ACL switch cisco 3750
Fermé
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
-
10 févr. 2009 à 11:00
maitrejb107 Messages postés 20 Date d'inscription mardi 10 février 2009 Statut Membre Dernière intervention 9 mars 2009 - 9 mars 2009 à 13:51
maitrejb107 Messages postés 20 Date d'inscription mardi 10 février 2009 Statut Membre Dernière intervention 9 mars 2009 - 9 mars 2009 à 13:51
A voir également:
- Acl switch niveau 3
- Logiciel switch - Télécharger - Conversion & Extraction
- Samsung switch pc - Télécharger - Divers Bureautique
- Brancher switch sur tv sans socle - Forum Nintendo Switch
- Minecraft switch multijoueur local - Forum Nintendo Switch
- Switch qwerty azerty - Guide
20 réponses
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
23 févr. 2009 à 12:40
23 févr. 2009 à 12:40
d'accord merci bien de l'aide,
par contre mon souci est aussi que j'ai mis en place un reseau de test avec un poste dans le vlan 7 et l'autre dans le vlan 8
le poste du vlan7 est en 172.16.10.199 /24 et celui du vlan 8 est en 172.17.10.198
j'ai essayé ceci
#access-list 101 deny icmp 172.17.10.0 0.0.0.255 172.16.10.0 0.0.0.255
#access-list permit ip any any
mon souci est au niveau de l'application deja sur quelle interface se mettr epour la créée:
#conf t
#int...??? soit en gigabit soit en vlan
et aussi après pour l'appliquer sur laquelle l'appliquer vu que je veux que le poste du vlan 7 puisse pinger l'autre quand même.
j'ai aussi essayé avec "cisco network assistant" qui permet de voir en graphique mais c'est surement mieux de comprendre et de faire en commandes.
merci de votre aide.
salutations
J-B
par contre mon souci est aussi que j'ai mis en place un reseau de test avec un poste dans le vlan 7 et l'autre dans le vlan 8
le poste du vlan7 est en 172.16.10.199 /24 et celui du vlan 8 est en 172.17.10.198
j'ai essayé ceci
#access-list 101 deny icmp 172.17.10.0 0.0.0.255 172.16.10.0 0.0.0.255
#access-list permit ip any any
mon souci est au niveau de l'application deja sur quelle interface se mettr epour la créée:
#conf t
#int...??? soit en gigabit soit en vlan
et aussi après pour l'appliquer sur laquelle l'appliquer vu que je veux que le poste du vlan 7 puisse pinger l'autre quand même.
j'ai aussi essayé avec "cisco network assistant" qui permet de voir en graphique mais c'est surement mieux de comprendre et de faire en commandes.
merci de votre aide.
salutations
J-B
brupala
Messages postés
109442
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 avril 2024
13 619
23 févr. 2009 à 12:25
23 févr. 2009 à 12:25
Salut,
le access-list sont créées globalement , puis affectées à l'interface
par la commande access-group <access-list> in ou out .
ou ip access-group <nom> in ou out dans le cas d'une access-list nommée .
Dans ton cas, ce sera sur les interface vlan .
sinon ftp ça n'est pas le port 53, le port 53 (udp et eccessoirement tcp) , c'est dns .
le access-list sont créées globalement , puis affectées à l'interface
par la commande access-group <access-list> in ou out .
ou ip access-group <nom> in ou out dans le cas d'une access-list nommée .
Dans ton cas, ce sera sur les interface vlan .
sinon ftp ça n'est pas le port 53, le port 53 (udp et eccessoirement tcp) , c'est dns .
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
23 févr. 2009 à 15:00
23 févr. 2009 à 15:00
merci beaucoup pou rla reponse, ca m'ai aidé!
j'ai appliqué ceci
#access-list 101 deny icmp 172.17.10.0 0.0.0.255 172.16.10.0 0.0.0.255 echo
#access-list 101 permit ip any any
et en appliquant sur l'entrée du vlan 7 ou la sortie du vlan 8 ca ne fonctionne pas, alors que l'inverse fonctionne
quand j'ai fait:
#int vlan 7
#ip access-group 101 out
cela a tres bien fonctionné! ce n'est pas logique car dans la regle, je veux que ca soit interdit du vlan 8 vers le vlan 7 donc logiquement en sortie du 8 et ou en entrée du 7. mais bon je ne vois pas trop a ce niveau la.
