NCPhantom Posted March 22, 2011 (edited) есть роутер с 3 интерфейсами например 192.168.1.1, 192.168.2.1, 192.168.3.1 соответственно он рулит эти 3 диапазона. Нужно подключить к каждому интерфейсу роутера по 2950 циске, а в неё уже подключить отдельные сегменты сетей с возможностью ограничивать на каждый порт списка IP + MAC. И как можно реализовать обновление списков через какой-нибудь скрипт? Подскажите как лучше всего это реализовать? PS: как я понял, контролировать IP + MAC 2950 циской не получится, только MAC. и если правильно понял то 2 варианта или через Port Security или MAC Extended ACL... Но всё равно хочется услышать, как лучше всего реализовать это и как можно автоматизировать удаление добавление разрешенных адресов. Edited March 22, 2011 by NCPhantom Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
terrible Posted March 22, 2011 ARP Inspection и IP-Source-Guard разве нету в этой кошке? Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
dwemer Posted March 23, 2011 (edited) ip source guard нету , но можно ACL вешать на физ. интерфейсы. Автоматизировать можно своим скриптом: генерить ACL'и и заливать через snmp+tftp а мак зачем контролировать? Edited March 23, 2011 by dwemer Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
NCPhantom Posted March 23, 2011 Мне нужно не мак контролировать. А чтоб циска пропускала не просто разрешенные маки, а мак + ип. Чтоб нельзя было менять IP. т.е. как я понял, если привязать ACL к портам то пропускать будет конкретные МАК адреса, но при смене IP всё так же будет работать, а нужно чтоб работало только со своим IP. Подскажите как лучше это реализовать? Если вообще можно... PS: С цисками раньше не работал, по этому может чего не так понимаю. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
eskhaliot Posted March 23, 2011 Мне нужно не мак контролировать. А чтоб циска пропускала не просто разрешенные маки, а мак + ип. Чтоб нельзя было менять IP. т.е. как я понял, если привязать ACL к портам то пропускать будет конкретные МАК адреса, но при смене IP всё так же будет работать, а нужно чтоб работало только со своим IP.Подскажите как лучше это реализовать? Если вообще можно... PS: С цисками раньше не работал, по этому может чего не так понимаю. Можно на роутере делать привязку мака к ip адресу Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
NCPhantom Posted March 23, 2011 (edited) Можно на роутере делать привязку мака к ip адресу но тогда получится, что при смене IP он будет получать доступ к другим сегментам сети подключенным в эту же циску на другие порты? а хочется ограничить доступ не далее того сегмента где он находится. Edited March 23, 2011 by NCPhantom Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
dwemer Posted March 23, 2011 (edited) Мне нужно не мак контролировать. А чтоб циска пропускала не просто разрешенные маки, а мак + ип. Чтоб нельзя было менять IP. т.е. как я понял, если привязать ACL к портам то пропускать будет конкретные МАК адреса, но при смене IP всё так же будет работать, а нужно чтоб работало только со своим IP.Подскажите как лучше это реализовать? Если вообще можно... PS: С цисками раньше не работал, по этому может чего не так понимаю. acl на порту может фильтровать IP interface FastEthernet0/3 switchport access vlan 10 switchport mode access ip access-group 3 in no cdp enable spanning-tree portfast ! access-list 3 permit 192.168.0.2 http://www.cisco.com/en/US/docs/switches/l...uide/swacl.html Edited March 23, 2011 by dwemer Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
