Configurer la liste de contrôle d'accès MAC, IPv4 et IPv6 sur un point d'accès sans fil

Objectif

Une liste de contrôle d’accès (ACL) est une liste de filtres de trafic réseau et d’actions corrélées utilisées pour améliorer la sécurité. Il bloque les utilisateurs non autorisés et permet aux utilisateurs autorisés d'accéder à des ressources spécifiques. Une liste de contrôle d’accès contient les hôtes auxquels l’accès au périphérique réseau est autorisé ou refusé. Les listes de contrôle d’accès peuvent être définies de deux manières : par adresse IPv4 ou par adresse IPv6.

Cet article vous explique comment créer une liste de contrôle d'accès et configurer des listes de contrôle d'accès IPv4, IPv6 et MAC (Media Access Control) sur votre point d'accès sans fil (WAP) pour améliorer la sécurité du réseau.

Périphériques pertinents

• Gamme WAP100
• Gamme WAP300
• Gamme WAP500

Version du logiciel

• 1.0.6.2 - WAP121, WAP321
• 1.2.0.2 - WAP371, WAP551, WAP561
• 1.0.1.4 - WAP131, WAP351
• 1.0.0.16 - WAP150, WAP361

Créer une ACL

Note: Les images utilisées pour cette configuration proviennent de WAP150.

Étape 1. Connectez-vous à l'utilitaire Web du point d'accès et choisissez ACL > ACL Rule.

Note: Pour WAP121, WAP321, WAP371, WAP551 et WAP561 : Connectez-vous à l'utilitaire Web du point d'accès et choisissez Client QoS > ACL.

Étape 2. Une fois la page Configuration de la liste de contrôle d'accès ouverte, saisissez le nom de la liste de contrôle d'accès dans le champ Nom de la liste de contrôle d'accès.

Étape 3. Sélectionnez un type de liste de contrôle d'accès dans la liste déroulante Type de liste de contrôle d'accès.

• IPv4 : adresse 32 bits (4 octets).
• IPv6 : successeur d'IPv4, se compose d'une adresse de 128 bits (8 octets).
• MAC : adresse MAC est l'adresse unique attribuée à une interface réseau.

Étape 4. Cliquez sur le bouton Add ACL.

Si vous avez choisi MAC, passez à Configurer une liste de contrôle d'accès basée sur MAC.

Si vous avez choisi IPv4, passez à Configurer une liste de contrôle d'accès basée sur IPv4.

Si vous avez choisi IPv6, passez à Configurer une liste de contrôle d'accès basée sur IPv6.

Vous devez maintenant avoir créé une liste de contrôle d’accès.

Configurer une liste de contrôle d’accès basée sur MAC

Étape 1. Choisissez la liste de contrôle d'accès dans la liste déroulante Nom de la liste de contrôle d'accès - Type de liste de contrôle d'accès à laquelle vous souhaitez ajouter des règles.

Note: Dans l’image ci-dessous, l’adresse MAC ACL1 a été choisie comme exemple.

Étape 2. Si une nouvelle règle doit être configurée pour la liste de contrôle d'accès choisie, sélectionnez Nouvelle règle dans la liste déroulante Règle. Sinon, choisissez l'une des règles actuelles dans la liste déroulante Règle.

Remarque : un maximum de 10 règles peuvent être créées pour une seule liste de contrôle d'accès.

Étape 3. Choisissez l'action de la règle ACL dans la liste déroulante Action.

Remarque : dans cet exemple, une instruction Deny est créée.

• Deny : bloque tout le trafic qui satisfait aux critères de la règle pour entrer ou sortir du WAP. Comme il existe une règle implicite de refus total à la fin de chaque liste de contrôle d’accès, le trafic qui n’est pas explicitement autorisé est abandonné.
• Permit : permet à tout le trafic qui satisfait aux critères de la règle d'entrer ou de sortir du WAP. Le trafic qui ne répond pas aux critères est abandonné.

Note: Les étapes 4 à 11 sont facultatives. Les filtres cochés sont activés. Décochez la case du filtre que vous ne souhaitez pas qu'il s'applique à cette règle spécifique.

Étape 4. Cochez la case Correspondance de chaque paquet pour qu'elle corresponde à la règle de chaque trame ou paquet, quel que soit son contenu. Décochez la case pour configurer l'un des critères correspondants supplémentaires.

Conseil : Si Correspondance est déjà cochée, passez à l'étape 12.

