Objetivo

Uma lista de controle de acesso (ACL) é uma lista de filtros de tráfego de rede e ações correlacionadas usadas para melhorar a segurança. Bloqueia usuários não autorizados e permite que usuários autorizados acessem recursos específicos. Uma ACL contém os hosts com acesso permitido ou negado ao dispositivo de rede. As ACLs podem ser definidas de uma de duas maneiras: por endereço IPv4 ou por endereço IPv6.

Este artigo o orienta sobre como criar com êxito uma ACL e configurar ACLs baseadas em IPv4, IPv6 e Controle de Acesso ao Meio (MAC - Media Access Control) em seu ponto de acesso sem fio (WAP - Wireless Access Point) para melhorar a segurança da rede.

Dispositivos aplicáveis

- WAP100 Series

- WAP300 Series

- WAP500 Series

Versão de software

- 1.0.6.2 - WAP121, WAP321

- 1.2.0.2 - WAP371, WAP551, WAP561

- 1.0.1.4 - WAP131, WAP351

- 1.0.0.16 - WAP150, WAP361

Criar ACL

As imagens usadas para essa configuração são do WAP150.Note:

Etapa 1. Faça login no utilitário baseado na Web do ponto de acesso e escolha ACL > Regra de ACL.

Para WAP121, WAP321, WAP371, WAP551 e WAP561: Faça login no utilitário baseado na Web do ponto de acesso e escolha Note:Client QoS > ACL.

Etapa 2. Quando a página de configuração da ACL for aberta, insira o nome da ACL no campo ACL Name (Nome da ACL).

Etapa 3. Escolha um Tipo de ACL na lista suspensa Tipo de ACL.

- IPv4 — um endereço de 32 bits (4 bytes).

- IPv6 — Um sucessor do IPv4 consiste em um endereço de 128 bits (8 bytes).

- MAC — O endereço MAC é o endereço exclusivo atribuído a uma interface de rede.

Etapa 4. Clique no botão Adicionar ACL.

Se você escolheu MAC, pule para Configure MAC-based ACL.

Se você escolheu IPv4, pule para Configurar ACL baseada em IPv4.

Se você escolheu IPv6, pule para Configurar ACL baseada em IPv6.

Agora você deve ter criado uma ACL com êxito.

Configurar ACL baseada em MAC

Etapa 1. Escolha a ACL na lista suspensa Nome da ACL - Tipo de ACL à qual você gostaria de adicionar regras.

Na imagem abaixo, ACL1 MAC foi escolhido como exemplo.Note:

Etapa 2. Se uma nova regra tiver que ser configurada para a ACL escolhida, escolha Nova regra na lista suspensa Regra. Caso contrário, escolha uma das regras atuais na lista suspensa Regra.

Nota: Um máximo de 10 regras pode ser criado para uma única ACL.

Etapa 3. Escolha a ação para a regra da ACL na lista suspensa Ação.

Nota: Neste exemplo, uma instrução Negar é criada.

- Negar — Bloqueia todo o tráfego que atende aos critérios de regra para entrar ou sair do WAP. Como há uma regra deny-all implícita no final de cada ACL, o tráfego que não é explicitamente permitido é descartado.

- Permit (Permitir) — Permite que todo o tráfego que atende aos critérios de regra entre ou saia do WAP. O tráfego que não atende aos critérios é descartado.

Note: As etapas 4 a 11 são opcionais. Os filtros marcados estão ativados. Desmarque a caixa de seleção do filtro que você não deseja que ele aplique a esta regra específica.

Etapa 4. Marque a caixa de seleção Match Every Packet para corresponder à regra de cada quadro ou pacote, independentemente de seu conteúdo. Desmarque a caixa para configurar qualquer um dos critérios correspondentes adicionais.

Dica: Se Match Every Packet já estiver marcado, vá para a Etapa 12.

Etapa 5. Na área EtherType, escolha um botão de opção para comparar os critérios correspondentes com o valor no cabeçalho de um quadro Ethernet. Você pode escolher uma destas opções ou qualquer uma delas:

- Selecionar na lista — Escolha um protocolo na lista suspensa. A lista tem as seguintes opções: appletalk, arp, IPv4, IPv6, ipx, netbios, pppoe.

