[raveren]

Недавно понадобилось воспользоваться динамическим access-list для блокировки ip-адресов.

 

Делаю следующее:

 

conf t
ip access-list ext 111
10 dynamic ALL deny ip any any

 

После этого блокируется все, даже доступ к коммутатору, а нужно чтобы блокировались ip-адреса занесенные в этот dynamic access-list.

 

#sh ip access-lists 111
Extended IP access list 111
    20 deny tcp any any eq 135
    30 deny tcp any any eq 137
    40 deny tcp any any eq 139
    50 deny tcp any any eq 445
    60 deny tcp any any eq 1433
    70 deny tcp any any eq 5900
    80 deny udp any any eq 135
    90 deny udp any any eq netbios-ns
    100 deny udp any any eq netbios-dgm
    110 permit icmp any any echo
    120 permit icmp any any echo-reply
    130 permit icmp any any packet-too-big
    140 permit icmp any any time-exceeded
    150 deny icmp any any
    200 permit ip any any

 

Cisco IOS Software, C3560 Software (C3560-ADVIPSERVICESK9-M), Version 12.2(37)SE, RELEASE SOFTWARE (fc2)

Изменено 26 августа, 2009 пользователем raveren

[Ko_stik]

Недавно понадобилось воспользоваться динамическим access-list для блокировки ip-адресов.

 

Делаю следующее:

 

conf t
ip access-list ext 111
10 dynamic ALL deny ip any any

 

После этого блокируется все, даже доступ к коммутатору, а нужно чтобы блокировались ip-адреса занесенные в этот dynamic access-list.

 

#sh ip access-lists 111
Extended IP access list 111
    20 deny tcp any any eq 135
    30 deny tcp any any eq 137
    40 deny tcp any any eq 139
    50 deny tcp any any eq 445
    60 deny tcp any any eq 1433
    70 deny tcp any any eq 5900
    80 deny udp any any eq 135
    90 deny udp any any eq netbios-ns
    100 deny udp any any eq netbios-dgm
    110 permit icmp any any echo
    120 permit icmp any any echo-reply
    130 permit icmp any any packet-too-big
    140 permit icmp any any time-exceeded
    150 deny icmp any any
    200 permit ip any any

 

Cisco IOS Software, C3560 Software (C3560-ADVIPSERVICESK9-M), Version 12.2(37)SE, RELEASE SOFTWARE (fc2)

 

Разобрались с проблемой?

 

аналогичная ситуация...

как только вешаю акцес лист на какой либо интерфейс (будт то gi или vlan ) трафик на интерфейсе весь блокируется...