Konfigurationsbeispiel für die IPv6-Verkehrsfilter-Zugriffsliste

Einleitung

Dieses Dokument enthält eine Beispielkonfiguration für IPv6-Zugriffslisten. In dem in diesem Dokument beschriebenen Beispiel werden die Router R1 und R2 mit einem IPv6-Adressierungsschema konfiguriert und über eine serielle Verbindung verbunden. Das auf den beiden Routern aktivierte Routing-Protokoll ist IPv6 OSPF, und die auf den beiden Routern (R1 und R2) konfigurierten Loopback-Adressen werden einander im Bereich 0 mit dem folgenden Befehl mitgeteilt: ipv6 ospf process-id area-id [instance instance-id] . In diesem Beispiel muss Telnet-Datenverkehr abgelehnt werden, der von der Loopback-0-Schnittstelle von Router R2 stammt und die Loopback-Schnittstelle 4 von Router R1 erreicht.

In diesem Konfigurationsbeispiel wird der Befehl ipv6 access-list-name verwendet, um eine IPv6-Zugriffsliste (mit dem Namen DENY_TELNET_Lo4) auf Router R1 zu erstellen. Eine deny-Anweisung deny tcp host 400A:0:400C::1 host 1001:ABC:20 11:7::1 eq Telnet wird von einer permit-Anweisung permit ipv6 any any gefolgt .

Um einer Schnittstelle eine IPv6-ACL zuzuweisen, verwenden Sie den folgenden Befehl im Schnittstellenkonfigurationsmodus: ipv6 traffic-filter access-list-name {in | Aus}

Voraussetzungen

Anforderungen

Stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind, bevor Sie diese Konfiguration ausprobieren:

• Kenntnisse des IPv6-Adressierungsschemas

• Kenntnisse bei der Implementierung von OSPF für IPv6

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf dem Cisco Router der Serie 7200 mit Version 15.1 der Cisco IOS-Software (für die Router R1- und R2-Konfigurationen).

Konventionen

Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

Konfigurieren

In diesem Abschnitt erfahren Sie, wie Sie die in diesem Dokument beschriebenen Funktionen konfigurieren können.

Hinweis: Verwenden Sie das Tool für die Suche nach Befehlen (nur für registrierte Kunden), um weitere Informationen zu den in diesem Dokument verwendeten Befehlen zu erhalten.

Netzwerkdiagramm

In diesem Dokument wird die folgende Netzwerkeinrichtung verwendet:

Konfigurationen

In diesem Dokument werden folgende Konfigurationen verwendet:

• Router R1

• Router R2

R1#show running-config

version 15.0
!
hostname R1
ip source-route
ip cef
!
no ip domain lookup
ipv6 unicast-routing

!--- Enables the forwarding of IPv6 packets.

ipv6 cef

interface Loopback1
 no ip address
 ipv6 address 100A:0:100C::1/64
 ipv6 enable
 ipv6 ospf 10 area 0

!--- Enables OSPFv3 on the interface and associates


!--- the interface looback1 to area 0.

 !
!
interface Loopback2
 no ip address
 ipv6 address 200A:0:200C::1/64
 ipv6 ospf 10 area 0
 !
!
interface Loopback3
 no ip address
 ipv6 address 300A:0:300C::1/64
 ipv6 enable
 ipv6 ospf 10 area 0
 !
!
interface Loopback4
 no ip address
 ipv6 address 400A:0:400C::1/64
 ipv6 enable
 ipv6 ospf 10 area 0
 !
interface Serial1/0
 no ip address
 ipv6 address AB01:2011:7:100::/64 eui-64
 ipv6 enable
 ipv6 ospf network point-to-point

!--- Sets the OSPFv3 network type as point-to-point.

 ipv6 ospf 10 area 0
 ipv6 traffic-filter DENY_TELNET_Lo4 in

!--- Filters the traffic based on access list.

 serial restart-delay 0
 clock rate 64000
 !
ipv6 router ospf 10
 router-id 1.1.1.1
 log-adjacency-changes
!
ipv6 access-list DENY_TELNET_Lo4
 sequence 20 deny tcp host 400A:0:400C::1 host 1001:ABC:2011:7::1 eq telnet

!--- Denies telnet access to Lo4 from Lo1 of router R2.

 permit ipv6 any any
!
end

R2#show running-config

version 15.0
hostname R2
ip source-route
ip cef
!
no ip domain lookup
ipv6 unicast-routing
ipv6 cef
!
interface Loopback0
 no ip address
 ipv6 address 1001:ABC:2011:7::1/64
 ipv6 enable
 ipv6 ospf 10 area 0
 !
!
interface Serial1/0
 no ip address
 ipv6 address AB01:2011:7:100::/64 eui-64
 ipv6 enable
 ipv6 ospf network point-to-point
 ipv6 ospf 10 area 0
 serial restart-delay 0
 !
ipv6 router ospf 10
 router-id 2.2.2.2
 log-adjacency-changes
!
end

Überprüfung

Verwenden Sie den Befehl ping, um die Konfiguration zu überprüfen.

Auf Router R2

Diese Beispielausgabe zeigt, dass Router R2 die Loopback-Schnittstelle von Router R1 erreichen kann:

R2#ping ipv6 400A:0:400C::1 source lo0

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 400A:0:400C::1, timeout is 2 seconds:
Packet sent with a source address of 1001:ABC:2011:7::1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 20/32/44 ms

Testen Sie die Telent-Loopback-4-Schnittstelle von Router R1 über die Loopback-0-Schnittstelle von Router R2.

R2#telnet 400A:0:400C::1 /source-interface lo0
Trying 400A:0:400C::1, 23 ...
% Connection refused by remote host

Die obige Ausgabe bestätigt, dass das Telnet vom Remote-Host (d. h. vom Router R1) abgelehnt wird.

Verwenden Sie den Befehl show ipv6 access-list DENY_TELNET_Lo4, um die in Router R1 erstellte Zugriffsliste wie in diesem Beispiel zu überprüfen:

Auf Router R1

R1#
show ipv6 access-list DENY_TELNET_Lo4

IPv6 access list DENY_TELNET_Lo4
    deny tcp host 400A:0:400C::1 host 1001:ABC:2011:7::1 eq telnet sequence 20    
    permit ipv6 any any (82 matches) sequence 30

Das Output Interpreter-Tool (OIT) (nur registrierte Kunden) unterstützt bestimmte show-Befehle. Verwenden Sie das OIT, um eine Analyse der show-Befehlsausgabe anzuzeigen.

Fehlerbehebung

Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.

Zugehörige Informationen

• IPv6-Konfigurationsleitfaden, Cisco IOS Release 15.1 M&T
• IPv6-Technologiesupport
• Technischer Support und Dokumentation für Cisco Systeme