[kim-aa]

http://www.dstu.edu.ru/mirrors/www.b...k/ios_acl.html

[Aleksey Potapov]

Честно гворя....с трудом что-то понимаю.....можете на примере показать именно моего случая?
Вот кусок конфига

! NSOFISA01
interface FastEthernet0
ip address 128.32.1.2 255.255.255.0
no ip route-cache
no shutdown
duplex auto
speed auto
!
interface FastEthernet1
no ip address
no ip route-cache
shutdown
duplex auto
speed auto
! NSOFDC01
interface FastEthernet2
switchport access vlan 101
! NSOFDC02
interface FastEthernet3
switchport access vlan 101
! NSOFEX01
interface FastEthernet4
switchport access vlan 101
! NSOFAPS01
interface FastEthernet5
switchport access vlan 101
!
interface FastEthernet6
switchport access vlan 101
! NSOFSW01
interface FastEthernet7
switchport access vlan 101
! NSOFSW02
interface FastEthernet8
switchport access vlan 102
! MSOFSW01
interface FastEthernet9
switchport access vlan 103
!
interface Vlan1
no ip address
!
interface Vlan101
description NSOF-Vlan1
ip address 172.10.1.3 255.255.255.0
no ip route-cache
!
interface Vlan102
description NSOF-Vlan2
ip address 172.10.2.3 255.255.255.0
no ip route-cache
!
interface Vlan103
description MSOF-Vlan3
ip address 172.10.254.3 255.255.255.0
no ip route-cache
!
interface Async1
no ip address
encapsulation slip
no ip route-cache
shutdown
!
ip route 0.0.0.0 0.0.0.0 172.10.1.7
!
!
no ip http server
no ip http secure-server
!
access-list 23 permit 172.10.0.0 0.0.255.255
access-list 23 deny any
dialer-list 1 protocol ip permit
!
!
!
!
!
!

[kim-aa]

access-list 23 permit 172.10.0.0 0.0.255.255
access-list 23 deny any

Вот стандартный access-list фильтрующий от источника.
Его идентификатор это номер 23
Содержит две записи.

он пропускает любой трафик из 172.10.0.0/16 сети
и режет остальной.

access-list 23 deny any
ставится для читаемости, т.к. в cписках доступа Cisco используется правило неявного закрывающего deny all
Список просматривается сверху вниз. Срабатывает первое встретившее удовлетворяющее правило и
просмотр списка прекращается.

====
Применение же данного списка для фильтрации Входящих пакетов
Привязка к интерфейсу FE0

conf t
int FE0
ip access-group 23 in
====

убиение списка
no ip assess-list 23

===
отвязка от интерфейса
no ip access-group 23

===

Думаю проще создать списки доступа в SDM, т. к. в консоли их создавать заморочнее и больше вероятность ошибиться.
А привязать к интерфейсу можно и в консоли.
===

[Aleksey Potapov]

вот теперь уже понятнее....спасибо....результаты скоро предоставлю)

кстати - Данное сопоставление будет правильным?

network 172.10.254.0 0.255.255.255 ?

[kim-aa]

Удобнее использовать именованные, а не нумерованные списки доступа. они появились с IOS 11.2

Различие:
нумерованный - access-list
именованный - ip access-list

[Aleksey Potapov]

кстати - Данное сопоставление будет правильным?

network 172.10.254.0 0.255.255.255 ?

или же просто писать any

тоесть
permit udp any eq domain host 172.10.1.4 eq domain

Получается вот так
!
interface Vlan103
description MSOF-Vlan3
ip address 172.10.254.3 255.255.255.0
no ip route-cache
ip access-group vlan_103_in in
!
interface Async1
no ip address
encapsulation slip
no ip route-cache
shutdown
!
ip route 0.0.0.0 0.0.0.0 172.10.1.7
!
!
no ip http server
no ip http secure-server
!
ip access-list extended vlan_103_in
permit udp any eq domain host 172.10.1.4 eq domain
permit udp any eq domain host 172.10.1.5 eq domain
permit tcp any eq domain host 172.10.1.4 eq domain
permit tcp any eq domain host 172.10.1.5 eq domain
permit tcp any eq smtp host 172.10.1.7 eq smtp
permit tcp any eq pop3 host 172.10.1.7 eq pop3
permit tcp any eq www host 172.10.1.7 eq www
permit tcp any eq 443 host 172.10.1.7 eq 443


