URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 12063
[ Назад ]
Исходное сообщение
"Фильтрация трафика и IPSec"
Отправлено silencer , 23-Ноя-06 16:46 
Есть такая схема:
Пара десятков устройств D-Link DI-804HV поднимают динамические IPSec-туннели на Cisco 1760.
D-Link'и настроены по описанию с сайта D-Link'a - http://www.dlink.ru/technical/faq_vpn_4.php

конфиг на циске такой:
!
crypto isakmp policy 1
encr 3des
hash md5
authentication pre-share
group 2
!
crypto keyring VPNSpokes
  pre-shared-key address 192.168.18.0 255.255.255.0 key xxxxxxxxxxx
!
crypto isakmp profile VPNLan2Lan
   description LAN-to-LAN for spoke router(s) connection
   keyring VPNSpokes
   match identity address 0.0.0.0
!
crypto ipsec transform-set SAMPLE_SET esp-3des

crypto dynamic-map dynmap 10
set transform-set SAMPLE_SET
set isakmp-profile VPNLan2Lan
!
crypto map VPNmap 10 ipsec-isakmp dynamic dynmap
!
interface FastEthernet0/0.1
description LAN
encapsulation dot1Q 1 native
ip address 10.0.0.17 255.255.255.0
ip virtual-reassembly
!
interface FastEthernet0/0.170
description From Operator
encapsulation dot1Q 170
ip address 192.168.18.2 255.255.255.0
ip access-group FromOperator in
ip access-group ToOperator out
crypto map VPNmap
!
ip access-list extended FromOperator
remark --= Access for crypto tunnels =--
permit esp 192.168.18.0 0.0.0.255 host 192.168.18.2
permit udp 192.168.18.0 0.0.0.255 host 192.168.18.2 eq isakmp
remark --= ICMP =--
permit icmp 192.168.18.0 0.0.0.255 host 192.168.18.2
deny   ip any any log
!
ip access-list extended ToOperator
remark --= Access for crypto tunnels =--
permit esp host 192.168.18.2 192.168.18.0 0.0.0.255
permit udp host 192.168.18.2 192.168.18.0 0.0.0.255 eq isakmp
remark --= ICMP =--
permit icmp host 192.168.18.2 192.168.18.0 0.0.0.255 echo
deny   ip any any log
!


Необходимо прикрутить аксесс-листы, которые будут фильтровать трафик, приходящий от D-Link'ов внутри туннеля. Например, пропускать ftp, почту, веб, запрещать netbios.

Вопрос в том, что я не знаю, куда прикрутить эти аксесс-листы. Можно ли каким-то образом забиндить IPSec-туннели на некий виртуальный интерфейс типа virtual-template, чтобы применить на нем аксесс-листы?

Содержание
Сообщения в этом обсуждении
"Фильтрация трафика и IPSec"
Отправлено Lacunacoil , 23-Ноя-06 22:01 
>Есть такая схема:
>Пара десятков устройств D-Link DI-804HV поднимают динамические IPSec-туннели на Cisco 1760.
>D-Link'и настроены по описанию с сайта D-Link'a - http://www.dlink.ru/technical/faq_vpn_4.php
>
>конфиг на циске такой:
>!
>crypto isakmp policy 1
>encr 3des
>hash md5
>authentication pre-share
>group 2
>!
>crypto keyring VPNSpokes
>  pre-shared-key address 192.168.18.0 255.255.255.0 key xxxxxxxxxxx
>!
>crypto isakmp profile VPNLan2Lan
>   description LAN-to-LAN for spoke router(s) connection
>   keyring VPNSpokes
>   match identity address 0.0.0.0
>!
>crypto ipsec transform-set SAMPLE_SET esp-3des
>
>crypto dynamic-map dynmap 10
> set transform-set SAMPLE_SET
> set isakmp-profile VPNLan2Lan
>!
>crypto map VPNmap 10 ipsec-isakmp dynamic dynmap
>!
>interface FastEthernet0/0.1
> description LAN
> encapsulation dot1Q 1 native
> ip address 10.0.0.17 255.255.255.0
> ip virtual-reassembly
>!
>interface FastEthernet0/0.170
> description From Operator
> encapsulation dot1Q 170
> ip address 192.168.18.2 255.255.255.0
> ip access-group FromOperator in
> ip access-group ToOperator out
> crypto map VPNmap
>!
>ip access-list extended FromOperator
> remark --= Access for crypto tunnels =--
> permit esp 192.168.18.0 0.0.0.255 host 192.168.18.2
> permit udp 192.168.18.0 0.0.0.255 host 192.168.18.2 eq isakmp
> remark --= ICMP =--
> permit icmp 192.168.18.0 0.0.0.255 host 192.168.18.2
> deny   ip any any log
>!
>ip access-list extended ToOperator
> remark --= Access for crypto tunnels =--
> permit esp host 192.168.18.2 192.168.18.0 0.0.0.255
> permit udp host 192.168.18.2 192.168.18.0 0.0.0.255 eq isakmp
> remark --= ICMP =--
> permit icmp host 192.168.18.2 192.168.18.0 0.0.0.255 echo
> deny   ip any any log
>!
>
>
>Необходимо прикрутить аксесс-листы, которые будут фильтровать трафик, приходящий от D-Link'ов внутри туннеля.
>Например, пропускать ftp, почту, веб, запрещать netbios.
>
>Вопрос в том, что я не знаю, куда прикрутить эти аксесс-листы. Можно
>ли каким-то образом забиндить IPSec-туннели на некий виртуальный интерфейс типа virtual-template,
>чтобы применить на нем аксесс-листы?

Ну во-первых можно с помощью АКЛ указать какой трафик надо пускать по тунелю.
Второе можно поднять статические тунели.
В Третьих можно повесить на интерфейсы которые смотрят к юзерам.

"Фильтрация трафика и IPSec"
Отправлено silencer , 24-Ноя-06 11:17 
>
>Ну во-первых можно с помощью АКЛ указать какой трафик надо пускать по
>тунелю.
В D-Link'е DI-804HV можно описать только IP-подсеть, весь трафик от которой пойдет в туннель. Те "аксесс-листы", которые можно прикрутить на D-link'e, не затрагивают трафика, уходящего в туннель.

>Второе можно поднять статические тунели.
D-Link DI-804HV не поддерживает GRE-туннели, если вы это имеете в виду.

>В Третьих можно повесить на интерфейсы которые смотрят к юзерам.
Вы имеете в виду interface FastEthernet0/0.170 ? Там есть аксесс-листы, притом закручены достаточно жестко (см. конфиг). Туннельный трафик проходит через них, поскольку он инкапсулирован внутри esp, как я понимаю.

Я прекрасно понимаю, как это сделать на связке cisco-cisco. Здесь вопросов нет.
Но задача, к сожалению, поставлена именно так, чтобы организовать фильтрацию трафика внутри vpn на связке DLink - cisco.

"Фильтрация трафика и IPSec"
Отправлено ВОЛКА , 24-Ноя-06 13:24 
http://www.cisco.com/univercd/cc/td/doc/product/software/ios...

"Фильтрация трафика и IPSec"
Отправлено silencer , 28-Ноя-06 13:38 
>http://www.cisco.com/univercd/cc/td/doc/product/software/ios...
Спасибо, прикрутил ACL по этой доке - все отлично заработало. Версия иоса у меня - 12.4(7).