Configureer de MAC-, IPv4- en IPv6-toegangscontrolelijst in een draadloos access point

Doel

Een toegangscontrolelijst (ACL) is een lijst van netwerkverkeersfilters en bijbehorende acties die worden gebruikt om de beveiliging te verbeteren. Het blokkeert niet-geautoriseerde gebruikers en geeft geautoriseerde gebruikers toegang tot specifieke bronnen. Een ACL bevat de hosts die toegang tot het netwerkapparaat wordt geweigerd. ACL’s kunnen op twee manieren worden gedefinieerd: door IPv4-adres of door IPv6-adres.

Dit artikel leidt u op hoe u met succes een ACL kunt maken en IPv4, IPv6 en Media Access Control (MAC)-gebaseerde ACL’s op uw Wireless Access Point (WAP) kunt configureren om de netwerkbeveiliging te verbeteren.

Toepasselijke apparaten

• WAP100 Series switch
• WAP300 Series-switches
• WAP500 Series-switches

Softwareversie

• 1.0.6.2 - WAP121, WAP321
• 1.2.0.2 - WAP371, WAP551, WAP561
• 1.0.1.4 - WAP131, WAP351
• 1.0.0.16 - WAP150, WAP361

ACL maken

Opmerking: De beelden die voor deze configuratie worden gebruikt zijn van WAP150.

Stap 1. Meld u aan bij het op internet gebaseerde hulpprogramma en kies ACL > Regel.

Opmerking: WAP121, WAP321, WAP371, WAP551 en WAP561: Meld u aan bij het op internet gebaseerde hulpprogramma en kies client-QoS >ACL.

Stap 2. Zodra de pagina ACL-configuratie wordt geopend, typt u de ACL-naam in het veld ACL-naam.

Stap 3. Kies een ACL-type in de vervolgkeuzelijst ACL-type.

• IPv4 — A 32-bits (4-bytes) adres.
• IPv6 — Een opvolger van IPv4, bestaat uit een 128-bits (8 bytes) adres.
• MAC — Het MAC-adres is het unieke adres dat aan een netwerkinterface is toegewezen.

Stap 4. Klik op de knop Add ACL.

Als u MAC hebt gekozen, sla dan over om MAC-gebaseerde ACL te configureren.

Als u IPv4 hebt geselecteerd, slaat u over om op IPv4 gebaseerde ACL te configureren.

Als u IPv6 hebt geselecteerd, slaat u over om op IPv6 gebaseerde ACL te configureren.

U had nu een ACL moeten maken.

Op MAC gebaseerde ACL-indeling

Stap 1. Kies de ACL-naam - vervolgkeuzelijst ACL-type waaraan u regels wilt toevoegen.

Opmerking: In het onderstaande beeld werd ACL1 MAC als voorbeeld geselecteerd.

Stap 2. Als een nieuwe regel voor de gekozen ACL moet worden ingesteld, kiest u Nieuwe regel in de vervolgkeuzelijst Regel. Kies anders een van de huidige regels in de vervolgkeuzelijst Regel.

Opmerking: Er kunnen maximaal 10 regels worden gemaakt voor één ACL.

Stap 3. Kies de actie voor de ACL-regel in de vervolgkeuzelijst Action.

Opmerking: In dit voorbeeld wordt er een Deny statement gemaakt.

• Jeans: blokkeert al het verkeer dat voldoet aan de criteria om WAP in te voeren of te verlaten. Omdat er een impliciete ontkenningsregel aan het eind van elke ACL is, wordt het verkeer dat niet expliciet wordt toegestaan gedaald.
• Vergunning — Laat al het verkeer dat aan de lijncriteria voldoet om de WAP binnen te gaan of te verlaten. Verkeersverkeer dat niet aan de criteria voldoet, wordt geschrapt.

Opmerking: De stappen 4 tot 11 zijn optioneel. Filters die zijn ingeschakeld. Schakel het vakje voor het filter uit dat u niet wilt dat deze op deze specifieke regel wordt toegepast.

Stap 4. Controleer de optie Elke Packet controleren om de regel voor elk frame of pakket aan te passen ongeacht de inhoud. Schakel het vakje uit om een van de extra gematchte criteria te configureren.

Tip: Als elke verpakking al is ingeschakeld, slaat u over naar Stap 12.

Stap 5. Kies een radioknop in het gebied EtherType om de gecompenseerde criteria met de waarde in de kop van een Ethernet-kader te vergelijken. U kunt een van deze opties kiezen of een van de volgende opties kiezen:

• Selecteer vanuit Lijst - Kies een protocol in de vervolgkeuzelijst. De lijst heeft de volgende opties: AppleTalk, arp, IPv4, IPv6, ipx, netbios, ppo's.
• Overeenkomend met waarde — Voer voor de identificator van het douaneprotocol de identificator in die varieert van 0600 tot FFFF.