НО НЕ МОГУ ПОНЯТЬ .....почему in а не out

[kim-aa]

ip access-list extended All-Vizor-Internal_DNS
remark All-Vizor-Internal_DNS
remark SDM_ACL Category=2
permit tcp 172.23.0.0 0.0.255.255 any eq domain
permit udp 172.23.0.0 0.0.255.255 any eq domain
permit tcp 192.168.0.0 0.0.0.255 any eq domain
permit udp 192.168.0.0 0.0.0.255 any eq domain
remark All-Vizor-Internal_DNS
remark SDM_ACL Category=2


Вот ACL созданный в SDM
он разрешает всем хостам из двух сетей обращаться к DNS серверам.
===

permit udp any eq domain host 172.10.1.4 eq domain

не верно, т.к. исходящим портом будет не 53 (domain)

===
НО НЕ МОГУ ПОНЯТЬ .....почему in а не out

Это связано с особенностями применения списков тдоступа.

В первую очередь обрабатываются входящие пакеты
Во-вторую - маршрутизация
В-третью исходящие
В последнюю NAT.

Для уменьшениянагрузки на маршрутизатор и наибольшей скорости работы, стараются основной трафик отсечь на входе

[Aleksey Potapov]

interface Vlan103
description MSOF-Vlan3
ip address 172.10.254.3 255.255.255.0
no ip route-cache
ip access-list vlan_103_out out
ip access-group vlan_103_in in
!
interface Async1
no ip address
encapsulation slip
no ip route-cache
shutdown
!
ip route 0.0.0.0 0.0.0.0 172.10.1.7
!
!
no ip http server
no ip http secure-server
!
access-list vlan_103_out permit udp any host 172.10.1.4 eq domain
access-list vlan_103_out permit udp any host 172.10.1.5 eq domain
access-list vlan_103_out permit tcp any host 172.10.1.4 eq domain
access-list vlan_103_out permit tcp any host 172.10.1.5 eq domain
access-list vlan_103_out permit tcp any host 172.10.1.7 eq smtp
access-list vlan_103_out permit tcp any host 172.10.1.7 eq pop3
access-list vlan_103_out permit tcp any host 172.10.1.7 eq www
access-list vlan_103_out permit tcp any host 172.10.1.7 eq 443
access-list vlan_103_out deny any
!
ip access-list extended vlan_103_in
deny any
!



Так то что я понял....
Поскольку я привязую группу ACL за влоном, соответственно я могу писать access-list vlan_103_out permit udp ANY.



Этими правилами я запрещаю исходящий траффик кроме выбранного.
И запрещаю входящий ото всюду.


Прочитал Ваше последнее соолбщение....

исходя из него я понял что можно сделать и так.
interface Vlan103
description MSOF-Vlan3
ip address 172.10.254.3 255.255.255.0
no ip route-cache
ip access-group vlan_103_out out
ip access-group vlan_103_in in
!
interface Async1
no ip address
encapsulation slip
no ip route-cache
shutdown
!
ip route 0.0.0.0 0.0.0.0 172.10.1.7
!
!
no ip http server
no ip http secure-server
!
ip access-list extended vlan_103_out
permit udp any host 172.10.1.4 eq domain
permit udp any host 172.10.1.5 eq domain
permit tcp any host 172.10.1.4 eq domain
permit tcp any host 172.10.1.5 eq domain
permit tcp any host 172.10.1.7 eq smtp
permit tcp any host 172.10.1.7 eq pop3
permit tcp any host 172.10.1.7 eq www
permit tcp any host 172.10.1.7 eq 443
deny any
!
ip access-list extended vlan_103_in
deny any
!



Или всё же нельзя?

[kim-aa]

Можно и так и так.
Единственное нужно проверить прохождение ответного DNS-трафика от 172.10.1.4 и 172.10.1.5

Я боюсь что правило

ip access-list extended vlan_103_in
deny any

как обрабатываемое первым просто зарежет весь входящий трафик из 103 (172.10.254.3 255.255.255.0)

===
Попробуйте обойтись без правил для OUT

сделайте три набора IN для каждого VLAN интерфейса