Étape 5. Dans la zone EtherType, sélectionnez une case d'option pour comparer les critères correspondants à la valeur de l'en-tête d'une trame Ethernet. Vous pouvez choisir l'une des options suivantes ou choisir Any :

• Select From List : sélectionnez un protocole dans la liste déroulante. La liste comporte les options suivantes : appletalk, arp, IPv4, IPv6, ipx, netbios, pppoe.
• Match to Value : pour l'identificateur de protocole personnalisé, saisissez l'identificateur compris entre 0600 et FFFF.

Étape 6. Dans la zone Classe de service, sélectionnez une case d'option pour entrer la priorité utilisateur 802.1p à comparer à une trame Ethernet. Vous pouvez choisir une priorité Any ou User Defined. Entrez la priorité comprise entre 0 et 7 dans le champ Défini par l'utilisateur.

Étape 7. Dans la zone MAC source, sélectionnez une case d'option pour comparer l'adresse MAC source à une trame Ethernet. Vous pouvez choisir Any ou choisir User Defined et saisir l'adresse MAC source dans le champ fourni.

Étape 8. Entrez le masque d'adresse MAC source dans le champ Masque MAC source qui spécifie les bits de l'adresse MAC source à comparer à une trame Ethernet.

Note: Si le masque MAC utilise un bit 0, l’adresse est acceptée et si elle utilise un bit 1, l’adresse est ignorée.

Étape 9. Dans la zone MAC de destination, sélectionnez une case d'option pour comparer l'adresse MAC de destination à une trame Ethernet. Vous pouvez choisir Anyor (Tous), Défini par l'utilisateur, puis saisir l'adresse MAC de destination dans le champ prévu à cet effet.

Étape 10. Entrez le masque d'adresse MAC de destination dans le champ Masque MAC de destination qui spécifie les bits de l'adresse MAC de destination à comparer à une trame Ethernet.

Note: Si le masque MAC utilise un bit 0, l’adresse est acceptée et si elle utilise un bit 1, l’adresse est ignorée.

Étape 11. Dans la zone ID VLAN, sélectionnez une case d'option pour comparer l'ID VLAN à une trame Ethernet. Saisissez l'ID de VLAN compris entre 0 et 4095 dans le champ fourni.

Étape 12. Click Save.

Étape 13. (Facultatif) Pour supprimer la liste de contrôle d'accès configurée, cochez la case Supprimer la liste de contrôle d'accès, puis cliquez sur Enregistrer.

Vous devez maintenant avoir correctement configuré la liste de contrôle d'accès MAC sur votre WAP.

Configurer une liste de contrôle d'accès IPv4

Étape 1. Dans la zone Configuration de la règle ACL, configurez les paramètres suivants :

ACL Name - ACL Type(Nom de la liste de contrôle d'accès - Type de liste de contrôle d'accès) : sélectionnez la liste de contrôle d'accès à configurer avec la nouvelle règle.

Note: Dans l'image ci-dessous, IPv4_ACL-IPv4 a été choisi comme exemple.

Étape 2. Si une nouvelle règle doit être configurée pour la liste de contrôle d'accès choisie, sélectionnez Nouvelle règle dans la liste déroulante Règle. Sinon, choisissez l'une des règles actuelles dans la liste déroulante Règle.

Remarque : un maximum de 10 règles peuvent être créées pour une seule liste de contrôle d'accès.

Étape 3. Choisissez l'action de la règle ACL dans la liste déroulante Action.

Remarque : dans cet exemple, une instruction Permit est créée.

• Deny : bloque tout le trafic qui satisfait aux critères de la règle pour entrer ou sortir du WAP. Comme il existe une règle implicite de refus total à la fin de chaque liste de contrôle d’accès, le trafic qui n’est pas explicitement autorisé est abandonné.
• Permit : permet à tout le trafic qui satisfait aux critères de la règle d'entrer ou de sortir du WAP. Le trafic qui ne répond pas aux critères est abandonné.

Note: Les étapes 4 à 9 sont facultatives. Les filtres cochés sont activés. Décochez la case du filtre si vous ne voulez pas qu'il s'applique à cette règle spécifique.

Étape 4. Cochez la case Correspondance de chaque paquet pour qu'elle corresponde à la règle de chaque trame ou paquet, quel que soit son contenu. Décochez la case pour configurer l'un des critères de correspondance supplémentaires.

Conseil : Correspondance Chaque paquet est activé par défaut. Si vous souhaitez conserver ce paramètre, passez à l'étape 11.