sinon une autre petite question, il est bien obligatoire d'appliquer une regle avec ip access-group... , elle ne peut pas s'appliquer sans cela, car j'ai eu certaine fois des pertes de connexion telnet du cisco et des plantage du reseau suite a la saisie d'une regle par exemple
#access-list 101 deny icmp 172.17.10.0 0.0.0.255 172.16.10.0 0.0.0.255 , mais sur le poste avec l'adresse concernée par la règle (172.17.10.198)
je pensais qu'elle ne pouvais pas s'appliquer comme ca.
merci , salutations
J-B
j'ai appliqué ceci
#access-list 101 deny icmp 172.17.10.0 0.0.0.255 172.16.10.0 0.0.0.255 echo
#access-list 101 permit ip any any
et en appliquant sur l'entrée du vlan 7 ou la sortie du vlan 8 ca ne fonctionne pas, alors que l'inverse fonctionne
quand j'ai fait:
#int vlan 7
#ip access-group 101 out
cela a tres bien fonctionné! ce n'est pas logique car dans la regle, je veux que ca soit interdit du vlan 8 vers le vlan 7 donc logiquement en sortie du 8 et ou en entrée du 7. mais bon je ne vois pas trop a ce niveau la.
sinon une autre petite question, il est bien obligatoire d'appliquer une regle avec ip access-group... , elle ne peut pas s'appliquer sans cela, car j'ai eu certaine fois des pertes de connexion telnet du cisco et des plantage du reseau suite a la saisie d'une regle par exemple
#access-list 101 deny icmp 172.17.10.0 0.0.0.255 172.16.10.0 0.0.0.255 , mais sur le poste avec l'adresse concernée par la règle (172.17.10.198)
je pensais qu'elle ne pouvais pas s'appliquer comme ca.
merci , salutations
J-B
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
24 févr. 2009 à 10:11
24 févr. 2009 à 10:11
Je voulais aussi demander, lorsque l'on créee plusieurs ACL (si elles sont 101,102,103)
Est-ce qu'elles s'appliquent dans l'ordre, enfin faut-il mettre a la fin a chaque fois : #permit ip any any ?
car si je met ceci, l'ACl suivante ne va pas être prise en compte.
Et aussi quand elles sont nommées enfin au lieu d'être identifiées par un numéro, sont elles appliquées dans l'ordre aussi?
et si vous voyez mon message précédent aussi, sur l'application des ACL... merci bien d'avance.
salutations
Est-ce qu'elles s'appliquent dans l'ordre, enfin faut-il mettre a la fin a chaque fois : #permit ip any any ?
car si je met ceci, l'ACl suivante ne va pas être prise en compte.
Et aussi quand elles sont nommées enfin au lieu d'être identifiées par un numéro, sont elles appliquées dans l'ordre aussi?
et si vous voyez mon message précédent aussi, sur l'application des ACL... merci bien d'avance.
salutations
brupala
Messages postés
109442
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 avril 2024
13 619
24 févr. 2009 à 22:58
24 févr. 2009 à 22:58
enfin faut-il mettre a la fin a chaque fois : #permit ip any any ?
tout dépend de ce que tu veux faire avec la liste, mais il est rare que l'on mette un permit ip any any qui autorise tout dans une liste .
en général on bloque tout (fonctionnement par défaut, il existe un deny ip any any implicite à la fin de chaque liste) et on n'autorise que ce qu'on a besoin .
par contre, il faut au moins un permit quelque chose, sinon rien de passe .
sinon, pour l'ordre des ACL ? quel ordre ?
on ne peut appliquer qu' une seule acl sur une interface un seul access-group , enfin deux plutôt car on peut en mettre un en entrée et un en sortie .
tout dépend de ce que tu veux faire avec la liste, mais il est rare que l'on mette un permit ip any any qui autorise tout dans une liste .
en général on bloque tout (fonctionnement par défaut, il existe un deny ip any any implicite à la fin de chaque liste) et on n'autorise que ce qu'on a besoin .
par contre, il faut au moins un permit quelque chose, sinon rien de passe .
sinon, pour l'ordre des ACL ? quel ordre ?
on ne peut appliquer qu' une seule acl sur une interface un seul access-group , enfin deux plutôt car on peut en mettre un en entrée et un en sortie .
