Newsgroup: it.comp.reti.cisco
Titolo: Problema access-lists estese

Premetto che sono un novellino alle prime armi, mi trovo con un cisco soho
77 che ha la seguente configurazione:
Current configuration : 2042 bytes
!
version 12.1
service single-slot-reload-enable
no service pad
service timestamps debug uptime
service timestamps log datetime localtime
service password-encryption
!
hostname Appo
!
logging buffered 5000 debugging
no logging rate-limit
enable secret 5 XXXXXXXXXXXXXXXXXXXXXXXX
!
username matteo password 7 XXXXXXXXXXXXXXXX
ip subnet-zero
no ip finger
!
no ip dhcp-client network-discovery
!
!
!
interface Ethernet0
 ip address 10.0.1.138 255.255.255.0
 ip nat inside
!
interface ATM0
 no ip address
 no ip mroute-cache
 no atm ilmi-keepalive
 pvc 8/35
  encapsulation aal5mux ppp dialer
  dialer pool-member 1
 !
 dsl operating-mode auto
!
interface Dialer1
 ip address negotiated
  ip nat outside
 encapsulation ppp
 dialer pool 1
 ppp chap hostname 
user...@username.com
 ppp chap password 7 XXXXXXXXXXXXX
 ppp pap sent-username 
user...@username.com
 password 7 XXXXXXXXXXXXXXX
!
ip classless
ip route 0.0.0.0 0.0.0.0 Dialer1
no ip http server
!
ip nat inside source list 1 interface Dialer1 overload
ip nat inside source static tcp 10.0.1.8 8021 interface Dialer1 8021
ip nat inside source static tcp 10.0.1.1 25 interface Dialer1 25
ip nat inside source static tcp 10.0.1.1 110 interface Dialer1 110
ip nat inside source static tcp 10.0.1.1 47 interface Dialer1 47
ip nat inside source static tcp 10.0.1.1 1723 interface Dialer1 1723
ip nat inside source static tcp 10.0.1.1 80 interface Dialer1 80
access-list 1 permit 10.0.1.0 0.0.0.255
!
line con 0
 transport input none
 stopbits 1
line vty 0 4
 access-class 77 in
 login
!
no scheduler max-task-time
end
con questa configurazione tutti i pc all'interno della lan navigano ed in
piů grazie al'ip nat inside riesco a far visualizzare il sito web all'ext, a
far fare vpn e a ricevere posta.
Adesso vorrei filtrare la navigazione all'interno in modo da impedire ad
esempio i software di p2p quindi ho aggiunto queste access-list:
access-list 110 permit tcp any any eq domain
access-list 110 permit tcp any any eq www
access-list 110 permit udp any any eq domain
access-list 110 permit tcp any any eq 3000
access-list 110 permit tcp any any eq pop3
access-list 110 permit tcp any any eq smtp
access-list 110 permit tcp any any eq ftp-data
access-list 110 permit tcp any any eq ftp
access-list 110 permit tcp any any eq 443
access-list 110 permit gre any any
quindi vorrei far navigare (HTTP, HTTPS), ricevere ed inviare la posta (pop3
e smtp) e ricevere via ftp
quando vado ad aggiungere il comando "ip access-group 110 out" sulla dialer1
succede che effettivamente il traffico in uscita viene filtrato secondo le
access-list impostate ma tutto quello in ingresso viene bloccato, invece se
metto
il comando "ip access-group 110 in" tutto il traffico in uscita viene
bloccato mentre quello in ingresso funzione.
Mi spiegate per favore dove sbaglio??


Devi permettere il traffico di ritorno sulla tua acl, una cosa tipo questa:
access-list 110 permit tcp any eq 80 any
access-list 110 permit tcp any eq 25 any
ecc...
Oppure attivare le reflexive acl, che a dire il vero non so nemmeno se sono 
disponibili sul soho77.
Ciao,
        Tosh.