Étape 5. Dans la zone Protocole, sélectionnez une case d'option pour comparer les critères correspondants à la valeur de l'en-tête d'une trame Ethernet. Vous pouvez choisir N'importe lequel ou sélectionner dans la liste déroulante

• Select From List : choisissez l'un des protocoles suivants :

Étape 6. Dans la zone IP source, sélectionnez une case d'option pour inclure l'adresse IP de la source dans la condition de correspondance. Vous pouvez choisir Any ou User Defined, puis entrer l'adresse IP et le masque générique de la source dans les champs respectifs.

• Source IP Address : saisissez une adresse IP pour appliquer ce critère.
• Wild Card Mask : saisissez le masque générique de l'adresse IP de destination. Le masque générique détermine quels bits sont utilisés et quels bits sont ignorés. Un masque générique de 255.255.255.255 indique qu’aucun bit n’est important. Un caractère générique de 0.0.0.0 indique que tous les bits sont importants. Ce champ est obligatoire lorsque l'adresse IP source est sélectionnée.

Note: Un masque générique est essentiellement l’inverse d’un masque de sous-réseau. Par exemple, pour faire correspondre les critères à une adresse hôte unique, utilisez un masque générique de 0.0.0.0. Pour faire correspondre les critères à un sous-réseau 24 bits (par exemple, 192.168.10.0/24), utilisez un masque générique de 0.0.0.255.

Étape 7. Dans la zone Port source, sélectionnez une case d'option pour inclure un port source dans la condition de correspondance. Vous pouvez choisir Anyto match sur n'importe quel port source ou choisir les options suivantes :

• Select From List : sélectionnez un port source dans la liste déroulante Select From List. Les options sont les suivantes :

• Match to Port : saisissez le numéro de port qui ne figure pas dans la liste. Les numéros de port vont de 0 à 65535 dans le champ Correspondance au port pour les ports source non répertoriés. La plage comprend trois types de ports différents. Les plages sont décrites comme suit :

• Mask : saisissez le masque de port. Le masque détermine quels bits sont utilisés et quels bits sont ignorés. Seul le chiffre hexadécimal (0 - 0xFFFF) est autorisé. 0 signifie que le bit est important et 1 signifie que vous devez ignorer ce bit.

Étape 8. Dans la zone Adresse IP de destination, sélectionnez une case d'option pour inclure l'adresse IP de la destination dans la condition de correspondance. Vous pouvez choisir Any ou User Defined, puis entrer l'adresse IP et le masque générique de la destination dans les champs respectifs.

• Destination IP Address : saisissez une adresse IP pour appliquer ce critère.
• Wild Card Mask : saisissez le masque générique de l'adresse IP de destination. Le masque générique détermine quels bits sont utilisés et quels bits sont ignorés. Un masque générique de 255.255.255.255 indique qu’aucun bit n’est important. Un caractère générique de 0.0.0.0 indique que tous les bits sont importants. Ce champ est obligatoire lorsque l'adresse IP de destination est sélectionnée.

Note: Un masque générique est essentiellement l’inverse d’un masque de sous-réseau. Par exemple, pour faire correspondre les critères à une adresse hôte unique, utilisez un masque générique de 0.0.0.0. Pour faire correspondre les critères à un sous-réseau 24 bits (par exemple, 192.168.10.0/24), utilisez un masque générique de 0.0.0.255.

Étape 9. Dans la zone Port de destination, sélectionnez une case d'option pour inclure un port de destination dans la condition de correspondance. Vous pouvez choisir N'importe quel port de destination ou choisir les options suivantes :

• Select From List : sélectionnez un port de destination dans la liste déroulante. Les options sont les suivantes :

• Match to Port : saisissez le numéro de port qui ne figure pas dans la liste. Les numéros de port vont de 0 à 65535 dans le champ Correspondance au port pour les ports source non répertoriés. La plage comprend trois types de ports différents. Les plages sont décrites comme suit :

• Mask : saisissez le masque de port. Le masque détermine quels bits sont utilisés et quels bits sont ignorés. Seul le chiffre hexadécimal (0-0xFFFF) est autorisé. 0 signifie que le bit est important et 1 signifie que vous devez ignorer ce bit.

