Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

gelöst Problem mit Cisco Extended ACL

Mitglied: 1x1speed

1x1speed (Level 1) - Jetzt verbinden

25.09.2011 um 23:33 Uhr, 3763 Aufrufe, 5 Kommentare

Hallo,

Komme momentan mit einer ACL nicht weiter. Die Konfig schaut wie folgt aus:

Ein Cisco 2851er Router (IP: 192.168.100.1) baut für zwei VPN Gruppen die Verbindung per Cisco VPN-Client auf. Die eine Gruppe bekommt die IP 10.10.100.0/24 zugewiesen und darf in jedes Vlan hinter dem Router die zweite Gruppe bekommt die 10.10.120.0/24 und darf nur in ein bestimmtes Vlan. Die Beschränkung habe ich über eine OUT ACL gelöst, die auf dem Gi0/1 liegt welches zu dem Layer3 Switch verbindet der die internen Vlans routet. Die ACL schaut wie folgt aus:

ip access-list extended ACLVPNGROUPS
permit ip 10.10.100.0 0.0.0.255 any
permit ip 10.10.120.0 0.0.0.255 192.168.200.0 0.0.0.255
permit ip 10.10.120.0 0.0.0.255 host 192.168.100.1
deny ip 10.10.120.0 0.0.0.255 any
permit ip any any

int gi0/1
ip access-group ACLVPNGROUPS out

Das Problem ist nun das, das der Client mit der 10.10.120.0/24 eine Ressource im Vlan 192.168.200.0/24 per Ping erreicht, jedoch zb. das Webinterface der Ressource nicht erreichbar ist. ein

sh ip access-list

zeigt mir, das beim Aufruf des Webinterfaces bei "deny ip 10.10.120.0 0.0.0.255" any die matches höher zählen. Sollte aber nicht "permit ip 10.10.120.0 0.0.0.255 192.168.200.0 0.0.0.255" alles für das Vlan durchlassen?

Hat jemand eine Idee!?
Mitglied: brammer
26.09.2011 um 08:13 Uhr
Hallo,

die ACL stimmt schon mal.
Blockst du an irgendeiner Stelle Ports?

Was Passiert wenn du die Maschine im 192.168.0.0 /24 scannst auf offene Ports?
Ist auf der Maschine eventuell eine Firewall aktiv?


brammer
Bitte warten ..
Mitglied: 1x1speed
26.09.2011 um 08:29 Uhr
Servus Brammer,

danke für deine Antwort.

Also auf dem Vlan 192.168.200.0/24 is noch ne out acl drauf.

ip access-list ACLVLAN200
permit tcp 192.168.200.0 0.0.0.255 any www
permit udp 192.168.200.0 0.0.0.255 any domain
permit icmp 192.168.200.0 0.0.0.255 any
deny ip any any
deny tcp any any
deny udp any any

int vlan 200
ip access-group ACLVLAN200 out


Jedoch kann ich netzintern den Host 192.168.200.10 über HTTP aus jedem anderen Vlan erreichen.
Wenn ich die ACLVPNGROUPS runter nehme gehts komischerweise auch über den IPSec Clinent mit VPN-Gruppe 2
Bitte warten ..
Mitglied: brammer
26.09.2011 um 09:41 Uhr
Hallo,

die meisten Webinterfaces arbeiten mit https.

Wenn dem so ist musst du noch https (443) freigeben, www beinhaltet nur http also Port 80.

brammer
Bitte warten ..
Mitglied: aqui
28.09.2011 um 12:23 Uhr
Was noch sein kann ist das die Webseite Inhalte nachläd die nicht in dem IP Netz des Servers liegen. Dann schlägt natürlich auch die ACL zu !
deny ip 10.10.120.0 0.0.0.255 any
und
permit ip any any
Sind übrigens überflüssiger Ballast in der ACL (letzterer sogar gefährlich). Das letzte Statement der ACL ist immer ein deny any any so das du dir die o.a. Statements sinnvollerweise sparen kannst !
Gilt auch für die überflüssigen deny Statements an der VLAN 200 ACL.

Falls die ACL denn nun mit https funktioniert bitte dann auch
https://www.administrator.de/index.php?faq=32
nicht vergessen.
Bitte warten ..
Mitglied: 1x1speed
28.09.2011 um 13:48 Uhr
Vielen Dank für eure Beiträge,

ich hab das alles mal ohne ACL geprüft und ein Wireshark Protokoll erstellt. Das Modul hat nur eine HTTP Verbindung und gibt nur nur eigene Inhalte von der IP 192.168.200.10 heraus.