- Corresponder a Valor — Para o identificador de protocolo personalizado, insira o identificador que varia de 0600 a FFFF.

Etapa 6. Na área Classe de serviço, escolha um botão de opção para inserir a prioridade de usuário 802.1p para comparar com um quadro Ethernet. Você pode escolher Qualquer prioridade ou uma prioridade definida pelo usuário. Insira a prioridade que varia de 0 a 7 no campo Definido pelo usuário.

Passo 7. Na área MAC de origem, escolha um botão de opção para comparar o endereço MAC de origem com um quadro Ethernet. Você pode escolher Qualquer ou escolher Definido pelo usuário e inserir o endereço MAC origem no campo fornecido.

Etapa 8. Insira a máscara do endereço MAC de origem no campo MAC Mask de origem que especifica quais bits no MAC de origem devem ser comparados a um quadro Ethernet.

Note: Se a máscara MAC usar um bit 0, o endereço será aceito e, se usar um bit, o endereço será ignorado.

Etapa 9. Na área MAC de destino, escolha um botão de opção para comparar o endereço MAC de destino com um quadro Ethernet. Você pode escolher Qualquer pessoa definida pelo usuário e inserir o endereço MAC de destino no campo fornecido.

Etapa 10. Insira a máscara de endereço MAC de destino no campo Máscara MAC de destino que especifica quais bits no MAC de destino comparar com um quadro Ethernet.

Note: Se a máscara MAC usar um bit 0, o endereço será aceito e, se usar um bit 1, o endereço será ignorado.

Etapa 11. Na área VLAN ID, escolha um botão de opção para comparar o ID da VLAN com um quadro Ethernet. Insira a ID da VLAN que varia de 0 a 4095 no campo fornecido.

Etapa 12. Click Save.

Etapa 13. (Opcional) Para excluir a ACL configurada, marque a caixa de seleção Excluir ACL e clique em Salvar.

Agora você deve ter configurado com êxito a ACL MAC em seu WAP.

Configurar ACL baseada em IPv4

Etapa 1. Na área de configuração da regra da ACL, configure estes parâmetros de regra:

Nome da ACL - Tipo de ACLscolha a ACL a ser configurada com a nova regra.

Note: Na imagem abaixo, IPv4_ACL-IPv4 foi escolhido como exemplo.

Etapa 2. Se uma nova regra tiver que ser configurada para a ACL escolhida, escolha Nova regra na lista suspensa Regra. Caso contrário, escolha uma das regras atuais na lista suspensa Regra.

Nota: Um máximo de 10 regras pode ser criado para uma única ACL.

Etapa 3. Escolha a ação para a regra da ACL na lista suspensa Ação.

Nota:Neste exemplo, uma instrução Permit é criada.

- Negar — Bloqueia todo o tráfego que atende aos critérios de regra para entrar ou sair do WAP. Como há uma regra deny-all implícita no final de cada ACL, o tráfego que não é explicitamente permitido é descartado.

- Permit (Permitir) — Permite que todo o tráfego que atende aos critérios de regra entre ou saia do WAP. O tráfego que não atende aos critérios é descartado.

Note: As etapas 4 a 9 são opcionais. Os filtros marcados estão ativados. Desmarque a caixa de seleção do filtro se não quiser que ele se aplique a esta regra específica.

Etapa 4. Marque a caixa de seleção Match Every Packet para corresponder à regra de cada quadro ou pacote, independentemente de seu conteúdo. Desmarque a caixa para configurar qualquer um dos critérios de correspondência adicionais.

Dica: Match Every Packet (Corresponder cada pacote) está ativado por padrão. Se desejar manter essa configuração, vá para a Etapa 11.

Etapa 5. Na área Protocolo, escolha um botão de opção para comparar os critérios correspondentes com o valor no cabeçalho de um quadro Ethernet. Você pode escolher Qualquer ou selecionar na lista suspensa

- Selecionar na lista — Escolha um destes protocolos:

— IP — O principal protocolo de comunicação no Internet Protocol Suite para transmissão de dados através das redes.

— ICMP — Um protocolo no Internet Protocol Suite usado por dispositivos como roteadores para enviar mensagens de erro.

— IGMP — Um protocolo de comunicação usado pelo host para estabelecer associações a grupos multicast em redes IPv4.

