Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

ACL verursacht WAN hänger

Frage Netzwerke Router & Routing

Mitglied: ozer

ozer (Level 1) - Jetzt verbinden

14.05.2013 um 14:06 Uhr, 1597 Aufrufe, 5 Kommentare

Hallo zusammen,

könnt Ihr euch mal bitte diese ACL ansehen. Ist für das WAN Interface eines Cisco 1812.
Lan Ip-Netz ist die 192.168.100.0. (WAN Interface IP Adresse ist xx.xx.xx.170, LAN IP Adresse ist 192.168.100.170)

Sobald ich die ACL dem öffentlichen Interface nicht mehr zuordne klappt der Zugriff auf das Internet.
Die ACL habe ich über das SDM erzeugt.

access-list 101 remark auto generated by SDM firewall configuration
access-list 101 remark SDM_ACL Category=1
access-list 101 permit udp host 80.69.100.174 eq domain host xx.xx.xx.170
access-list 101 permit udp host 8.8.8.8 eq domain host xx.xx.xx.170
access-list 101 permit icmp any host xx.xx.xx.170 echo-reply
access-list 101 permit icmp any host xx.xx.xx.170 time-exceeded
access-list 101 permit icmp any host xx.xx.xx.170 unreachable
access-list 101 deny ip 10.0.0.0 0.255.255.255 any
access-list 101 deny ip 172.16.0.0 0.15.255.255 any
access-list 101 deny ip 127.0.0.0 0.255.255.255 any
access-list 101 deny ip host 255.255.255.255 any
access-list 101 deny ip host 0.0.0.0 any
access-list 101 deny ip any any log


Beste Grüße
Mitglied: DerSchorsch
14.05.2013, aktualisiert um 14:48 Uhr
Hallo,

auch wenn das nicht deine vollständige Konfig ist, wenn du nur diese ACL auf dem externen Interface hast, werden schlicht alle Antworten geblockt.
Nutze die ip inspect Funktion. Damit aktivierst du die stateful packet inspection, gerade in Kombination mit NAT sinnvoll.

in global Config z.B.:
ip inspect name Internet ftp
ip inspect name Internet dns
ip inspect name Internet tcp router-traffic
ip inspect name Internet udp router-traffic
ip inspect name Internet icmp router-traffic



auf dem WAN-Interface
ip inspect Internet out

Gruß,
Schorsch

P.S.
eigentlich hätte das SDM diese auch anlegen müssen.
Bitte warten ..
Mitglied: ozer
14.05.2013 um 15:15 Uhr
Danke für die Info Schorsch, aber ich habe im globalen teil ja die ip inspect Function. Habe ich nicht erwähnt, hast vollkommen recht.

ip name-server 8.8.8.8
ip name-server 80.69.100.174
ip inspect log drop-pkt
ip inspect name SDM_HIGH appfw SDM_HIGH
ip inspect name SDM_HIGH icmp
ip inspect name SDM_HIGH dns
ip inspect name SDM_HIGH esmtp
ip inspect name SDM_HIGH https
ip inspect name SDM_HIGH imap reset
ip inspect name SDM_HIGH pop3 reset
ip inspect name SDM_HIGH tcp
ip inspect name SDM_HIGH udp
!
appfw policy-name SDM_HIGH
application im aol
service default action reset alarm
service text-chat action reset alarm
server deny name login.oscar.aol.com
server deny name toc.oscar.aol.com
server deny name oam-d09a.blue.aol.com
audit-trail on
application im msn
service default action reset alarm
service text-chat action reset alarm
server deny name messenger.hotmail.com
server deny name gateway.messenger.hotmail.com
server deny name webmessenger.msn.com
audit-trail on
application http
strict-http action reset alarm
port-misuse im action reset alarm
port-misuse p2p action reset alarm
port-misuse tunneling action reset alarm
application im yahoo
service default action reset alarm
service text-chat action reset alarm
server deny name scs.msg.yahoo.com
server deny name scsa.msg.yahoo.com
server deny name scsb.msg.yahoo.com
server deny name scsc.msg.yahoo.com
server deny name scsd.msg.yahoo.com
server deny name cs16.msg.dcn.yahoo.com
server deny name cs19.msg.dcn.yahoo.com
server deny name cs42.msg.dcn.yahoo.com
server deny name cs53.msg.dcn.yahoo.com
server deny name cs54.msg.dcn.yahoo.com
server deny name ads1.vip.scd.yahoo.com
server deny name radio1.launch.vip.dal.yahoo.com
server deny name in1.msg.vip.re2.yahoo.com
server deny name data1.my.vip.sc5.yahoo.com
server deny name address1.pim.vip.mud.yahoo.com
server deny name edit.messenger.yahoo.com
server deny name messenger.yahoo.com
server deny name http.pager.yahoo.com
server deny name privacy.yahoo.com
server deny name csa.yahoo.com
server deny name csb.yahoo.com
server deny name csc.yahoo.com
audit-trail on

und im Interface habe ich dann auch ip inspect SDM_HIGH out eingetragen.
Bitte warten ..
Mitglied: aqui
14.05.2013, aktualisiert um 18:56 Uhr
Das wichtigste hast du uns nicht mitgeteilt nämlich ob die ACL inbound oder outbound am Interface hängt !
Wie man es richtig macht erklärt dir dieses Tutorial:
http://www.administrator.de/wissen/konfiguration-cisco-886va-mit-adsl-o ...
Und so ein Mist wie SDM sollte man besser vergessen. "Real man do CLI..."!
Bitte warten ..
Mitglied: ozer
15.05.2013, aktualisiert um 09:25 Uhr
Hallo aqui,

danke für den Tip, ich schau mal ob da etwas schief läuft.

Bei mir siehts auf dem INterface FE1 (WAN) so aus

ip access-group 101 in
ip nat outside
ip inspect SDM_HIGH out

Scheint aber so korrekt zu sein, oder?
Bitte warten ..
Mitglied: ozer
15.05.2013 um 12:14 Uhr
Danke euch beiden, für eure super Hilfe.
Aqui dir besonders wegen dem super Tutorial...
Bitte warten ..
Neuester Wissensbeitrag
Windows 10

Powershell 5 BSOD

(1)

Tipp von agowa338 zum Thema Windows 10 ...

Ähnliche Inhalte
Router & Routing
Welche pfsense Version für Dual-Wan Router mit APU2C4 installieren (5)

Frage von Roland30 zum Thema Router & Routing ...

Router & Routing
InterVlan Routing mit Linksys LRT224 Dual WAN Gigabit VPN Router (1)

Frage von darkliving zum Thema Router & Routing ...

LAN, WAN, Wireless
Software für Backup oder Datensynchronisation über WAN gesucht (4)

Frage von Rubiks zum Thema LAN, WAN, Wireless ...

Router & Routing
gelöst Proxmox WAN IPs (13)

Frage von sebastian2608 zum Thema Router & Routing ...

Heiß diskutierte Inhalte
LAN, WAN, Wireless
gelöst Server erkennt Client nicht wenn er ausserhalb des DHCP Pools liegt (28)

Frage von Mar-west zum Thema LAN, WAN, Wireless ...

Outlook & Mail
Outlook 2010 findet ost datei nicht (18)

Frage von Floh21 zum Thema Outlook & Mail ...

Windows Server
Server 2008R2 startet nicht mehr (Bad Patch 0xa) (18)

Frage von Haures zum Thema Windows Server ...