NCPhantom Posted March 22, 2011 (edited) · Report post есть роутер с 3 интерфейсами например 192.168.1.1, 192.168.2.1, 192.168.3.1 соответственно он рулит эти 3 диапазона. Нужно подключить к каждому интерфейсу роутера по 2950 циске, а в неё уже подключить отдельные сегменты сетей с возможностью ограничивать на каждый порт списка IP + MAC. И как можно реализовать обновление списков через какой-нибудь скрипт? Подскажите как лучше всего это реализовать? PS: как я понял, контролировать IP + MAC 2950 циской не получится, только MAC. и если правильно понял то 2 варианта или через Port Security или MAC Extended ACL... Но всё равно хочется услышать, как лучше всего реализовать это и как можно автоматизировать удаление добавление разрешенных адресов. Edited March 22, 2011 by NCPhantom Share this post Link to post Share on other sites
terrible Posted March 22, 2011 · Report post ARP Inspection и IP-Source-Guard разве нету в этой кошке? Share this post Link to post Share on other sites
dwemer Posted March 23, 2011 (edited) · Report post ip source guard нету , но можно ACL вешать на физ. интерфейсы. Автоматизировать можно своим скриптом: генерить ACL'и и заливать через snmp+tftp а мак зачем контролировать? Edited March 23, 2011 by dwemer Share this post Link to post Share on other sites
NCPhantom Posted March 23, 2011 · Report post Мне нужно не мак контролировать. А чтоб циска пропускала не просто разрешенные маки, а мак + ип. Чтоб нельзя было менять IP. т.е. как я понял, если привязать ACL к портам то пропускать будет конкретные МАК адреса, но при смене IP всё так же будет работать, а нужно чтоб работало только со своим IP. Подскажите как лучше это реализовать? Если вообще можно... PS: С цисками раньше не работал, по этому может чего не так понимаю. Share this post Link to post Share on other sites
eskhaliot Posted March 23, 2011 · Report post Мне нужно не мак контролировать. А чтоб циска пропускала не просто разрешенные маки, а мак + ип. Чтоб нельзя было менять IP. т.е. как я понял, если привязать ACL к портам то пропускать будет конкретные МАК адреса, но при смене IP всё так же будет работать, а нужно чтоб работало только со своим IP.Подскажите как лучше это реализовать? Если вообще можно... PS: С цисками раньше не работал, по этому может чего не так понимаю. Можно на роутере делать привязку мака к ip адресу Share this post Link to post Share on other sites
NCPhantom Posted March 23, 2011 (edited) · Report post Можно на роутере делать привязку мака к ip адресу но тогда получится, что при смене IP он будет получать доступ к другим сегментам сети подключенным в эту же циску на другие порты? а хочется ограничить доступ не далее того сегмента где он находится. Edited March 23, 2011 by NCPhantom Share this post Link to post Share on other sites
dwemer Posted March 23, 2011 (edited) · Report post Мне нужно не мак контролировать. А чтоб циска пропускала не просто разрешенные маки, а мак + ип. Чтоб нельзя было менять IP. т.е. как я понял, если привязать ACL к портам то пропускать будет конкретные МАК адреса, но при смене IP всё так же будет работать, а нужно чтоб работало только со своим IP.Подскажите как лучше это реализовать? Если вообще можно... PS: С цисками раньше не работал, по этому может чего не так понимаю. acl на порту может фильтровать IP interface FastEthernet0/3 switchport access vlan 10 switchport mode access ip access-group 3 in no cdp enable spanning-tree portfast ! access-list 3 permit 192.168.0.2 http://www.cisco.com/en/US/docs/switches/l...uide/swacl.html Edited March 23, 2011 by dwemer Share this post Link to post Share on other sites