— TCP — Permite que dois hosts estabeleçam uma conexão e troquem fluxos de dados.

— UDP — Um protocolo no Internet Protocol Suite que usa um modelo de transmissão sem conexão.

- Corresponder ao valor — Insira uma ID de protocolo padrão atribuída à IANA de 0 a 255. Escolha esse método para identificar um protocolo não listado por nome na lista Selecionar da.

Etapa 6. Na área IP de origem, escolha um botão de opção para incluir o endereço IP da origem na condição de correspondência. Você pode escolher Any (Qualquer) ou User Defined (Definido pelo usuário) e inserir o endereço IP e a máscara curinga da origem nos respectivos campos.

- Endereço IP origem — insira um endereço IP para aplicar esse critério.

- Máscara Curinga — Insira a máscara curinga do endereço IP de destino. A máscara curinga determina quais bits são usados e quais bits são ignorados. Uma máscara curinga de 255.255.255.255 indica que nenhum bit é importante. Um curinga de 0.0.0.0 indica que todos os bits são importantes. Esse campo é obrigatório quando o Endereço IP de Origem é selecionado.

Uma máscara curinga é basicamente o inverso de uma máscara de sub-rede. Por exemplo, para corresponder os critérios a um único endereço de host, use uma máscara curinga de 0.0.0.0. Para corresponder os critérios a uma sub-rede de 24 bits (por exemplo, 192.168.10.0/24), use uma máscara curinga de 0.0.0.255.Note:

Passo 7. Na área Porta de origem, escolha um botão de opção para incluir uma porta de origem na condição de correspondência. Você pode escolher Anyto match para qualquer porta de origem ou pode escolher o seguinte:

- Selecionar da lista — Escolha uma porta de origem na lista suspensa Selecionar da lista. As opções são as seguintes:

— FTP — O FTP é um protocolo de rede padrão usado para transferir arquivos de um host para outro através de uma rede baseada em TCP (Transmission Control Protocol), como a Internet.

— Dados de FTP — Um canal de dados iniciado pelo servidor conectado a um cliente, normalmente por meio da porta 20.

— Protocolo HTTP — O HTTP é um protocolo de aplicação que é a base da comunicação de dados para a World Wide Web.

— Simple Mail Transfer Protocol (SMTP) — O SMTP é um padrão da Internet para transmissão de correio eletrônico.

— SNMP (Simple Network Management Protocol) — O SNMP é um protocolo padrão da Internet para gerenciar dispositivos em redes IP.

— Telnet — Um protocolo da camada de sessão usado na Internet ou em redes locais para fornecer comunicação bidirecional interativa orientada a texto.

— TFTP (Trivial File Transfer Protocol Protocolo de Transferência Trivial de Arquivos) — o TFTP é um utilitário de software da Internet para transferir arquivos mais simples de usar do que o FTP, mas com menor capacidade.

— World Wide Web (WWW) — A WWW é um sistema de servidores de Internet que suporta documentos formatados por HTTP.

- Corresponder à porta — Insira o número da porta que não está presente na lista. Os números de porta variam de 0 a 65535 no campo Match to Port para portas de origem não listadas. O intervalo inclui três tipos diferentes de portas. Os intervalos são descritos da seguinte forma

— 0 a 1023 — Portas conhecidas

— 1024 a 49151 — Portas registradas

— 49152 a 65535 — Portas dinâmicas e/ou privadas

- Máscara — Insira a máscara de porta. A máscara determina quais bits são usados e quais bits são ignorados. Somente o dígito hexadecimal (0 - 0xFFFF) é permitido. 0 significa que o bit é importante e 1 significa que você deve ignorar esse bit.

Etapa 8. Na área IP de destino, escolha um botão de opção para incluir o endereço IP do destino na condição de correspondência. Você pode escolher Any (Qualquer) ou User Defined (Definido pelo usuário) e inserir o endereço IP e a máscara curinga do destino nos respectivos campos.

- Endereço IP de destino — Insira um endereço IP para aplicar esse critério.

- Máscara Curinga — Insira a máscara curinga do endereço IP de destino. A máscara curinga determina quais bits são usados e quais bits são ignorados. Uma máscara curinga de 255.255.255.255 indica que nenhum bit é importante. Um curinga de 0.0.0.0 indica que todos os bits são importantes. Esse campo é obrigatório quando o endereço IP de destino é selecionado.