• IP DSCP Select From List : fait correspondre les paquets en fonction de leurs valeurs de DSCP (Differentiated Services Code Point), de classe de service (CS) ou de EF (Expeded Forwarding).
• IP DSCP Match to Value : fait correspondre les paquets en fonction d'une valeur DSCP personnalisée. Si cette option est sélectionnée, saisissez une valeur comprise entre 0 et 63 dans ce champ.
• IP Precedence : fait correspondre les paquets en fonction de leur valeur de priorité IP. Si cette option est sélectionnée, saisissez une valeur de priorité IP comprise entre 0 et 7.
• IP TOS Bits : spécifie une valeur pour utiliser les bits TOS des paquets dans l'en-tête IP comme critères de correspondance.
• Le champ TOS IP d'un paquet est défini comme les huit bits de l'octet de type de service dans l'en-tête IP. La valeur des bits IP TOS est un nombre hexadécimal à deux chiffres compris entre 00 et ff. Les trois bits d’ordre haut représentent la valeur de priorité IP. Les six bits d’ordre haut représentent la valeur DSCP IP.
• IP TOS Mask : saisissez une valeur de masque TOS IP pour identifier les positions de bits dans la valeur des bits TOS IP qui sont utilisés pour la comparaison avec le champ TOS IP d'un paquet.
• La valeur du masque TOS IP est un nombre hexadécimal à deux chiffres compris entre 00 et FF, représentant un masque inversé (c'est-à-dire un masque générique). Les bits à valeur nulle du masque TOS IP indiquent les positions de bits dans la valeur des bits TOS IP qui sont utilisés pour la comparaison avec le champ TOS IP d'un paquet. Par exemple, pour rechercher une valeur TOS IP dont les bits 7 et 5 sont définis et le bit 1 effacé, où le bit 7 est le plus significatif, utilisez une valeur de bits TOS IP de 0 et un masque TOS IP de 0.

Configurer une liste de contrôle d'accès IPv6

• Deny : bloque tout le trafic qui satisfait aux critères de la règle pour entrer ou sortir du WAP. Comme il existe une règle implicite de refus total à la fin de chaque liste de contrôle d’accès, le trafic qui n’est pas explicitement autorisé est abandonné.
• Permit : permet à tout le trafic qui satisfait aux critères de la règle d'entrer ou de sortir du WAP. Le trafic qui ne répond pas aux critères est abandonné.

• Select From List : choisissez l'un des protocoles suivants :

• Match to Value : saisissez un ID de protocole IANA standard de 0 à 255. Choisissez cette méthode pour identifier un protocole non répertorié par nom dans la liste Sélectionner à partir.

• Source IPv6 Address : saisissez une adresse IPv6 pour appliquer ce critère.
• Source IPv6 Prefix Length : saisissez la longueur de préfixe de l'adresse IPv6 source.

• Select From List : sélectionnez un port source dans la liste déroulante Select From List. Les options sont les suivantes :

• Match to Port : saisissez le numéro de port qui ne figure pas dans la liste. Les numéros de port vont de 0 à 65535 dans le champ Correspondance au port pour les ports source non répertoriés. La plage comprend trois types de ports différents. Les plages sont décrites comme suit :

• Mask : saisissez le masque de port. Le masque détermine quels bits sont utilisés et quels bits sont ignorés. Seul le chiffre hexadécimal (0 € 0xFFFF) est autorisé. 0 signifie que le bit est important et 1 signifie que vous devez ignorer ce bit.

• Destination IPv6 Address : saisissez une adresse IPv6 pour appliquer ce critère.
• Destination IPv6 Prefix Length : saisissez la longueur de préfixe de l'adresse IPv6 de destination.

• Select From List : sélectionnez un port de destination dans la liste déroulante Select From List. Les options sont FTP, FTP data, HTTP, SNMP, SMTP, TFTP, Telnet, WWW.
• Match to Port : saisissez le numéro de port qui ne figure pas dans la liste. Les numéros de port vont de 0 à 65535 dans le champ Correspondance au port pour les ports source non répertoriés. La plage comprend trois types de ports différents. Les plages sont décrites comme suit :

• Mask : saisissez le masque de port. Le masque détermine quels bits sont utilisés et quels bits sont ignorés. Seul le chiffre hexadécimal (0-0xFFFF) est autorisé. 0 signifie que le bit est important et 1 signifie que vous devez ignorer ce bit.

• Sélectionner dans la liste — Choisissez l'une des valeurs suivantes : DSCP Assures Forwarding (AF), Class of Service (CS) ou Expeded Forwarding (EF).
• Match to Value : saisissez une valeur DSCP personnalisée comprise entre 0 et 63.