Nachdem ich die ACLs unverändert wie oben wieder in die Config eingetragen habe konnten sich die User der Gruppe 2 auf das Webinterface verbinden.
Eine logische Erklärung hab ich zwar nich, aber zumindest gehts nun wieder.

@aqui: die deny Statements hab ich dann auch gleich weggelassen , danke nochmal!
Bitte warten ..
Ähnliche Inhalte
Switche und Hubs
Cisco ACL Übungen Erklärung
Frage von Luzifer696Switche und Hubs3 Kommentare

Hallo, Bin derzeit in der Schule und machen dort gerade Cisco Router und Switches durch. Ich habe am MI ...

Router & Routing
Cisco SG300: ACLs einrichten
gelöst Frage von caspi-pirnaRouter & Routing3 Kommentare

Hallo, ich habe einen Cisco SG300-10- Switch, welchen ich im L3-Routing-Modus betreibe und div. VLANs angelegt. Aktuell plane ich ...

Netzwerkmanagement

Cisco Switch - Extended VLANs konfigurieren

Frage von kevischeNetzwerkmanagement3 Kommentare

Hallo, ich habe einen Cisco-Switch ST-3750X auf dem ich VLANs im Extended-Bereich konfigurieren möchte. Wenn ich z.B. VLAN 2000 ...

Windows 7

Domäne: UAC, ACL . hässliches Problem ?

gelöst Frage von FriesimaWindows 76 Kommentare

Also seit einiger Zeit habe fällt mir beim setzen von NTFS-Berechtigungen (W2k8R2 und W7) folgendes auf: wenn ich irgendwo ...

Neue Wissensbeiträge
Windows 10

USB Maus und Tastatur versagen Dienst unter Windows 10

Erfahrungsbericht von hardykopff vor 5 StundenWindows 103 Kommentare

Da steht man ziemlich dumm da, wenn der PC sich wegen fehlender USB Tastatur und Maus nicht bedienen lässt. ...

Administrator.de Feedback
Update der Seite: Alles zentriert
Information von Frank vor 8 StundenAdministrator.de Feedback10 Kommentare

Hallo User, die größte Änderung von Release 5.8 ist das Zentrieren der Webseite (auf großen Bildschirmen) und ein "Welcome"-Teaser ...

Humor (lol)

WhatsApp-Nachrichten endlich auch per Bluetooth versendbar

Information von BassFishFox vor 1 TagHumor (lol)4 Kommentare

Genau darauf habe ich gewartet! ;-) Der beliebte Messaging-Dienst WhatsApp erhält eine praktische neue Funktion: Ab dem nächsten Update ...

Google Android

Googles "Android Enterprise Recommended" für Unternehmen

Information von kgborn vor 1 TagGoogle Android3 Kommentare

Hier eine Information, die für Administratoren und Verantwortliche in Unternehmen, die für die Beschaffung und das Rollout von Android-Geräten ...

Heiß diskutierte Inhalte
Server-Hardware
Welche Rolle spielt Design bei Enterprise IT Hardware?
Frage von ApolloXServer-Hardware17 Kommentare

Ich arbeite für einen internationalen Elektronikhersteller in der Forschung und meine Aufgabe ist es, Feedback von Nutzern in Hinsicht ...

Windows Netzwerk
WSUS4 und Windows 10 Updates automatisch installieren
Frage von sammy65Windows Netzwerk15 Kommentare

Hallo miteinander, ich habe mit einen neuen WSUS Server aufgesetzt Server 2016 darauf einen aktuellen WSUS. Grund, wir stellen ...

Speicherkarten
Vergessliche USB-Sticks?
Frage von hanheikSpeicherkarten14 Kommentare

Ich habe in den letzten Tagen 500 USB-Sticks mit Bilddateien bespielt. Obwohl ich die Dateien mit größter Sorgfalt kopiert ...

Switche und Hubs
Cisco SG350X-48 AdminIP in anderes VLAN
Frage von lcer00Switche und Hubs14 Kommentare

Hallo zusammen, ich habe ein Problem mir einem Cisco SG350X-48 bei der Erstinstallation wurde eine IP 192.168.0.254 (Default VLAN ...