Vous n’avez pas trouvé la réponse que vous recherchez ?
Posez votre question
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
25 févr. 2009 à 08:56
25 févr. 2009 à 08:56
Aussi donc si j'applique une regle sur une interface VLAN, les autres VLANs ne vont pas etres touchés, c'est seulement si je l'applique sur l'interface physique ou sont tou sles VLANs que ca va bloaqué. pasque j'ai deja eu ce souci ou le reseau s'est complétement bloqué. Je mettait alors un permit ip any any. mais ce n'est peutetre pas la solution.
on a donc decidé de mettre une règle en permier sur le watchguard qui interdit tout contact entre les 2 VLANs que j'utilise. Pour pouvoir après mettre une règle dessus. Mais je ne voudrais pas bloquer le reseau si je ne met pas de permit ip any any.
on a donc decidé de mettre une règle en permier sur le watchguard qui interdit tout contact entre les 2 VLANs que j'utilise. Pour pouvoir après mettre une règle dessus. Mais je ne voudrais pas bloquer le reseau si je ne met pas de permit ip any any.
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
25 févr. 2009 à 12:35
25 févr. 2009 à 12:35
j'ai aussi une question,
je veux faire des regles différents en fonction des différents VLANs, enquelques sortes pour qu'ils accedent les uns aux autres et aussi pour qu'ils aient acces a certains ports...etc
je pensais donc creer des access-list differentes que j'appliquerai sur chaque vlan, mais j'ai l'impression que quand je cree une ACL et que je l'applique sur une interface vlan, elle s'applique a tout le monde.
enfin si je créee une acl avec des regles, le "deny any any" va s'appliquer a tous les VLANs du reseau.
je veux faire des regles différents en fonction des différents VLANs, enquelques sortes pour qu'ils accedent les uns aux autres et aussi pour qu'ils aient acces a certains ports...etc
je pensais donc creer des access-list differentes que j'appliquerai sur chaque vlan, mais j'ai l'impression que quand je cree une ACL et que je l'applique sur une interface vlan, elle s'applique a tout le monde.
enfin si je créee une acl avec des regles, le "deny any any" va s'appliquer a tous les VLANs du reseau.
brupala
Messages postés
109442
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 avril 2024
13 619
25 févr. 2009 à 23:51
25 févr. 2009 à 23:51
ça s' applique à tous les réseaux, par définition, mais pas sur toutes les interfaces .
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
26 févr. 2009 à 08:14
26 févr. 2009 à 08:14
Ouai d'accord mas je ne comprend pas ouest la différence, que l'on applique a telle ou telle interface!
enfin si ca applique la règle! c'est peutetre mieu d'être près de la source comme je vois souvent!
j'ai remarqué que si j'interdis un ping du vlan 7 vers le vlan 8 et que j'applique la règle en entrée du VLAN7 ou en sortie du VLAN8, le message est "reponse de xxxxxxxx: Impossible de joindre la destination"
alors que si je l'applique en sortie du VLAN7 ou en entrée du VLAN8, cela met delai d'attente de la demande dépassée". donc je pensais que le premier cas etait mieu car au moin il y avais une réponse comme quand le ping réussi.
enfin bref, mais cette histoire d'application sur les vlans, c'est pas tout simple.
enfin si ca applique la règle! c'est peutetre mieu d'être près de la source comme je vois souvent!
j'ai remarqué que si j'interdis un ping du vlan 7 vers le vlan 8 et que j'applique la règle en entrée du VLAN7 ou en sortie du VLAN8, le message est "reponse de xxxxxxxx: Impossible de joindre la destination"
alors que si je l'applique en sortie du VLAN7 ou en entrée du VLAN8, cela met delai d'attente de la demande dépassée". donc je pensais que le premier cas etait mieu car au moin il y avais une réponse comme quand le ping réussi.
enfin bref, mais cette histoire d'application sur les vlans, c'est pas tout simple.
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
26 févr. 2009 à 09:20
26 févr. 2009 à 09:20
je voudrais aussi savoir s'il y avais une commande pour pouvoir voire ou sont appliquées les ACL pour s'y retrouver un pau.
