Configuration d'ACL et d'ACE IPv4-Based sur des Commutateurs ESW2-350G

Objectif

Une liste de contrôle d'accès (ACL) est un liste dans un certain ordre des filtres et des actions. Chaque règle de classification, ainsi que son action, est connue comme élément de contrôle d'accès (ACE). Chaque ACE a de divers groupes du trafic et actions associées. Un ACL peut contenir un ou plusieurs as, qui sont comparés ou appariés contre les paquets entrant à la couche 3. Permettez ou refusez l'action est apparié au filtre. Il peut être défini pour apparier avec des protocoles IP, source et des destinations port pour le TCP ou le trafic UDP, des valeurs d'indicateur des trames de TCP, ICMP et type et code IGMP, des adresses IP de source et de destination (masques y compris), ou des valeurs de priorité DSCP/IP.

Cet article explique comment créer un ACL et ACE IPv4-Based sur des Commutateurs ESW2-350G.

Note: Un port peut être sécurisé avec l'ACL ou être configuré avec une stratégie QoS avancée, mais avec pas chacun des deux. Il peut seulement y avoir un ACL par port, excepté qu'il est possible d'associer un ACL IPv4-based et un ACL IPv6-based avec un port unique. Pour associer plus d'un ACL avec un port, une stratégie avec un ou plusieurs class map doit être utilisée.

Périphériques applicables

• ESW2-350G
• ESW2-350G-DC

Version de logiciel

• 1.3.0.62

Configuration d'ACL IPv4-Based

Étape 1. Ouvrez une session à l'utilitaire de configuration Web et choisissez l'ACL de contrôle d'accès > IPv4-Based. La page d'ACL IPv4-Based s'ouvre :

 

Étape 2. Cliquez sur Add pour ajouter une nouvelle liste d'accès.

 

Étape 3. Écrivez un nom pour la liste d'accès dans la zone d'identification d'ACL.

Étape 4. Cliquez sur Apply qui cause l'ACL IPv4-Based d'être écrit au fichier de configuration en cours.

Étape 5. (facultative) pour accéder à l'ipv4 a basé le Tableau du clic IPv4-Based ACE de table d'ACE.

Configuration IPv4-Based ACE

Pour ajouter ACE à un ACL que les étapes suivantes doivent être suivies :

Étape 1. Employez l'utilitaire de configuration Web pour choisir le contrôle d'accès > les as basés par IPv4-. Les IPv4-Based ACE paginent s'ouvrent : 

Étape 2. Choisissez un ACL de la liste déroulante et cliquez sur Add. La fenêtre de l'ajouter IPv4-based ACE apparaît :

Étape 3. Écrivez la priorité d'ACE dans le champ de priorité. Les valeurs les plus prioritaires sont traitées d'abord. Le plus prioritaire est 1. Il a une plage de 1 à 2147483647.

Étape 4. Cliquez sur la case d'option désirée d'action des options suivantes : 

• Autorisation — Permet les paquets qui apparient les critères d'ACE.

• Refusez — Relâche les paquets qui répondent aux critères d'ACE.

• Arrêt — Relâche les paquets qui répondent aux critères d'ACE et désactive le port d'où les paquets ont été reçus. De tels ports peuvent être réactivés de la page de configurations de port.

Contrôle (facultatif) d'étape 5. la case d'enable pour activer la plage de temps pour ACE dans le domaine de plage de temps.

Note: Une plage de temps doit être créée afin de s'appliquer l'à ACE. Pour configurer une plage de temps référez-vous à la configuration de plage de temps d'article sur des Commutateurs ESW2-350G.

Étape 6. Si vous vérifiiez l'enable dans l'étape 5, choisissez la plage de temps de la liste déroulante de plage de temps à appliquer à ACE.

Étape 7. Cliquez sur Edit pour aller à la page de plage de temps éditer la plage de temps. La fenêtre fermante de dialogue de confirmer apparaît :

Note: Pour configurer une plage de temps référez-vous à la configuration de plage de temps d'article sur des Commutateurs ESW2-350G.