Uma máscara curinga é basicamente o inverso de uma máscara de sub-rede. Por exemplo, para corresponder os critérios a um único endereço de host, use uma máscara curinga de 0.0.0.0. Para corresponder os critérios a uma sub-rede de 24 bits (por exemplo, 192.168.10.0/24), use uma máscara curinga de 0.0.0.255.Note:

Etapa 9. Na área Porta de destino, escolha um botão de opção para incluir uma porta de destino na condição de correspondência. Você pode escolher Qualquer para corresponder a qualquer porta de destino ou pode escolher o seguinte:

- Selecionar na lista — Escolha uma porta de destino na lista suspensa. As opções são as seguintes

— FTP — Um protocolo de rede padrão usado para transferir arquivos de um host para outro através de uma rede baseada em TCP, como a Internet.

— Dados de FTP — Um canal de dados iniciado pelo servidor conectado a um cliente, normalmente por meio da porta 20.

— HTTP — Um protocolo de aplicação que é a base da comunicação de dados para a World Wide Web.

— SMTP — Um padrão da Internet para transmissão de correio eletrônico (e-mail).

— SNMP — Um protocolo padrão da Internet para o gerenciamento de dispositivos em redes IP.

— Telnet — Um protocolo da camada de sessão usado na Internet ou em redes locais para fornecer comunicação bidirecional interativa orientada a texto.

— TFTP — Um utilitário de software da Internet para transferir arquivos mais simples de usar do que o FTP, mas menos capaz.

— WWW — Um sistema de servidores de Internet que suporta documentos formatados por HTTP.

- Corresponder à porta — Insira o número da porta que não está presente na lista. Os números de porta variam de 0 a 65535 no campo Match to Port para portas de origem não listadas. O intervalo inclui três tipos diferentes de portas. Os intervalos são descritos da seguinte forma:

— 0 a 1023 — Portas conhecidas

— 1024 a 49151 — Portas registradas

— 49152 a 65535 — Portas dinâmicas e/ou privadas

- Máscara — Insira a máscara de porta. A máscara determina quais bits são usados e quais bits são ignorados. Somente o dígito hexadecimal (0-0xFFFF) é permitido. 0 significa que o bit é importante e 1 significa que você deve ignorar esse bit.

Etapa 10. Na área Tipo de serviço, escolha um botão de opção para corresponder pacotes com base no tipo de serviço específico. Você pode escolher Qualquer um ou escolher um dos seguintes:

- IP DSCP Select From List — Corresponde aos pacotes com base nos valores Differentiated Services Code Point (DSCP) Assured Forwarding (AS), Class of Service (CS) ou Expedited Forwarding (EF).

- IP DSCP Match to Value — Corresponde aos pacotes com base em um valor de DSCP personalizado. Se selecionado, insira um valor de 0 a 63 neste campo.

- Precedência de IP — Corresponde aos pacotes com base em seu valor de precedência de IP. Se escolhido, insira um valor de precedência de IP de 0 a 7.

- Bits IP TOS — Especifica um valor para usar os bits TOS dos pacotes no cabeçalho IP como critérios de correspondência.

- O campo IP TOS em um pacote é definido como todos os oito bits do octeto do tipo de serviço no cabeçalho IP. O valor dos bits de TOS de IP é um número hexadecimal de dois dígitos de 00 a ff. Os três bits de ordem superior representam o valor de precedência de IP. Os seis bits de ordem superior representam o valor de IP DSCP.

- Máscara TOS IP — Insira um valor de Máscara TOS IP para identificar as posições de bits no valor dos Bits TOS IP que são usados para comparação com o campo TOS IP em um pacote.

- O valor da Máscara de TOS de IP é um número hexadecimal de dois dígitos de 00 a FF, representando uma máscara invertida (ou seja, curinga). Os bits de valor zero na Máscara de TOS IP denotam as posições de bits no valor de Bits de TOS IP que são usados para comparação com o campo TOS de IP de um pacote. Por exemplo, para verificar se há um valor de IP TOS com os bits 7 e 5 definidos e o bit 1 claros, onde o bit 7 é mais significativo, use um valor de Bits IP TOS de 0 e uma Máscara IP TOS de 0.