Je sais que je peux voire avec le "cisco network assistant" mais j'aimerais bien pouvoir le faire en commandes.
Parce que j'ai appliqué une ACL en entrée de VLAN 7 et avec le logiciel j'ai vu qu'elle était réellement appliquée en sortie de vlan 8 en plus de l'entrée du vlan 7
après c'est peut-être logique vu que sur l'un ou l'autre, le resultat est le même.
Je sais que je peux voire avec le "cisco network assistant" mais j'aimerais bien pouvoir le faire en commandes.
Parce que j'ai appliqué une ACL en entrée de VLAN 7 et avec le logiciel j'ai vu qu'elle était réellement appliquée en sortie de vlan 8 en plus de l'entrée du vlan 7
après c'est peut-être logique vu que sur l'un ou l'autre, le resultat est le même.
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
26 févr. 2009 à 10:21
26 févr. 2009 à 10:21
Bon en fiat j'ai réalisé qu'en faisant un show running-config on pouvais voir sur chaque vlan qu'elle acl était appliquée, après il y a peut-être un moyen d'afficher juste les vlans?
je ne comprend toujours pas par contre si l'on appliques des ACL différentes sur différents interface si elles vont interagirent entre elles?
enfin si je met un permit ip any any sur une, est-ce que l'autre va influer. c'est assez vague.
et j'ai entendue parler de vlan ACL, je ne connais pas la différence?
si tu as plus d'infos brupala? ou même quelqu'un d'autres?
merci d'avance, salutations.
je ne comprend toujours pas par contre si l'on appliques des ACL différentes sur différents interface si elles vont interagirent entre elles?
enfin si je met un permit ip any any sur une, est-ce que l'autre va influer. c'est assez vague.
et j'ai entendue parler de vlan ACL, je ne connais pas la différence?
si tu as plus d'infos brupala? ou même quelqu'un d'autres?
merci d'avance, salutations.
brupala
Messages postés
109442
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 avril 2024
13 619
26 févr. 2009 à 11:57
26 févr. 2009 à 11:57
Salut,
n'oublie pas show access-list aussi
c'est sûr que dans le cas de routage entre vlan , des access-list entre fifférents vlans vont interagrir entre elles, ce qui n'est pas le cas entre interfaces physiques .
ensuite, il faut analyser dans le détail pour comprendre, soit en logguant les hits sur les access-list (loggin à la fin de la commande access-list ) soit en debug .
n'oublie pas show access-list aussi
c'est sûr que dans le cas de routage entre vlan , des access-list entre fifférents vlans vont interagrir entre elles, ce qui n'est pas le cas entre interfaces physiques .
ensuite, il faut analyser dans le détail pour comprendre, soit en logguant les hits sur les access-list (loggin à la fin de la commande access-list ) soit en debug .
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
26 févr. 2009 à 12:14
26 févr. 2009 à 12:14
"il faut analyser dans le détail pour comprendre, soit en logguant les hits sur les access-list (loggin à la fin de la commande access-list ) soit en debug . "
je n'ai pas bien saisie cette partie!
a quoi sert le login a la fin de la commande et le debug?
et comment cela s'applique t'il?
J'ai aussi du mal a comprendre comment mettre plusieurs acl ensembles sans qu'elle se "genent"?
en fait dans chacune il fraudai mettre ce qui est autorisé (aux VLANs auquel elles ont accès, les ports...) et après le deny implicite a chaque acl agit?
mais vu qu'il y en a un dans chacune, je ne vois pas trop!
ps : désolé de me répéter j'ai cru que le premier message etait pas passé, il y a eu un bug :)
je n'ai pas bien saisie cette partie!
a quoi sert le login a la fin de la commande et le debug?
et comment cela s'applique t'il?