Stap 6. Kies een radioknop om in het serviceklasse de 802.1p-gebruikersprioriteit in te voeren om dit te vergelijken met een Ethernet-kader. U kunt een willekeurige of een door een gebruiker bepaalde prioriteit kiezen. Voer de prioriteit in die in het veld Gebruiker definieert van 0 tot 7 varieert.

Stap 7. Kies een radioknop in het MAC-brongebied om het MAC-adres te vergelijken met een Ethernet-kader. U kunt Any en op Gebruiker gedefinieerd kiezen en het MAC-adres van de bron in het daarvoor bestemde veld invoeren.

Stap 8. Voer het bron-MAC-adresmasker in in het veld Bron-MAC-masker dat specificeert welke bits in de bron-MAC om te vergelijken met een Ethernet-kader.

Opmerking: Als het MAC-masker een bit gebruikt, wordt het adres geaccepteerd en als het 1 bit gebruikt, wordt het adres genegeerd.

Stap 9. Kies een radioknop in het MAC-gebied van de bestemming om het MAC-adres te vergelijken met een Ethernet-kader. U kunt AnyRes kiezen of door Gebruiker gedefinieerd en het doeladres van MAC in het daarvoor bestemde veld invoeren.

Stap 10. Voer het doelmasker van MAC in in het veld MAC-masker van de doellocatie dat specificeert welke bits in de MAC-indeling moeten worden vergeleken met een Ethernet-kader.

Opmerking: Als het MAC-masker een 0 bit gebruikt, wordt het adres geaccepteerd en als het een 1 bit gebruikt, wordt het adres genegeerd.

Stap 1. In het gebied VLAN ID kiest u een radioknop om de VLAN-id te vergelijken met een Ethernet-kader. Voer de VLAN-id in die in het daarvoor bestemde veld van 0 tot 4095 varieert.

Stap 12. Klik op Opslaan.

Stap 13. (Optioneel) Om de geconfigureerde ACL te verwijderen, controleert u het vakje Verwijderen ACL en vervolgens klikt u op Opslaan.

U moet nu met succes MAC ACL op uw WAP hebben ingesteld.

IPv4-gebaseerde ACL’s configureren

Stap 1. Specificeer in het gebied Configuration van de ACL-regel de volgende parameters:

ACL-naam - (ACL-type) Kies de ACL-modus om met de nieuwe regel te configureren.

Opmerking: In de onderstaande afbeelding werd IPv4_ACL-IPv4 als voorbeeld geselecteerd.

Stap 2. Als een nieuwe regel voor de gekozen ACL moet worden ingesteld, kiest u Nieuwe regel in de vervolgkeuzelijst Regel. Kies anders een van de huidige regels in de vervolgkeuzelijst Regel.

Opmerking: Er kunnen maximaal 10 regels worden gemaakt voor één ACL.

Stap 3. Kies de actie voor de ACL-regel in de vervolgkeuzelijst Action.

Opmerking:In dit voorbeeld wordt een Permit statement gemaakt.

• Jeans: blokkeert al het verkeer dat voldoet aan de criteria om WAP in te voeren of te verlaten. Omdat er een impliciete ontkenningsregel aan het eind van elke ACL is, wordt het verkeer dat niet expliciet wordt toegestaan gedaald.
• Vergunning — Laat al het verkeer dat aan de lijncriteria voldoet om de WAP binnen te gaan of te verlaten. Verkeersverkeer dat niet aan de criteria voldoet, wordt geschrapt.

Opmerking: Stap 4 tot 9 is optioneel. Filters die zijn ingeschakeld. Schakel het vakje voor het filter uit als u wilt dat deze niet op deze specifieke regel wordt toegepast.

Stap 4. Controleer de optie Elke Packet controleren om de regel voor elk frame of pakket aan te passen ongeacht de inhoud. Schakel het vakje uit om een van de extra matchcriteria te configureren.

Tip: voor elke pakketsnelheid standaard ingeschakeld. Als u deze instelling wilt behouden, slaat u over naar Stap 11.

Stap 5. Kies een radioknop in het protocolgebied om de overeenkomende criteria te vergelijken met de waarde in de kop van een Ethernet-kader. U kunt kiezen uit AnyRes of in de vervolgkeuzelijst selecteren

• Selecteer uit lijst — Kies een van deze protocollen:

Stap 6. Kies een radioknop in het IP-brongebied om het IP-adres van de bron in de matchconditie op te nemen. U kunt een willekeurige of door een gebruiker gedefinieerde naam kiezen en vervolgens het IP-adres en het wild card-masker van de bron in de betreffende velden invoeren.

