Contents

Introdução

Pré-requisitos

Requisitos

Componentes Utilizados

Background

Configurar

Configuração de Classe de Acesso ao Serviço HTTP

Exemplo de IPv4

Exemplo de IPv6

Verificar

P: Após aplicar a lista de acesso, obtenho uma resposta 403 em vez de nenhuma resposta. Por quê?

Introdução

Este documento descreve como configurar uma lista de acesso (ACL) em um dispositivo Cisco IOS XE para filtrar o tráfego destinado aos serviços da Web.

Pré-requisitos

Requisitos

Não existem requisitos específicos para este documento.

Componentes Utilizados

Este documento foi criado para dispositivos corporativos que executam o software Cisco IOS® XE.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Background

Quando é necessário habilitar os Serviços Web HTTP para ter acesso à WebUI para gerenciar o dispositivo IOS XE ou para acesso de usuário webauth/convidado, os recursos de filtragem de tráfego podem ser implementados para garantir que apenas os endereços IP necessários possam acessar a WebUI e que os usuários convidados possam continuar a integrar à rede.

Configurar

Configuração de Classe de Acesso ao Serviço HTTP

O método mais simples para definir o acesso pode ser feito através do suporte à classe de acesso IP no servidor Web HTTP.  Neste exemplo de configuração, a sub-rede ipv4 192.168.10.0/24 é permitida, a sub-rede ipv6 fd00::/64 é permitida e todo o resto é negado.  Existe um deny any any implícito no final da lista de acesso, mas você também pode adicionar um deny any any explícito, se desejar. No caso do controlador de LAN sem fio C9800, considere o acesso HTTP/HTTPS à interface de gerenciamento sem fio (WMI) e à porta de gerenciamento/serviço fora de banda.

Exemplo de IPv4

Etapa 1. Configurar uma ACL padrão e incluir os dispositivos/sub-redes confiáveis que têm permissão para acessar o dispositivo Cisco IOS XE sobre HTTP/HTTPS

ip access-list standard restrict_ipv4_webui

permit 192.168.10.0 0.0.0.255

Observação: esta ACL deve incluir apenas sub-redes confiáveis para ter acesso de administrador da Web ao dispositivo IOS XE. Ou seja, nenhuma sub-rede de convidado deve ser incluída nessa ACL. A não inclusão de sub-redes de convidados não interrompe a autenticação da Web, o acesso de convidados ou o redirecionamento da Web.

Etapa 2. Atribua a ACL padrão à classe de acesso do serviço Web HTTP.

ip http access-class ipv4 restrict_ipv4_webui

Exemplo de IPv6

Etapa 1. Configurar uma ACL IPv6incluir os dispositivos/sub-redes confiáveis que têm permissão para acessar o dispositivo Cisco IOS XE sobre HTTP/HTTPS

ipv6 access-list restrict_ipv6_webui

permit fd00::/64 any

Etapa 2. Atribua a ACL padrão ao recurso Serviço da Web HTTP.

ip http access-class ipv6 restrict_ipv6_webui

Verificar

Verificar as entradas da ACL IPv4

show ip access-list restrict_ipv4_webui

Standard IP access list restrict_ipv4_webui

10 permit 192.168.10.0 0.0.0.255

Verificar as entradas da ACL IPv6

show ipv6 access restrict_ipv4_webui

IPv6 access list restrict_ipv6_webui

permit ipv6 FD00::/64 any sequence 10

P: Após aplicar a lista de acesso, obtenho uma resposta 403 em vez de nenhuma resposta.  Por quê?

R: Esse é o comportamento esperado.  A lista de acesso é projetada para limitar quem tem permissão para acessar o processo http/https.  Uma resposta 403 indica que você está proibido de acessar esse recurso e é a resposta adequada nesse cenário, já que a lista de acesso é aplicada ao processo HTTP/HTTPS, ao contrário de uma lista de acesso no nível da interface.  Se a lista de acesso tiver sido aplicada a uma interface em vez do processo HTTP/HTTPS, nenhuma resposta será a apropriada