J'ai aussi du mal a comprendre comment mettre plusieurs acl ensembles sans qu'elle se "genent"?
en fait dans chacune il fraudai mettre ce qui est autorisé (aux VLANs auquel elles ont accès, les ports...) et après le deny implicite a chaque acl agit?
mais vu qu'il y en a un dans chacune, je ne vois pas trop!
ps : désolé de me répéter j'ai cru que le premier message etait pas passé, il y a eu un bug :)
brupala
Messages postés
109442
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 avril 2024
13 619
26 févr. 2009 à 19:51
26 févr. 2009 à 19:51
c'est log pardon pas login , il enregistre dans les logs syslog ou dans la mémoire (logging buffered) les paquets conformes à la ligne précisée (à ne pas mettre sur un accept ou deny any any et à retirer dès que possible)
si log buffered, on l'affiche par show log
en principe, on applique les access-list en périphérie du réseau (au plus près de la source à bloquer), mais avec le routage entre vlans, c'est vrai que ça n'est pas évident, tu dois l 'appliquer au coeur sur ton 3760 .
si log buffered, on l'affiche par show log
en principe, on applique les access-list en périphérie du réseau (au plus près de la source à bloquer), mais avec le routage entre vlans, c'est vrai que ça n'est pas évident, tu dois l 'appliquer au coeur sur ton 3760 .
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
26 févr. 2009 à 12:22
26 févr. 2009 à 12:22
Par rapport a l'interface physique moi dans mon cas j'en ai une qui part du cisco et qui arrive sur un switch HP et après qui lui est connecté a d'autres switchs.
donc l'interface du cisco fait passer tous les vlans en quelques sortes.
si j'appliquai une acl dessus, je pourrai en faire une seule en mettant donc tout dedans.
Après je ne sais pas si c'est mieux de créer les règles sur les interfaces VLANs qui sont créés sur chaque switch.
mais ce que je voulais savoir, les règles mise sur l'interface VLAN s'appliquent aux postes plus près de l'interface. enfin si je l'applique une regle sur le vlan 7 et une autre sur le vlan 8, un poste du vlan 8 va etre soumis a la regle du vlan 8 nan?
pas tout simple! :(
donc l'interface du cisco fait passer tous les vlans en quelques sortes.
si j'appliquai une acl dessus, je pourrai en faire une seule en mettant donc tout dedans.
Après je ne sais pas si c'est mieux de créer les règles sur les interfaces VLANs qui sont créés sur chaque switch.
mais ce que je voulais savoir, les règles mise sur l'interface VLAN s'appliquent aux postes plus près de l'interface. enfin si je l'applique une regle sur le vlan 7 et une autre sur le vlan 8, un poste du vlan 8 va etre soumis a la regle du vlan 8 nan?
pas tout simple! :(
brupala
Messages postés
109442
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 avril 2024
13 619
26 févr. 2009 à 20:19
26 févr. 2009 à 20:19
Tu ne peux pas mettre d'access-list sur ta connexion physique vers le HP , car elle est sans doute en commutation niveau 2 (switchport) pour passer les vlans, si elle était en routage (no switchport), il faudrait autant de sous-interfaces que de vlan à router .
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
26 févr. 2009 à 22:45
26 févr. 2009 à 22:45
je dois appliquer au coeur de mon switch qui es un 3750 dailleur, cest ca ?
Qu'est ce que tu veux dire par "au coeur"?
moi dans mon reseau j'ai un watchguard qui fait passerelle et qui a les vlans et qui est connecté au cisco.
Qu'est ce que tu veux dire par "au coeur"?
moi dans mon reseau j'ai un watchguard qui fait passerelle et qui a les vlans et qui est connecté au cisco.
brupala
Messages postés
109442
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 avril 2024
13 619
27 févr. 2009 à 00:10
27 févr. 2009 à 00:10
une architecture réseau est toujours structurée:
un coeur de réseau constitué d'équipements de routage auquel sont rattachés des équipements de rattachement, puis , plus loin les équipements d'accès où sont rattachés les utilisateurs/ serveurs ainsi que les accès extérieurs .
c'est ce qui se fait actuellement , dans ton cas le 3750 semble être le noeud central .
le firewall étant en principe un accès extérieur (géographiquement) en même temps qu'une partie du réseau si tu as une DMZ , mais on peut considérer qu' une dmz est un autre réseau .
un coeur de réseau constitué d'équipements de routage auquel sont rattachés des équipements de rattachement, puis , plus loin les équipements d'accès où sont rattachés les utilisateurs/ serveurs ainsi que les accès extérieurs .
c'est ce qui se fait actuellement , dans ton cas le 3750 semble être le noeud central .
le firewall étant en principe un accès extérieur (géographiquement) en même temps qu'une partie du réseau si tu as une DMZ , mais on peut considérer qu' une dmz est un autre réseau .
