piedi... cioè sono un po
incasinato attualmente nelle mie cose
ora sono dietro al mio 837 pezzo per pezzo e funziona egregiamente...
non so eprchè da quando ho messo le ACL il ping è salito da 60ms a 100...
non so che protocollo abbiamo scasinato.. ma quella  è  un altra storia...
spero di rompere meno le palle in futuro dopo aver chiesto genteilmente
migliori strumenti al mio capo.
a presto
Elia

 e che mi han detto? trova uno con un altro 827 e fattelo mandare...
sara' ma se dessero a me una risposta del genere ...
un mayhem ed i file tmp di oltre 10 GB
