Troubleshooting de Listas de Acesso em Interfaces de Discagem

Introduction

Este documento contém informações sobre como solucionar problemas de listas de acesso em interfaces de discagem.

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

As informações deste documento se baseiam nos roteadores Cisco 2500 e na versão 12.0.5.T do software Cisco IOS®.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Dicas de solução de problemas

• Se a lista de acesso não funcionar corretamente, tente aplicar a lista diretamente à interface, por exemplo:

  interface async 1
  ip access-group 101 in|out

  Se a lógica não funcionar aplicada diretamente à interface, ela não funcionará transmitida do servidor. O comando show ip interface [name] pode ser usado para ver se a lista de acesso está na interface. A saída varia de acordo com a forma como o comando access-list é aplicado, mas pode incluir:

  Outgoing access list is not set
  Inbound access list is 101
  
  Outgoing access list is not set
  Inbound access list is 101, default is not set
  
  Outgoing access list is Async1#1, default is not set
  Inbound access list is Async1#0, default is not set

• Algumas depurações de lista de acesso podem ser feitas com a remoção temporária do cache de rota da interface:

  interface async 1
  no ip route-cache

  e, em seguida, enquanto estiver no modo de ativação, digite:

  debug ip packet access-list #

  Com o comando terminal monitor ativado, geralmente envia saída para a tela para acertos:

  ICMP: dst (15.15.15.15) administratively prohibited unreachable sent to 1.1.1.2

• Você também pode fazer o show ip access-list 101, que mostra incrementos em acertos. O parâmetro de log também pode ser adicionado ao final do comando access-list para fazer com que o roteador mostre negações:

  access-list 101 permit icmp 1.1.1.0 0.0.0.255 9.9.9.0 0.0.0.255 log

• Se você estiver satisfeito que a lógica funciona quando aplicada diretamente à interface, remova a lista de acesso da interface, adicione os comandos aaa authorization network default tacacs|radius, debug aaa autor (e o comando debug aaa per-user se você usar listas de controle de acesso por usuário) com o comando terminal monitor ativado e observe a lista de acesso enviada.

  Apenas para RADIUS: Se o servidor RADIUS não permitir que o atributo 11 (Filter-id) seja especificado como #.in ou #.out, o padrão é out. Por exemplo, se o servidor enviar o atributo 111, isso é presumido pelo roteador como "111.out".

• Mostrar o conteúdo de uma lista de acesso:

  Para um tipo de lista que não seja por usuário, use o comando show ip access-list 101 para exibir o conteúdo da lista de acesso:

  Extended IP access list 101
  deny tcp any any (1649 matches)
  deny udp any any (35 matches)
  deny icmp any any (36 matches)

  Para um tipo de lista por usuário, use o comando show ip access-lists ou o comando show ip access-list | por usuário ou show ip access-list Async1#1:

  Extended IP access list Async1#1 (per-user)
  deny icmp host 171.68.118.244 host 9.9.9.10
  deny ip host 171.68.118.244 host 9.9.9.9
  permit ip host 171.68.118.244 host 9.9.9.10
  permit icmp host 171.68.118.244 host 9.9.9.9

• Se toda a depuração parecer boa, mas o comando access-list não funciona como esperado:

  • Se muito pouco estiver bloqueado, tente alterar a lista de acesso para deny ip any any. Se isso funcionar, mas o anterior não, o problema está na lógica da lista.

  • Se muito estiver bloqueado, tente alterar a lista de acesso para permitir ip any any. Se isso funcionar, mas o anterior não, o problema está na lógica da lista.

Informações Relacionadas

• Suporte TACACS/TACACS+
• Suporte RADIUS
• Solicitações de comentários
• Suporte Técnico e Documentação - Cisco Systems