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
2 mars 2009 à 10:35
2 mars 2009 à 10:35
ok, merci de ton aide , même si c'est pas tout simple!
je me posais aussi une question, est-ce que je devrais pas faire des VACL enfin , j'ai vu que les VACL etait basé sur des ACL bien sur, mais j'ai du mal a comprendre a comprendre la différence! enfin j'ai vu quelques exemples sur internet!
en gros on applique la règle sur un ou plusieurs VLANs pour le coup!
c'est peut-etre ce qu'il faut que je fasse, vu que je veux cibler mes règles pour certains VLANs et que mon problème etait que mes règles s'appliquait a tous les réseaux!
après j'ai vu que l'on pouvais mettre l'action forward ou drop!
mais dans une règle on met deja un deny ou permit donc coment cela s'applique?
si tu en sais plus merci d'avance! salutations.
je me posais aussi une question, est-ce que je devrais pas faire des VACL enfin , j'ai vu que les VACL etait basé sur des ACL bien sur, mais j'ai du mal a comprendre a comprendre la différence! enfin j'ai vu quelques exemples sur internet!
en gros on applique la règle sur un ou plusieurs VLANs pour le coup!
c'est peut-etre ce qu'il faut que je fasse, vu que je veux cibler mes règles pour certains VLANs et que mon problème etait que mes règles s'appliquait a tous les réseaux!
après j'ai vu que l'on pouvais mettre l'action forward ou drop!
mais dans une règle on met deja un deny ou permit donc coment cela s'applique?
si tu en sais plus merci d'avance! salutations.
brupala
Messages postés
109442
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 avril 2024
13 619
2 mars 2009 à 11:19
2 mars 2009 à 11:19
La différence c'est que les vacl s'appliquent au traffic bridgé pas seulement au traffic routé comme les acl, mais c'est plutôt ciblé sur catos que ios : http://supportwiki.cisco.com/...
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
2 mars 2009 à 11:51
2 mars 2009 à 11:51
ok merci bien!
mais alors tu pense qu'il vaut mieu que je fasse des ACLs?
parceque j'ai cru comprendre que les vACLs me permettrait d'appliquer à un ou plusieurs VLANs alors qu'avec les ACLs cela s'applique a tout le reseau!
apres je ne sais pas trop!
mais alors tu pense qu'il vaut mieu que je fasse des ACLs?
parceque j'ai cru comprendre que les vACLs me permettrait d'appliquer à un ou plusieurs VLANs alors qu'avec les ACLs cela s'applique a tout le reseau!
apres je ne sais pas trop!
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
2 mars 2009 à 17:00
2 mars 2009 à 17:00
et aussi tu parlais des VACL qui s'appliquent au traffic bridgé? quest-ce que tu entend par "traffic bridgé" exactement? j'ai essayé de faire des vacl mais je n'ai pas réussi a le s'appliquer! peut-être que je n'en ai pa sla possibilité tout simplement!
excuse moi de mon ignorance dans ce domaine, avec cisco je suis un peu largué et j'aimerai vraiment arriver a mettre en place ces règles! merci d'avance
excuse moi de mon ignorance dans ce domaine, avec cisco je suis un peu largué et j'aimerai vraiment arriver a mettre en place ces règles! merci d'avance
brupala
Messages postés
109442
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 avril 2024
13 619
2 mars 2009 à 20:06
2 mars 2009 à 20:06
quand je dis bridgé, je veux dire commuté au niveau 2 .
apparemment ton histoire de vacl ça concerne catos mais pas ios :https://supportwiki.cisco.com/ViewWiki/index.php/VACL
je ne connais pas beaucoup catos, je ne l'ai fréquenté que vaguement et il ya longtemps .
apparemment ton histoire de vacl ça concerne catos mais pas ios :https://supportwiki.cisco.com/ViewWiki/index.php/VACL
je ne connais pas beaucoup catos, je ne l'ai fréquenté que vaguement et il ya longtemps .
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
3 mars 2009 à 08:35
3 mars 2009 à 08:35
tout d'abord "catos", techniquement ca veu dire quoi?
et dans mon cisco 3750, j'ai la possibilité de créé des VACL, donc ca veut bien dire que cela peut-être utilisé, par contre je n'ai pas réussi a la rendre efficace, j'ai peut-être mal fait les choses, ou alors c'est l'histoire du forward et du drop que j'ai pas compris!
mais bon si tu dis qu'il n'est pas possible tu as surement raison... mais ca m'intrigue qu'il soit possible d'en créer!
