소개
이 문서에서는 Cisco IOS XE 디바이스에서 웹 서비스로 향하는 트래픽을 필터링하도록 ACL(Access List)을 구성하는 방법에 대해 설명합니다.
사전 요구 사항
요구 사항
이 문서에 대한 특정 요건이 없습니다.
사용되는 구성 요소
이 문서는 Cisco IOS® XE 소프트웨어를 실행하는 엔터프라이즈 디바이스를 위해 작성되었습니다.
이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.
배경
IOS XE 디바이스를 관리하기 위해 또는 웹 인증/게스트 사용자 액세스를 위해 webUI 액세스를 갖도록 HTTP 웹 서비스를 활성화해야 하는 경우, 필요한 IP 주소만 WebUI에 액세스할 수 있고 게스트 사용자가 네트워크에 계속 온보딩할 수 있도록 트래픽 필터링 기능을 구현할 수 있습니다.
구성
HTTP 서비스 액세스 클래스 컨피그레이션
액세스를 정의하는 가장 간단한 방법은 HTTP 웹 서버의 IP 액세스 클래스 지원을 통해 수행할 수 있습니다. 이 컨피그레이션 예에서는 ipv4 서브넷 192.168.10.0/24이 허용되고, ipv6 서브넷 fd00::/64가 허용되며, 다른 모든 것은 거부됩니다. access-list의 끝에 any에 대한 암시적 거부가 있지만 원하는 경우 any에 대한 명시적 거부를 추가할 수도 있습니다. C9800 Wireless Lan Controller의 경우 WMI(Wireless Management Interface) 및 OOB(Out-of-Band) 관리/서비스 포트에 대한 HTTP/HTTPS 액세스를 고려해야 합니다.
IPv4 예
1단계. 표준 ACL을 구성하고 HTTP/HTTPS를 통해 Cisco IOS XE Device에 액세스할 수 있는 신뢰할 수 있는 디바이스/서브넷을 포함합니다
ip access-list standard restrict_ipv4_webui
permit 192.168.10.0 0.0.0.255
참고: 이 ACL에는 IOS XE 디바이스에 대한 웹 관리자 액세스 권한을 보유하기 위해 신뢰할 수 있는 서브넷만 포함되어야 합니다. 즉, 모든 게스트 서브넷은 이 ACL에 포함되지 않아야 합니다. 게스트 서브넷을 포함하지 않으면 웹 인증, 게스트 액세스 또는 웹 리디렉션이 중단되지 않습니다.
2단계. HTTP 웹 서비스 액세스 클래스에 표준 ACL을 할당합니다.
ip http access-class ipv4 restrict_ipv4_webui
IPv6 예
1단계. IPv6 ACL 구성HTTP/HTTPS를 통해 Cisco IOS XE Device에 액세스할 수 있는 신뢰할 수 있는 디바이스/서브넷을 포함합니다
ipv6 access-list restrict_ipv6_webui
permit fd00::/64 any
2단계. HTTP 웹 서비스 기능에 표준 ACL을 할당합니다.
ip http access-class ipv6 restrict_ipv6_webui
다음을 확인합니다.
IPv4 ACL 항목 확인
show ip access-list restrict_ipv4_webui
Standard IP access list restrict_ipv4_webui
10 permit 192.168.10.0 0.0.0.255
IPv6 ACL 항목 확인
show ipv6 access restrict_ipv4_webui
IPv6 access list restrict_ipv6_webui
permit ipv6 FD00::/64 any sequence 10
Q: access-list를 적용한 후 응답이 없는 대신 403 응답을 받습니다. 왜 그럴까요?
A: 이는 정상적인 동작입니다. access-list는 http/https 프로세스에 액세스할 수 있는 사용자를 제한하도록 설계되었습니다. 403 응답은 이 리소스에 액세스할 수 없음을 나타내며 이 시나리오에서는 access-list가 인터페이스 레벨 access-list가 아닌 HTTP/HTTPS 프로세스에 적용되기 때문에 적절한 응답입니다. access-list가 HTTP/HTTPS 프로세스 대신 인터페이스에 적용된 경우 어떤 응답도 적합하지 않습니다
피드백