LordFAntom Posted March 23, 2011 (edited) Все вместе вот так interface FastEthernet0/3 description --==== TEST =====--- switchport access vlan 10 switchport mode access switchport port-security switchport port-security maximum 2 switchport port-security violation protect switchport port-security mac-address aaaa.aaaa.aaaa switchport port-security mac-address aaaa.aaaa.aaab ip access-group 3 in no cdp enable spanning-tree portfast access-list 3 permit 192.168.0.2 ну и типа того sh mac address-table Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- All 0013.80d1.5a80 STATIC CPU All 0100.0ccc.cccc STATIC CPU All 0100.0ccc.cccd STATIC CPU All 0100.0cdd.dddd STATIC CPU 10 aaaa.aaaa.aaaa STATIC Fa0/3 10 aaaa.aaaa.aaab STATIC Fa0/3 Total Mac Addresses for this criterion: 6 Edited March 23, 2011 by LordFAntom Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
LordFAntom Posted March 23, 2011 однако ACL на 2950 проверил IP поменял доступ так и остался (((( Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
deepweb Posted December 25, 2011 Добавь. access-list 3 permit 192.168.0.2 access-list 3 deny any Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
Azamat Posted December 25, 2011 на 2950Т есть ACL привязка IP адреса на порт, на 2950-24 (без гигабитных портов) - нет такой возможности, Standard Image однако. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
BobroCoder Posted February 18, 2014 (edited) Люди Добрые, помогите пожалуйста. Не могу на С2950 привязать ACL и к портам: Мне необходимо по типу так: # access-list 101 permit ip host 10.5.43.7 host 10.5.43.5 #Разрешаем обращение клиента только к шлюзу # access-list 101 permit udp any any eq bootps #Разрешаем получать адрес по DHCP # access-list 101 deny ip any any #Запрещаем все остальное Пробую повесить на интерфейс: # interface FastEthernet 0/1 C3T_Cisco2950_1(config-if)#ip access-group 101 in Выбивает ошибку: %Error: The field sets of all the ACEs in an ACL on Ethernet interface should match.Please refer to the Software Configuration Guide to understand one mask restriction for ACLs on Ethernet interface. Если отдельно разрешать общение с шлюзом или отдельно DHCP - все применяется и работает. Не могу понять в чем ошибка. Прошу помощи. Настроен DHCP Relay. Необходимо привязать IP к порту. Если ограничиваю через ACL обращение от IP до шлюза - клиент не получает адрес по DHCP. Смог заставить заработать так: C3T_Cisco2950_1(config)#access-list 1 permit 10.5.43.7C3T_Cisco2950_1(config)#access-list 1 permit 0.0.0.0 C3T_Cisco2950_1(config)#access-list 1 deny any C3T_Cisco2950_1(config)#interface FastEthernet 0/1 C3T_Cisco2950_1(config-if)#ip access-group 1 in C3T_Cisco2950_1(config-if)# Вроде бы работает... Edited February 18, 2014 by BobroCoder Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
BAHbKA Posted September 21, 2015 Люди Добрые, помогите пожалуйста. Не могу на С2950 привязать ACL и к портам: Мне необходимо по типу так: # access-list 101 permit ip host 10.5.43.7 host 10.5.43.5 #Разрешаем обращение клиента только к шлюзу # access-list 101 permit udp any any eq bootps #Разрешаем получать адрес по DHCP # access-list 101 deny ip any any #Запрещаем все остальное Пробую повесить на интерфейс: # interface FastEthernet 0/1 C3T_Cisco2950_1(config-if)#ip access-group 101 in Выбивает ошибку: %Error: The field sets of all the ACEs in an ACL on Ethernet interface should match.Please refer to the Software Configuration Guide to understand one mask restriction for ACLs on Ethernet interface. Если отдельно разрешать общение с шлюзом или отдельно DHCP - все применяется и работает. Не могу понять в чем ошибка. Прошу помощи. Настроен DHCP Relay. Необходимо привязать IP к порту. Если ограничиваю через ACL обращение от IP до шлюза - клиент не получает адрес по DHCP. Смог заставить заработать так: C3T_Cisco2950_1(config)#access-list 1 permit 10.5.43.7C3T_Cisco2950_1(config)#access-list 1 permit 0.0.0.0 C3T_Cisco2950_1(config)#access-list 1 deny any C3T_Cisco2950_1(config)#interface FastEthernet 0/1 C3T_Cisco2950_1(config-if)#ip access-group 1 in C3T_Cisco2950_1(config-if)# Вроде бы работает... А как быть если еще есть пул адресов "без денег"? Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