Quand tu veux dire commuté au niveau 2, je peux voir ca dans ma config? oui ce n'est pas moi qui l'ia mis en place et je connais mal le matériel, mais je peux voir ca ou? merci!
et dans mon cisco 3750, j'ai la possibilité de créé des VACL, donc ca veut bien dire que cela peut-être utilisé, par contre je n'ai pas réussi a la rendre efficace, j'ai peut-être mal fait les choses, ou alors c'est l'histoire du forward et du drop que j'ai pas compris!
mais bon si tu dis qu'il n'est pas possible tu as surement raison... mais ca m'intrigue qu'il soit possible d'en créer!
Quand tu veux dire commuté au niveau 2, je peux voir ca dans ma config? oui ce n'est pas moi qui l'ia mis en place et je connais mal le matériel, mais je peux voir ca ou? merci!
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
5 mars 2009 à 16:58
5 mars 2009 à 16:58
salut, je voudrais te demander un truck vu que je vais mettr en place des ACLs dans le réseau je pense!
exemple: j'ai deux acl permettant l'accès a un vlan etc... a la fin de chacune s'applique le deny ip any any
sachant que j'applique les deux sur deux vlans différents, ces deux deny ip any any ne vont pas gener en realité, le paquet n'est analysé que pas une règle alors?
enfin c'est selon les critères de la règle? parceque j'avais du mal a comprendre dans la situation ou on appliquais différentes ACL sur des interfaces vlans différentes. c'est pour ca que j'hésite a en faire une seule sur le port car j'utilsi eun port pour le vlan administratif et un autre pour tous les autres vlans, donc je pourrai faire alors 2 acl max, enfin 4 avec les in et out! mais je pense que le fair esur les vlans est quand même mieux.
exemple: j'ai deux acl permettant l'accès a un vlan etc... a la fin de chacune s'applique le deny ip any any
sachant que j'applique les deux sur deux vlans différents, ces deux deny ip any any ne vont pas gener en realité, le paquet n'est analysé que pas une règle alors?
enfin c'est selon les critères de la règle? parceque j'avais du mal a comprendre dans la situation ou on appliquais différentes ACL sur des interfaces vlans différentes. c'est pour ca que j'hésite a en faire une seule sur le port car j'utilsi eun port pour le vlan administratif et un autre pour tous les autres vlans, donc je pourrai faire alors 2 acl max, enfin 4 avec les in et out! mais je pense que le fair esur les vlans est quand même mieux.
brupala
Messages postés
109442
Date d'inscription
lundi 16 juillet 2001
Statut
Membre
Dernière intervention
23 avril 2024
13 619
5 mars 2009 à 17:47
5 mars 2009 à 17:47
je voudrais te demander un truck
je n'ai pas de grogamion :-))
sinon, je te le répète: si ton interface est en switching niveau (switchport) tu ne peux pas mettre d'access-list dessus , on ne peut mettre une acl que sur une interface de routage (ou commutation L3) .
généralement, il n'est pas indispensable d'en mettre à la fois en entrée et en sortie, un seul sens est nécéssaire, tout en rappelant qu' une acl doit s' appliquer si possible au plus près de la source à bloquer .
je n'ai pas de grogamion :-))
sinon, je te le répète: si ton interface est en switching niveau (switchport) tu ne peux pas mettre d'access-list dessus , on ne peut mettre une acl que sur une interface de routage (ou commutation L3) .
généralement, il n'est pas indispensable d'en mettre à la fois en entrée et en sortie, un seul sens est nécéssaire, tout en rappelant qu' une acl doit s' appliquer si possible au plus près de la source à bloquer .
