Newsgroup: it.comp.reti.cisco
Titolo: Esclusione di un MACAddr e VLAN dinamiche

Salve a tutti,
sto cercando di "bannare" un determinato mac address dall'intera rete 
(10 switch Cisco 2950 e 2 switch Cisco 3750 in stack come centro stella) 
e per farlo avevo pensato di appoggiarmi alle Dynamic VLAN ma da quello 
che ho capito leggendo la doc sono abbastanza "complesse" e ogni porta 
configurata come dynamic non e' particolarmente flessibile (non posso 
usarla con altre private vlan che ho gia' piu' altri innumerevoli 
svantaggi).
Avete qualche conosiglio su come posso aggirare il problema o quali 
altre soluzioni ci sono che non mi obblighino ad impostare a mano su 
ogni apparato delle acl specifiche ?
Grazie in anticipo
Rizio

 wrote in message 
news:J%Hgj.212425$%k.34...@twister2.libero.it...


 Cat3750Switch(config-if)# mac access-group filtermac in
Perfetto, grazie mille, stavo guardando nel posto giusto :) :)
Ora sto facendo delle prove perche' devo applicare l'acl su una vlan 
percio' sto guardando il vlan access-map associato ad una mac acl. Tu 
cosa ne dici ? E' possibile ?
Intanto grazie mille
Rizio

> sotto cě č un esempio


 Altrimenti vlan access-map
Delusione :(
Grazie
Rizio

 wrote in message 
news:6h%gj.219565$U01.1...@twister1.libero.it...


 
http://ciscosystems.com/en/US/docs/switches/lan/catalyst3750/software/release/12.2_25_see/configuration/guide/swacl.pdf
Ok tnk's,
ora vedo poi ti tengo aggiornato sugli sviluppi :)
Grazie
Rizio

 % This is an invalid access-list to be configured for ip access-group
L'ideale sarebbe poterle applicare ad un port-channel (il canale di 
comunicazione tra i 2950 ed il 3750 in fibra) pero' ho letto che 
l'interfaccia deve necessariamente avere un IP per poterci applicare un 
access-group.
Sto leggendo la parte del PDF che mi hai consigliato ma non ho trovato 
altri spunti oltre ai vlan filter. Altri suggerimenti ?
Rizio

 wrote in message 
news:1l6hj.213469$%k.34...@twister2.libero.it...


 Prova e poi dimmi.
Grande ! Cosi' e' "quasi" perfetto !!! Devo applicare l'access group 
alle singole interfacce del 3750 ma almeno taglio fuori automaticamente 
il mac-address da tutti i 2950 periferici.
Adesso voglio provare ad applicarlo alla vlan principale e vedere cosa 
succede perche' se funziona siamo davvero a cavallo !
Grazie mille ancora dell'aiuto, sei stato gentilissimo
Rizio

 succede perche' se funziona siamo davvero a cavallo !
:(
Purtroppo funziona solo sull'interfaccia fisica :( (io mi sono letto la 
parte delle acl ma ti diro' che del casino nelle spiegazioni ne sanno 
fare veh quelli della Cisco !!! :/ )
Meglio di nulla comunque. Grazie ancora dell'aiuto
Rizio

Rizio wrote:

Forse non ho capito il tuo problema, ma hai provato con una access-map, che
si applica solo alla VLAN e non alle interfacce fisiche?

 si applica solo alla VLAN e non alle interfacce fisiche?
Ciao,
direi di si, credo di aver provato :)
Ho provato con l'access-map applicandola con l'istruzione filter alla 
vlan desiderata ma cosi' ottengo "solo" l'effetto di disabilitare il 
routing tra le differenti vlan. Intendevi questo ?
Rizio

Rizio wrote:

Mah, a me pareva (ma vado a memoria e purtroppo non posso provare da qui)
che la access-map potesse anche filtrare il traffico intra VLAN...filtrando
sia per mac address che per IP. Una cosa tipo (sempre a memoria, potrebbero
esserci errori):
mac access-list extended BADMAC
  permit host 1122.3344.5566 any 
vlan access-map BLOCKBAD 10
  match mac address BADMAC
  action drop
vlan access-map BLOCKBAD 20
  action forward
vlan filter BLOCKBAD vlan-list X
dove X e' la VLAN (o il range di VLAN) a cui vuoi applicare la regola, e,
ovviamente, 1122.3344.5566 e' il mac address che vuoi bloccare.
Ovviamente, tieni conto che per un utente anche medio, modificare il mac
address non e' poi cosi' difficile...

 address non e' poi cosi' difficile...
Questo e' vero ma non ho altre idee su come poter tenere lontano un PC 
che non voglio dalla mia rete, e' benvenuto ogni consiglio e/o 
suggerimento :)
Rizio

 P.S. Tieni presente che ho server e client sulla stessa vlan
Non sono sicurissimo che l'ACL scritta come l'hai scritta tu, con il deny
del mac address e il permit di tutto il resto faccia proprio quello che
apparentemente dovrebbe fare, soprattutto se usata come condizione di match
della VACL. Mi pare di ricordare che le VACL abbiano un comportamento un
po' "strano" riguardo ai pacchetti che non matchano. Io preferisco in
genere, per non avere dubbi, fare nel modo che ho descritto prima, pero'
potrei anche sbagliarmi e in realta' le due versioni sono equivalenti.

 potrei anche sbagliarmi e in realta' le due versioni sono equivalenti.
In effetti hai ragione, anche dalle prove che ho fatto io sono risultate 
un po' "brigose" le vlan acl, tant'e' che all'inizio l'avevo scritta in 
un altro modo (che ora non ricordo) e l'unica macchina che poteva girare 
in rete era quella che in relata' volevo escludere :P
Magari piu' tardi faccio qualche altra prova per curiosita' poi ti so dire.
Intanto grazie anche a te
Rizio