URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 10440
[ Назад ]

Исходное сообщение
"ACL Cisco"
Отправлено ayvengo , 29-Апр-06 16:25

Добрый день всем!
Возникла необходимость запретить одной подсети (172.16.3.0/24) устанавлить TCP/IP соединения с другой сетью (192.168.0.0/16) однако сеть 192.168.0.0/16 может быть инициатором соединения с сетью 172.16.3.0/24. По пытался сделать правила вот что у меня получилось
!
interface Ethernet1/0
ip address 172.16.3.1 255.255.255.0
ip access-group 113 in
ip nat inside
full-duplex
no cdp enable
!
access-list 113 deny tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 syn
access-list 113 permit ip 172.16.3.0 0.0.0.255 any

после чего например делаю из сети 192.168.0.0/16 telnet 172.16.3.3 25 и все умирет по таймауту. Подскажите что я не так делаю?

Содержание

ACL Cisco,Олег, 12:18 , 01-Май-06
- ACL Cisco,Олег, 12:22 , 01-Май-06
  - ACL Cisco,ayvengo, 13:28 , 01-Май-06
    - ACL Cisco,sh_, 15:04 , 01-Май-06
      - ACL Cisco,ayvengo, 16:04 , 01-Май-06
        
        ACL Cisco,vorch, 15:16 , 03-Май-06
        
        ACL Cisco,sh_, 15:56 , 03-Май-06
        
        ACL Cisco,vorch, 10:24 , 04-Май-06

Сообщения в этом обсуждении

"ACL Cisco"
Отправлено Олег , 01-Май-06 12:18

>все умирет по таймауту. Подскажите что я не так делаю?
Попробуй добавить: access-list 113 permit tcp any any established

"ACL Cisco"
Отправлено Олег , 01-Май-06 12:22

>
>>все умирет по таймауту. Подскажите что я не так делаю?
>
>Попробуй добавить: access-list 113 permit tcp any any established
И access-list 113 permit ip any any.

"ACL Cisco"
Отправлено ayvengo , 01-Май-06 13:28

>>
>>>все умирет по таймауту. Подскажите что я не так делаю?
>>
>>Попробуй добавить: access-list 113 permit tcp any any established
>
>И access-list 113 permit ip any any.
!
interface Ethernet1/0
ip address 172.16.3.1 255.255.255.0
ip access-group 113 in
ip nat inside
full-duplex
no cdp enable
!
access-list 113 deny tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 syn
access-list 113 permit tcp any any established
access-list 113 permit ip any any
Тот же результат, telnet 172.16.3.3 25 и по таймаууту все отваливается. :-\

"ACL Cisco"
Отправлено sh_ , 01-Май-06 15:04

no access-list 113
access-list 113 permit tcp any any established
access-list 113 permit tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 syn ack
access-list 113 deny tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 syn
access-list 113 permit ip any any

"ACL Cisco"
Отправлено ayvengo , 01-Май-06 16:04

Спасибо большое заработало, только не совсем так как вы прислали. В вашем варианте сеть 172.16.3.0 могла устанавливать соединение с 192.168.0.0 нужно было сделать вот так:
access-list 113 permit tcp any any established
access-list 113 deny tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 syn
access-list 113 permit tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 ack syn
access-list 113 permit ip any any
При таком варианте сеть 192.168.0.0/16 может устанавливать соединение с 172.16.3.0/24 но сеть 172.16.3.0 не может установить соединение с 192.168.0.0/16 что собственно и требовалось. Еще раз всем спасибо!
>no access-list 113
>access-list 113 permit tcp any any established
>access-list 113 permit tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 syn ack
>access-list 113 deny tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 syn
>access-list 113 permit ip any any

"ACL Cisco"
Отправлено vorch , 03-Май-06 15:16

>Спасибо большое заработало, только не совсем так как вы прислали. В вашем
>варианте сеть 172.16.3.0 могла устанавливать соединение с 192.168.0.0 нужно было сделать
>вот так:
>access-list 113 permit tcp any any established
>access-list 113 deny tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 syn
>access-list 113 permit tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 ack syn
>access-list 113 permit ip any any
>При таком варианте сеть 192.168.0.0/16 может устанавливать соединение с 172.16.3.0/24 но сеть
>172.16.3.0 не может установить соединение с 192.168.0.0/16 что собственно и требовалось.
>Еще раз всем спасибо!
Попутно есть такой вопрос к специалистам: что подразумевает под собой established. Я всегда предполагал, что подразумевает то, что отбрасываться будут только пакеты с установленным SYN флагом, остальные пропускаться. Тогда вместо трех строчек должно было бы хватить одной:
access-list 113 permit tcp 172.16.3.0 0.0.0.255 192.168.0.0 0.0.255.255 established
При случае постараюсь проверить на практике, но может кто ответит на вопрос?

"ACL Cisco"
Отправлено sh_ , 03-Май-06 15:56

Чтобы tcp соединение было established, должно пройти 3 tcp пакета. В каждом из их заголовков будет установлен флажок syn.

"ACL Cisco"
Отправлено vorch , 04-Май-06 10:24

>Чтобы tcp соединение было established, должно пройти 3 tcp пакета. В каждом
>из их заголовков будет установлен флажок syn.
Все ясно. Спасибо