ozer
May 14, 2013
view2381
view5
0
Goto Top

ACL verursacht WAN hänger

GermansolvedQuestionRouters, RoutingNetworks
Hallo zusammen,

könnt Ihr euch mal bitte diese ACL ansehen. Ist für das WAN Interface eines Cisco 1812.
Lan Ip-Netz ist die 192.168.100.0. (WAN Interface IP Adresse ist xx.xx.xx.170, LAN IP Adresse ist 192.168.100.170)

Sobald ich die ACL dem öffentlichen Interface nicht mehr zuordne klappt der Zugriff auf das Internet.
Die ACL habe ich über das SDM erzeugt.

access-list 101 remark auto generated by SDM firewall configuration
access-list 101 remark SDM_ACL Category=1
access-list 101 permit udp host 80.69.100.174 eq domain host xx.xx.xx.170
access-list 101 permit udp host 8.8.8.8 eq domain host xx.xx.xx.170
access-list 101 permit icmp any host xx.xx.xx.170 echo-reply
access-list 101 permit icmp any host xx.xx.xx.170 time-exceeded
access-list 101 permit icmp any host xx.xx.xx.170 unreachable
access-list 101 deny ip 10.0.0.0 0.255.255.255 any
access-list 101 deny ip 172.16.0.0 0.15.255.255 any
access-list 101 deny ip 127.0.0.0 0.255.255.255 any
access-list 101 deny ip host 255.255.255.255 any
access-list 101 deny ip host 0.0.0.0 any
access-list 101 deny ip any any log


Beste Grüße
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 206439

Url: https://administrator.de/contentid/206439

Printed on: April 25, 2024 at 13:04 o'clock

5 Comments
Latest comment
Goto Top
Member: DerSchorsch
DerSchorsch May 14, 2013 updated at 12:48:19 (UTC)
Goto Top
Hallo,

auch wenn das nicht deine vollständige Konfig ist, wenn du nur diese ACL auf dem externen Interface hast, werden schlicht alle Antworten geblockt.
Nutze die ip inspect Funktion. Damit aktivierst du die stateful packet inspection, gerade in Kombination mit NAT sinnvoll.

in global Config z.B.:
ip inspect name Internet ftp
ip inspect name Internet dns
ip inspect name Internet tcp router-traffic
ip inspect name Internet udp router-traffic
ip inspect name Internet icmp router-traffic


auf dem WAN-Interface
ip inspect Internet out

Gruß,
Schorsch

P.S.
eigentlich hätte das SDM diese auch anlegen müssen.
Member: ozer
ozer May 14, 2013 at 13:15:48 (UTC)
Goto Top
Danke für die Info Schorsch, aber ich habe im globalen teil ja die ip inspect Function. Habe ich nicht erwähnt, hast vollkommen recht.

ip name-server 8.8.8.8
ip name-server 80.69.100.174
ip inspect log drop-pkt
ip inspect name SDM_HIGH appfw SDM_HIGH
ip inspect name SDM_HIGH icmp
ip inspect name SDM_HIGH dns
ip inspect name SDM_HIGH esmtp
ip inspect name SDM_HIGH https
ip inspect name SDM_HIGH imap reset
ip inspect name SDM_HIGH pop3 reset
ip inspect name SDM_HIGH tcp
ip inspect name SDM_HIGH udp
!
appfw policy-name SDM_HIGH
application im aol
service default action reset alarm
service text-chat action reset alarm
server deny name login.oscar.aol.com
server deny name toc.oscar.aol.com
server deny name oam-d09a.blue.aol.com
audit-trail on
application im msn
service default action reset alarm
service text-chat action reset alarm
server deny name messenger.hotmail.com
server deny name gateway.messenger.hotmail.com
server deny name webmessenger.msn.com
audit-trail on
application http
strict-http action reset alarm
port-misuse im action reset alarm
port-misuse p2p action reset alarm
port-misuse tunneling action reset alarm
application im yahoo
service default action reset alarm
service text-chat action reset alarm
server deny name scs.msg.yahoo.com
server deny name scsa.msg.yahoo.com
server deny name scsb.msg.yahoo.com
server deny name scsc.msg.yahoo.com
server deny name scsd.msg.yahoo.com
server deny name cs16.msg.dcn.yahoo.com
server deny name cs19.msg.dcn.yahoo.com
server deny name cs42.msg.dcn.yahoo.com
server deny name cs53.msg.dcn.yahoo.com
server deny name cs54.msg.dcn.yahoo.com
server deny name ads1.vip.scd.yahoo.com
server deny name radio1.launch.vip.dal.yahoo.com
server deny name in1.msg.vip.re2.yahoo.com
server deny name data1.my.vip.sc5.yahoo.com
server deny name address1.pim.vip.mud.yahoo.com
server deny name edit.messenger.yahoo.com
server deny name messenger.yahoo.com
server deny name http.pager.yahoo.com
server deny name privacy.yahoo.com
server deny name csa.yahoo.com
server deny name csb.yahoo.com
server deny name csc.yahoo.com
audit-trail on

und im Interface habe ich dann auch ip inspect SDM_HIGH out eingetragen.
Member: aqui
aqui May 14, 2013 updated at 16:56:06 (UTC)
Goto Top
Das wichtigste hast du uns nicht mitgeteilt nämlich ob die ACL inbound oder outbound am Interface hängt !
Wie man es richtig macht erklärt dir dieses Tutorial:
Cisco 880, 890 und ISR Router Konfiguration mit xDSL, Kabel oder FTTH Anschluss plus VPN und IP-TV
Und so ein Mist wie SDM sollte man besser vergessen. "Real man do CLI..."!
Member: ozer
ozer May 15, 2013 updated at 07:25:29 (UTC)
Goto Top
Hallo aqui,

danke für den Tip, ich schau mal ob da etwas schief läuft.

Bei mir siehts auf dem INterface FE1 (WAN) so aus

ip access-group 101 in
ip nat outside
ip inspect SDM_HIGH out

Scheint aber so korrekt zu sein, oder?
Member: ozer
ozer May 15, 2013 at 10:14:59 (UTC)
Goto Top
Danke euch beiden, für eure super Hilfe.
Aqui dir besonders wegen dem super Tutorial...
GermansolvedQuestionRouters, RoutingNetworks
Hotly discussed
gleixnerdCheck of ZFW Firewallgleixnerd - 5 CommentsjstrickerWireguard VPN on UDM Pro behind Fritzbox - Handshake did not completejstricker - 3 Comments