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
9 mars 2009 à 10:36
9 mars 2009 à 10:36
bonjour,
jai une question enfin un souci
j'avais mis une règle sur mon réseau
#deny icmp 172.16.10.0 0.0.0.255 172.17.10.0 0.0.0.255 echo
#permit ip any any
appliqué en entrée de l'interface vlan 7 (172.16.10.x)
je l'ai modifie ce matin en faisant
#deny ip 172.16.10.0 0.0.0.255 172.17.10.0 0.0.0.255
#permit ip any any
et le reseau a planté , plus aucun accès comme si le permit ip any any n'agissait plus. ou alors que le reste du réseau était concerné par mon deny ip qui etait sensé agir sur seulement mes 2 vlans (7 et Cool
si quelqu'un sait dequoi cela peut provenir! je vous remercie a l'avance, car la je suis mal barré ..
jai une question enfin un souci
j'avais mis une règle sur mon réseau
#deny icmp 172.16.10.0 0.0.0.255 172.17.10.0 0.0.0.255 echo
#permit ip any any
appliqué en entrée de l'interface vlan 7 (172.16.10.x)
je l'ai modifie ce matin en faisant
#deny ip 172.16.10.0 0.0.0.255 172.17.10.0 0.0.0.255
#permit ip any any
et le reseau a planté , plus aucun accès comme si le permit ip any any n'agissait plus. ou alors que le reste du réseau était concerné par mon deny ip qui etait sensé agir sur seulement mes 2 vlans (7 et Cool
si quelqu'un sait dequoi cela peut provenir! je vous remercie a l'avance, car la je suis mal barré ..
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
9 mars 2009 à 13:51
9 mars 2009 à 13:51
je voulais dire "(vlan 7 et 8)" bien sur ;) erreur de saisie..
maitrejb107
Messages postés
20
Date d'inscription
mardi 10 février 2009
Statut
Membre
Dernière intervention
9 mars 2009
25 févr. 2009 à 08:20
25 févr. 2009 à 08:20
OK merci, c'est vrai qu c'est logieus, une ACl par interface!
mais pour le permit ip any any, j ele met car sinon tout le reseau est bloqué pendant mes tests! J'ai a coté de ca un watchguard qui a des regles de securité a coté. Je voudrais donc en enlever de celui-ci et en mettre sur le cisco. voila tout. Cependant j'ai bien du mal a comprendre si celles du cisco prennent le dessus ou celles du watchguard. Pas evident a tester et a comprendre.
Et aussi pour mes regles je n'ai pas compris ca s'est appliqué en sortie du VLAN 7ou en entrée du VLAN 8. alors que la logique voudrait l'inverse. comme j'ai noté un peu plus haut. j'ai du mal a ce niveau la.
merci, salutation.
mais pour le permit ip any any, j ele met car sinon tout le reseau est bloqué pendant mes tests! J'ai a coté de ca un watchguard qui a des regles de securité a coté. Je voudrais donc en enlever de celui-ci et en mettre sur le cisco. voila tout. Cependant j'ai bien du mal a comprendre si celles du cisco prennent le dessus ou celles du watchguard. Pas evident a tester et a comprendre.
Et aussi pour mes regles je n'ai pas compris ca s'est appliqué en sortie du VLAN 7ou en entrée du VLAN 8. alors que la logique voudrait l'inverse. comme j'ai noté un peu plus haut. j'ai du mal a ce niveau la.
merci, salutation.
23 févr. 2009 à 13:11
c'est surtout plus souple et plus réutilisable .
ensuite ...
sur interface giga bit ou interface vlan ... bah ça dépend : si tes interfaces gigabit participent au routage (no switchport) ou juste à la commutation (switchport) .
si elles sont en switchport, tu ne peux pas mettre ces access-list dessus, elles vont juste sur une interface en routage .
disons donc interfaces vlan .
interface vlan 7
ip access-group 101 in
ou bien
interface vlan 8
access-group 101 out
on met en out car l'adresse source filtrée est dans le vlan 8 , donc on considère que le paquet sort du vlan 8
si tu veux que le ping passe dans un sens mais pas dans l'autre, il faut descendre plus loin dans icmp et préciser le type de paquet : echo (demande) ou bien echo-reply (réponse) .
access-list 101 deny icmp 172.17.10.0 0.0.0.255 172.16.10.0 0.0.0.255 echo
ne bloquera les ping que de vlan 8 vers vlan 7, ils devraient continuer dans l'autre sens.
si tu mets:
access-list 101 deny icmp 172.17.10.0 0.0.0.255 172.16.10.0 0.0.0.255 echo-reply
tu auras l'autre sens , si tout va bien ;-)