Étape 8. (facultative) cliquent sur OK pour poursuivre à la page de plage de temps.

Étape 9. Protocol l'a utilisé à ACE est configuré pour tous les protocoles de réseau routé afin de filtrer les paquets pendant que les paquets traversent un routeur. Cliquez sur la case d'option désirée de Protocol des options suivantes :

   • Quels — Choisit des protocoles l'uns des IPv4-Based ACE. 

• Choisissez parmi la liste — Choisissez les protocoles l'uns des de la liste déroulante.

• ID de Protocol à apparier — Utilisé pour apparier le protocole avec un ID. La valeur par défaut pour différents protocoles comme le TCP qui est 6, l'UDP qui est 17, et pour l'ICMP qui est 58 et ainsi de suite ou l'utilisateur peut définir n'importe quelle valeur dans elle.

 

Étape 10. Dans le domaine d'adresse IP source, cliquez sur une des options disponibles comme adresse IP source :

• Quels — Cette option s'applique la règle d'accès aux adresses IP l'unes des disponibles dans un segment spécifique de réseau.

• Défini par l'utilisateur — Cette option vous permet d'écrire une adresse IP spécifique.

- Valeur d'adresse IP source — Dans ce domaine, entrez dans l'adresse IP source.

- Masque de masque de source ip — Dans ce domaine, écrivez le masque de masque de l'adresse IP source. Le masque générique vous permet de spécifier à quel hôte de l'adresse IP source cette liste d'accès est appliquée.

Étape 11. Dans le champ IP Address de destination, cliquez sur une des options disponibles comme adresse IP de destination :

• Quels — Cette option s'applique la règle d'accès aux adresses IP l'unes des disponibles dans un segment spécifique de réseau.

• Défini par l'utilisateur — Cette option vous permet d'écrire une adresse IP spécifique pour appliquer la règle d'accès :

– Valeur d'adresse IP de destination — Dans ce domaine, écrivez l'adresse IP de destination.

– Masque de masque IP de destination — Dans ce domaine, écrivez le masque de masque de l'adresse IP de destination. Le masque générique vous permet de spécifier au lequel on applique des hôtes de l'adresse IP de destination cette liste d'accès.

Étape 12. Le champ de port de source est activé seulement quand vous choisissez le TCP ou l'UDP du clic d'étape 5. la case d'option d'une des options disponibles de choisir le port de source :

• Quels — Cette option reçoit n'importe quel port de source.

• Simple — Cette option vous permet d'écrire une valeur de port de source unique.

• Plage — Cette option vous permet d'écrire une plage des ports disponibles de source.

Étape 13. Le champ de destination port est activé seulement quand vous choisissez le TCP ou l'UDP du clic d'étape 5. la case d'option d'une des options disponibles de choisir la destination port :

• Quels — Cette option reçoit n'importe quelle destination port.

• Simple — Cette option vous permet d'écrire une valeur de destination port simple.

• Plage — Cette option vous permet d'écrire une plage des destinations port disponibles.

 

Étape 14. Les champs d'indicateurs de TCP sont activés seulement quand vous choisissez le TCP du clic un d'étape 5. des cases d'option pour chaque indicateur pour déterminer comment filtrer des valeurs d'indicateur de TCP. Ou placez en tant que 1 ou en fonction, supprimé en tant que 0 ou hors fonction, ou ne vous inquiétez pas comme X.

• Urg — Cet indicateur est utilisé pour identifier des données entrantes comme urgentes.

• ACK — Cet indicateur est utilisé pour accuser réception réussie des paquets.

• Psh — Cet indicateur est utilisé pour s'assurer que les données sont accordées la priorité (cette elles méritent) et sont traitées à l'envoi ou à l'extrémité réceptrice.

• Rst — Cet indicateur est utilisé quand un segment arrive qui n'est pas destiné pour la connexion en cours.

