Solución de problemas de listas de acceso sobre red privada virtual en routers VPN RV016, RV042, RV042G y RV082

Objetivos

Una lista de control de acceso (ACL) es una colección de condiciones de permiso y denegación. Una ACL especifica a qué usuarios o procesos del sistema se les concede acceso a recursos específicos. Una ACL puede bloquear cualquier intento injustificado de alcanzar los recursos de red. El problema en esta situación puede surgir cuando tiene ACL configuradas en ambos routers, pero uno de los routers no puede diferenciar entre las listas permitidas y denegadas de tráfico permitidas por la ACL. Zenmap, que es una herramienta de código abierto utilizada para verificar el tipo de filtros de paquetes/firewalls activos, se utiliza para probar la configuración.

En este artículo se explica cómo resolver problemas de las ACL permitidas que no funcionan sobre VPN de gateway a gateway entre dos routers VPN.

Dispositivos aplicables

•RV016
•RV042
•RV042G
•RV082

Versión del software

•v4.2.2.08

Configuración de ACL sobre VPN

Paso 1. Inicie sesión en la utilidad de configuración web y elija Firewall > Access Rules. Se abre la página Regla de acceso:

Nota: No se pueden editar las reglas de acceso predeterminadas. Las reglas de acceso mencionadas en la imagen anterior configuradas por el usuario pueden editarse mediante el proceso siguiente.

Paso 2. Haga clic en el botón Agregar para agregar una nueva regla de acceso. La página Reglas de acceso cambia para mostrar las áreas Servicios y Programación. La adición de una regla de acceso se explica en los pasos siguientes.

Paso 3. Elija Denegar en la lista desplegable Acción para denegar el servicio.

Paso 4. Elija el servicio necesario que se aplica a la regla en la lista desplegable Servicio.

Paso 5. (Opcional) Para agregar un servicio que no esté presente en la lista desplegable de servicios, haga clic en Administración de servicios. En Administración de servicios, se puede crear un servicio según sea necesario. Después de crear un servicio, haga clic en Aceptar para guardar la configuración.

Paso 6. Elija Registrar paquetes que coincidan con esta regla de la lista desplegable Registro para sólo los registros que coincidan o No registrar para los registros que no coincidan con la regla de acceso.

Paso 7. Elija un tipo de interfaz de la lista desplegable Interfaz de origen que es el origen de las reglas de acceso. Las opciones disponibles son:

· LAN: elija LAN si la interfaz de origen es la red de área local.

· WAN: elija WAN si la interfaz de origen es el ISP.

· DMZ: elija DMZ si la interfaz de origen es la zona desmilitarizada.

· ANY: elija ANY para convertir la interfaz de origen en cualquiera de las interfaces mencionadas anteriormente.

Paso 8. En la lista desplegable IP de origen, elija las direcciones de origen deseadas que se aplican a la regla de acceso. Las opciones disponibles son:

· Single: elija Single si se trata de una única dirección IP e introduzca la dirección IP.

Rango ·: elija Rango si es un rango de direcciones IP e introduzca la primera y última dirección IP en el rango.

· ANY: elija ANY para aplicar las reglas a todas las direcciones IP de origen.

Paso 9. En la lista desplegable IP de destino, elija las direcciones de destino deseadas que se aplican a la regla de acceso. Las opciones disponibles son:

· Single: elija Single si se trata de una única dirección IP e introduzca la dirección IP.

Rango ·: elija Rango si es un rango de direcciones IP e introduzca la primera y la última dirección IP en el rango.

· ANY: elija ANY para aplicar las reglas a todas las direcciones IP de destino.

Paso 10. Elija un método para definir cuándo están activas las reglas en la lista desplegable Hora. Las fallas son las siguientes:

· Siempre: si elige Siempre en la lista desplegable Hora, las reglas de acceso siempre se aplicarán al tráfico.

· Intervalo: puede elegir un intervalo de tiempo específico en el que las reglas de acceso están activas si selecciona Intervalo en la lista desplegable Hora. Después de especificar el intervalo de tiempo, active las casillas de verificación de los días en los que desea que las reglas de acceso estén activas en el campo Efectivo en.

Paso 11. Haga clic en Guardar para guardar los parámetros.

Paso 12. Repita los pasos 2 a 10 con los campos que coincidan con los mostrados en la imagen respectivamente. Aquí se aplican las reglas de acceso según el cliente. Los primeros 7 están permitiendo algunos servicios; el 8 niega todo el resto del tráfico. Esta configuración también se realiza en el segundo router. Se permite el puerto IPSec 500.

Nota: Realice esto para que ambos routers verifiquen que las reglas de acceso se configuran como se desea.

Router VPN nº 1

Router VPN nº 2

Paso 13. Instale Zenmap(NMAP) desde http://nmap.org/download.html y lance el y en un PC en la LAN 192.168.2.0.

Nota: Esta es la LAN detrás del router con las siete ACL adicionales. La IP de destino (192.168.1.101) es un PC en la LAN de gateway remoto.

Paso 14. Seleccione Quick Scan en el perfil y haga clic en Scan. A través de esto podemos conocer los puertos abiertos y filtrados según las ACL, el resultado mostrado se representa en la imagen anterior. El resultado muestra que estos puertos están cerrados, independientemente de las ACL permitidas que se configuran en el RV0xx # 1. Si intentamos verificar los puertos a la IP LAN (192.168.1.1) del gateway remoto, descubrimos que los puertos 80 y 443 están abiertos (que estaban cerrados al PC 192.168.1.101).

La ACL funciona correctamente después de la eliminación de la 7ª ACL denegada y funciona bien como podemos ver en la salida.