• Bron IP-adres — Voer een IP-adres in om deze criteria toe te passen.
• Vrij kaartmasker — Voer het bestemming IP-adres in als wild kaartmasker. Het wild kaartmasker bepaalt welke bits worden gebruikt en welke bits worden genegeerd. Een jokermasker van 255.255.255.255 geeft aan dat geen bit belangrijk is. Een wild kaart van 0.0.0.0 geeft aan dat alle bits belangrijk zijn. Dit veld is vereist wanneer IP-bronadres is geselecteerd.

Opmerking: Een wild kaartmasker is eigenlijk het omgekeerde van een subnetmasker. Bijvoorbeeld, om de criteria aan één enkel gastheer adres te verbinden, gebruik een wild kaartmasker van 0.0.0.0. Om de criteria aan een 24-bits Subnet (bijvoorbeeld, 192.168.10.0/24) aan te passen gebruikt een wild kaartmasker van 0.0.0.255.

Stap 7. Kies een radioknop in het gebied van de Bron-poort om een bronpoort in de matchconditie op te nemen. U kunt AnyRes kiezen om met een bronpoort te kiezen of u kunt de volgende opties kiezen:

• Selecteer vanuit Lijst - Kies een bronpoort in de vervolgkeuzelijst Lijst. De opties zijn als volgt:

• Overeenkomsten met poort — Voer het poortnummer in dat niet in de lijst staat. Poortgetallen variëren van 0 tot 65535 in het veld Overeenkomend met Port voor niet-beursgenoteerde bronpoorten. Het bereik omvat drie verschillende soorten havens. Het bereik wordt als volgt beschreven

• masker — Voer het poortmasker in. Het masker bepaalt welke bits worden gebruikt en welke bits worden genegeerd. Alleen het hexadecimale cijfer (0 — 0xFFFF) is toegestaan. 0 betekent dat het bit belangrijk is en 1 betekent dat je dit beetje moet negeren.

Stap 8. Kies een radioknop in het IP-gebied van de bestemming om het IP-adres van de bestemming in de matchconditie op te nemen. U kunt een willekeurige of door een gebruiker gedefinieerde instelling kiezen en vervolgens het IP-adres en het wild card-masker van de bestemming in de betreffende velden invoeren.

• IP-adres bestemming — Voer een IP-adres in om deze criteria toe te passen.
• Vrij kaartmasker — Voer het bestemming IP-adres in als wild kaartmasker. Het wild kaartmasker bepaalt welke bits worden gebruikt en welke bits worden genegeerd. Een jokermasker van 255.255.255.255 geeft aan dat geen bit belangrijk is. Een wild kaart van 0.0.0.0 geeft aan dat alle bits belangrijk zijn. Dit veld is vereist wanneer IP-adres van de bestemming is geselecteerd.

Opmerking: Een wild kaartmasker is eigenlijk het omgekeerde van een subnetmasker. Bijvoorbeeld, om de criteria aan één enkel gastheer adres te verbinden, gebruik een wild kaartmasker van 0.0.0.0. Om de criteria aan een 24-bits Subnet (bijvoorbeeld, 192.168.10.0/24) aan te passen gebruikt een wild kaartmasker van 0.0.0.255.

Stap 9. Kies een radioknop in het gebied van de haven van de Bestemming om een bestemmingshaven in de matchconditie op te nemen. U kunt AnyRes kiezen om met een doelpoort te kiezen of u kunt het volgende kiezen:

• Selecteer vanuit Lijst - Kies een doelpoort in de vervolgkeuzelijst. De opties zijn als volgt

• Overeenkomsten met poort — Voer het poortnummer in dat niet in de lijst staat. Poortgetallen variëren van 0 tot 65535 in het veld Overeenkomend met Port voor niet-geregistreerde bronpoorten. Het bereik omvat drie verschillende soorten havens. De marges worden als volgt beschreven:

• masker — Voer het poortmasker in. Het masker bepaalt welke bits worden gebruikt en welke bits worden genegeerd. Alleen het hexadecimale cijfer (0-0xFFFF) is toegestaan. 0 betekent dat het bit belangrijk is en 1 betekent dat je dit beetje moet negeren.