• Syn — Cet indicateur est utilisé pour des transmissions de TCP.

• FIN — Cet indicateur est utilisé quand la transmission ou le transfert des données est de finition.

Étape 15. Cliquez sur un type de service qui est le trafic de contrôle d'encombrement, pour lequel l'hôte dégagent en cas d'encombrement.

• Quels — Ce peut être n'importe quel type de service pour des embouteillages.

• DSCP à apparier — Choisissez cette option d'implémenter le Point de code de services différenciés (DSCP) comme type de service. Le DSCP est un mécanisme pour classifier et gérer le trafic réseau. Écrivez la valeur DSCP que vous souhaitez s'appliquer à la règle d'accès.

• Priorité IP à apparier — Pour placer une préférence tapez pour des paquets d'IPv6. Les mots clé associés avec des valeurs de préférence IP sont 0 pour la routine, priorité de 1par, 2 pour immédiat, 3 pour l'éclair, 4 pour l'éclair-dépassement, 5 pour essentiel, 6 pour l'Internet, 7 pour le réseau. Écrivez la valeur que vous souhaitez s'appliquer à la règle d'accès.

 

Étape 16. Les champs d'ICMP sont activés seulement quand vous choisissez l'ICMP de protocole de l'étape 5. Il est utilisé pour envoyer des messages d'erreur quand le service n'est pas disponible ou un hôte ou un routeur ne pourrait pas être atteint. Il est également utilisé pour des messages de requête de relais. Cliquez sur une des cases d'option disponibles pour filtrer des types de message ICMP :

• Quels — Il peut être message d'erreur l'un des ou questionner le message.

• Choisissez parmi la liste — Choisissez les messages permis l'uns des de contrôle de la liste déroulante.

                 • Type ICMP à apparier — L'utilisateur doit écrire une plage entre 0-255 pour apparier les messages de contrôle ICMP.

Étape 17. Le code d'ICMP est activé seulement quand vous choisissez l'ICMP de protocole de l'étape 5. Il est utilisé pour fournir aux informations plus spécifiques des messages de contrôle une valeur. Clic un des options disponibles :

• Quels — Ce peut être n'importe quelle valeur qui apparient le de message de contrôle.

• Défini par l'utilisateur — Écrivez le code d'ICMP que vous souhaitez filtrer. La valeur est définie de la plage entre le 0-255, pour apparier les messages de contrôle.

Étape 18. Les champs IGMP est activés seulement quand vous choisissez le protocole IGMP de l'étape 5. Il gère l'adhésion d'hôte dans des groupes de Protocole IP Multicast sur un segment de réseau. Cliquez sur une des cases d'option disponibles pour filtrer des types de message IGMP :

• Quels — Il peut exécuter des actions l'unes des IGMP.

• Choisissez parmi la liste — Choisissez les protocoles l'uns des de la liste déroulante.

– DVMRP — Il utilise une technique d'inondation de chemin inverse, envoyant une copie d'un paquet reçu par chaque interface excepté celle à laquelle le paquet est arrivé.

– Hôte-requête — Elle envoie périodiquement les messages généraux d'hôte-requête sur chaque réseau relié pour information

– Hôte-réponse — Elle répond à la requête.

– PIM — Il est utilisé entre les routeurs multidiffusion locaux et distants pour diriger le trafic de multidiffusion du serveur multicast vers beaucoup de clients de Multidiffusion.

– Suivi — Il fournit des informations au sujet de joindre et de laisser les groupes de multidiffusion IGMP.

• Type IGMP de correspondance — Il apparie le protocole IGMP avec la source et l'adresse IP et le masque de destination, et également le type IGMP qui a un nombre dans la décimale.

Étape 19. Cliquez sur Apply qui cause l'IPv4-Based ACE d'être écrit au fichier de configuration en cours.

Étape 20. Le Tableau (facultatif) d'ACL du clic IPv4-Based à aller à l'ipv4 a basé la page d'ACL.