LordFAntom Posted March 23, 2011 (edited) · Report post Все вместе вот так interface FastEthernet0/3 description --==== TEST =====--- switchport access vlan 10 switchport mode access switchport port-security switchport port-security maximum 2 switchport port-security violation protect switchport port-security mac-address aaaa.aaaa.aaaa switchport port-security mac-address aaaa.aaaa.aaab ip access-group 3 in no cdp enable spanning-tree portfast access-list 3 permit 192.168.0.2 ну и типа того sh mac address-table Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- All 0013.80d1.5a80 STATIC CPU All 0100.0ccc.cccc STATIC CPU All 0100.0ccc.cccd STATIC CPU All 0100.0cdd.dddd STATIC CPU 10 aaaa.aaaa.aaaa STATIC Fa0/3 10 aaaa.aaaa.aaab STATIC Fa0/3 Total Mac Addresses for this criterion: 6 Edited March 23, 2011 by LordFAntom Share this post Link to post Share on other sites
LordFAntom Posted March 23, 2011 · Report post однако ACL на 2950 проверил IP поменял доступ так и остался (((( Share this post Link to post Share on other sites
deepweb Posted December 25, 2011 · Report post Добавь. access-list 3 permit 192.168.0.2 access-list 3 deny any Share this post Link to post Share on other sites
Azamat Posted December 25, 2011 · Report post на 2950Т есть ACL привязка IP адреса на порт, на 2950-24 (без гигабитных портов) - нет такой возможности, Standard Image однако. Share this post Link to post Share on other sites
BobroCoder Posted February 18, 2014 (edited) · Report post Люди Добрые, помогите пожалуйста. Не могу на С2950 привязать ACL и к портам: Мне необходимо по типу так: # access-list 101 permit ip host 10.5.43.7 host 10.5.43.5 #Разрешаем обращение клиента только к шлюзу # access-list 101 permit udp any any eq bootps #Разрешаем получать адрес по DHCP # access-list 101 deny ip any any #Запрещаем все остальное Пробую повесить на интерфейс: # interface FastEthernet 0/1 C3T_Cisco2950_1(config-if)#ip access-group 101 in Выбивает ошибку: %Error: The field sets of all the ACEs in an ACL on Ethernet interface should match.Please refer to the Software Configuration Guide to understand one mask restriction for ACLs on Ethernet interface. Если отдельно разрешать общение с шлюзом или отдельно DHCP - все применяется и работает. Не могу понять в чем ошибка. Прошу помощи. Настроен DHCP Relay. Необходимо привязать IP к порту. Если ограничиваю через ACL обращение от IP до шлюза - клиент не получает адрес по DHCP. Смог заставить заработать так: C3T_Cisco2950_1(config)#access-list 1 permit 10.5.43.7C3T_Cisco2950_1(config)#access-list 1 permit 0.0.0.0 C3T_Cisco2950_1(config)#access-list 1 deny any C3T_Cisco2950_1(config)#interface FastEthernet 0/1 C3T_Cisco2950_1(config-if)#ip access-group 1 in C3T_Cisco2950_1(config-if)# Вроде бы работает... Edited February 18, 2014 by BobroCoder Share this post Link to post Share on other sites
BAHbKA Posted September 21, 2015 · Report post Люди Добрые, помогите пожалуйста. Не могу на С2950 привязать ACL и к портам: Мне необходимо по типу так: # access-list 101 permit ip host 10.5.43.7 host 10.5.43.5 #Разрешаем обращение клиента только к шлюзу # access-list 101 permit udp any any eq bootps #Разрешаем получать адрес по DHCP # access-list 101 deny ip any any #Запрещаем все остальное Пробую повесить на интерфейс: # interface FastEthernet 0/1 C3T_Cisco2950_1(config-if)#ip access-group 101 in Выбивает ошибку: %Error: The field sets of all the ACEs in an ACL on Ethernet interface should match.Please refer to the Software Configuration Guide to understand one mask restriction for ACLs on Ethernet interface. Если отдельно разрешать общение с шлюзом или отдельно DHCP - все применяется и работает. Не могу понять в чем ошибка. Прошу помощи. Настроен DHCP Relay. Необходимо привязать IP к порту. Если ограничиваю через ACL обращение от IP до шлюза - клиент не получает адрес по DHCP. Смог заставить заработать так: C3T_Cisco2950_1(config)#access-list 1 permit 10.5.43.7C3T_Cisco2950_1(config)#access-list 1 permit 0.0.0.0 C3T_Cisco2950_1(config)#access-list 1 deny any C3T_Cisco2950_1(config)#interface FastEthernet 0/1 C3T_Cisco2950_1(config-if)#ip access-group 1 in C3T_Cisco2950_1(config-if)# Вроде бы работает... А как быть если еще есть пул адресов "без денег"? Share this post Link to post Share on other sites