• IP DSCP Select From List — Overeenkomst de pakketten die zijn gebaseerd op hun gevarieerde services codepoint (DSCP), Gegarandeerd doorsturen (AS), serviceklasse (CS) of FEF-waarden (Fast Forwarding).
• IP DSCP overeenkomende met waarde - komt overeen met de pakketten die zijn gebaseerd op een aangepaste DSCP-waarde. Voer in dit veld een waarde in van 0 tot 63.
• IP-voorrang - Overeenkomsten van de pakketten die op hun IP-prioriteitswaarde zijn gebaseerd. Voer, indien gekozen, een IP voorrang in van 0 tot 7.
• IP TOS Bits - Specificeert een waarde om de TOS bits van de pakketten in de IP-header als overeenkomende criteria te gebruiken.
• Het IP TOS-veld in een pakket is gedefinieerd als alle acht bits van het servicetype in de IP-header. De waarde van de IP TOS-bits is een hexadecimaal getal van twee cijfers van 00 tot en met ff. De hoge orde drie bits vertegenwoordigen de IP-prioriteitswaarde. De hoge orde zes bits vertegenwoordigen de IP DSCP-waarde.
• IP TOS-masker - Voer een waarde van IP TOS-masker in om de bitposities in de waarde van IP TOS-bits te identificeren die voor vergelijking met het IP TOS-veld in een pakket worden gebruikt.
• De waarde van het IP TOS-masker is een hexadecimaal getal van twee cijfers van 00 tot FF, dat een omgekeerd (dat wil zeggen een wild kaart) masker weergeeft. De nul-getaxeerde bits in het IP TOS-masker duiden de bitposities in de waarde van de IP TOS-bits die voor vergelijking worden gebruikt tegen het IP TOS-veld van een pakje. Bijvoorbeeld, om voor een IP TOS waarde te controleren die bits 7 en 5 en bit 1 duidelijk heeft, waar bit 7 het belangrijkst is, gebruik een IP TOS Bits waarde van 0 en een IP TOS masker van 00.

IPv6-gebaseerde ACL’s configureren

• Jeans: blokkeert al het verkeer dat voldoet aan de criteria om WAP in te voeren of te verlaten. Omdat er een impliciete ontkenningsregel aan het eind van elke ACL is, wordt het verkeer dat niet expliciet wordt toegestaan gedaald.
• Vergunning — Laat al het verkeer dat aan de lijncriteria voldoet om de WAP binnen te gaan of te verlaten. Verkeersverkeer dat niet aan de criteria voldoet, wordt geschrapt.

• Selecteer uit lijst — Kies een van deze protocollen:

• Overeenkomend met waarde - Voer een standaard IANA-toegewezen protocol-ID in van 0 tot 255. Selecteer deze methode om een protocol te identificeren dat niet bij naam in de lijst Selecteren voorkomt.

• Bron IPv6-adres — Voer een IPv6-adres in om deze criteria toe te passen.
• Bron IPv6-prefixlengte — Voer de prefix-lengte van het IPv6-adres in.

• Selecteer vanuit Lijst — Kies een bronpoort in de vervolgkeuzelijst Selecteer Van Lijst. De opties zijn als volgt:

• Overeenkomsten met poort — Voer het poortnummer in dat niet in de lijst staat. Poortgetallen variëren van 0 tot 65535 in het veld Overeenkomend met Port voor niet-geregistreerde bronpoorten. Het bereik omvat drie verschillende soorten havens. De marges worden als volgt beschreven:

• masker — Voer het poortmasker in. Het masker bepaalt welke bits worden gebruikt en welke bits worden genegeerd. Alleen het hexadecimale cijfer (0 € “ 0xFFFF) is toegestaan. 0 betekent dat het bit belangrijk is en 1 betekent dat je dit beetje moet negeren.

• IPv6-adres bestemming — Voer een IPv6-adres in om deze criteria toe te passen.
• IPv6-prefixlengte - Voer de prefix-lengte in van het IPv6-adres.

• Selecteer vanuit Lijst - Kies een doelpoort in de vervolgkeuzelijst Lijst. De opties zijn FTP, FTP gegevens, HTTP, SNMP, TCP, telnet, WWW.
• Overeenkomsten met poort — Voer het poortnummer in dat niet in de lijst staat. Poortgetallen variëren van 0 tot 65535 in het veld Overeenkomend met Port voor niet-geregistreerde bronpoorten. Het bereik omvat drie verschillende soorten havens. De marges worden als volgt beschreven:

• masker — Voer het poortmasker in. Het masker bepaalt welke bits worden gebruikt en welke bits worden genegeerd. Alleen het hexadecimale cijfer (0-0xFFFF) is toegestaan. 0 betekent dat het bit belangrijk is en 1 betekent dat je dit beetje moet negeren.

• Selecteer uit lijst — Kies een van deze waarden: DSCP Gegarandeerd doorsturen (AF), Serviceklasse (CS) of Express Forwarding (EF).
• Overeenkomend met waarde - voer een aangepaste DSCP waarde in die van 0 tot 63 varieert.