Etapa 11. Click Save.

Agora você deve ter configurado com êxito uma ACL baseada em IPv4.

Configurar ACL baseada em IPv6

Etapa 1. Na área de configuração da regra da ACL, configure estes parâmetros de regra:

Nome da ACL - Tipo de ACL - Escolha a ACL a ser configurada com a nova regra.

Note: Na imagem abaixo, IPv6_ACL — Pv6 foi escolhido como exemplo.

Etapa 2. Se uma nova regra tiver que ser configurada para a ACL escolhida, escolha Nova regra na lista suspensa Regra. Caso contrário, escolha uma das regras atuais na lista suspensa Regra.

Note: Podem ser criadas no máximo 10 regras para uma única ACL.

Etapa 3. Escolha a ação para a regra da ACL na lista suspensa Ação

- Negar — Bloqueia todo o tráfego que atende aos critérios de regra para entrar ou sair do WAP. Como há uma regra deny-all implícita no final de cada ACL, o tráfego que não é explicitamente permitido é descartado.

- Permit (Permitir) — Permite que todo o tráfego que atende aos critérios de regra entre ou saia do WAP. O tráfego que não atende aos critérios é descartado.

Note: As etapas 4 a 11 são opcionais. Os filtros marcados estão ativados. Desmarque a caixa de seleção do filtro se não quiser que ele se aplique a esta regra específica.

Etapa 4. Marque a caixa de seleção Corresponder a cada pacote para corresponder à regra para cada quadro ou pacote, independentemente de seu conteúdo. Desmarque a caixa para configurar qualquer um dos critérios de correspondência adicionais.

Tip: Por padrão, Match Every Packet (Corresponder cada pacote) está ativado. Se desejar manter essa configuração, vá para a Etapa 12.

Etapa 5. Na área Protocolo, escolha um botão de opção para comparar os critérios correspondentes com o valor no cabeçalho de um quadro Ethernet. Você pode escolher uma destas opções ou qualquer uma delas:

- Selecionar na lista — Escolha um destes protocolos:

— IP — O principal protocolo de comunicação no Internet Protocol Suite para transmissão de dados através das redes.

— ICMP — Um protocolo no Internet Protocol Suite usado por dispositivos como roteadores para enviar mensagens de erro.

— IGMP — Um protocolo de comunicação usado pelo host para estabelecer associações a grupos multicast em redes IPv4.

— TCP — Permite que dois hosts estabeleçam uma conexão e troquem fluxos de dados.

— UDP — Um protocolo no Internet Protocol Suite que usa um modelo de transmissão sem conexão.

- Corresponder ao valor — Insira uma ID de protocolo padrão atribuída à IANA de 0 a 255. Escolha esse método para identificar um protocolo não listado por nome na lista Selecionar da.

Etapa 6. Na área IPv6 de origem, escolha um botão de opção para incluir o endereço IP da origem na condição de correspondência. Você pode escolher Any (Qualquer) ou User Defined (Definido pelo usuário) e inserir o endereço IPv6 e o comprimento do prefixo IPv6 origem.

- Endereço IPv6 origem — Insira um endereço IPv6 para aplicar esse critério.

- Tamanho do prefixo IPv6 origem — Insira o comprimento do prefixo do endereço IPv6 origem.

Passo 7. Na área Porta de Origem, escolha um botão de opção para incluir uma porta de origem na condição de correspondência. Você pode escolher Qualquer para corresponder a qualquer porta de origem ou pode escolher o seguinte:

- Selecionar na lista — Escolha uma porta de origem na lista suspensa Selecionar da lista. As opções são as seguintes:

— FTP — Um protocolo de rede padrão usado para transferir arquivos de um host para outro através de uma rede baseada em TCP, como a Internet.

— Dados de FTP — Um canal de dados iniciado pelo servidor conectado a um cliente, normalmente por meio da porta 20.

— HTTP — Um protocolo de aplicação que é a base da comunicação de dados para a World Wide Web.

— SMTP — Um padrão da Internet para transmissão de correio eletrônico (e-mail).

— SNMP — Um protocolo padrão da Internet para o gerenciamento de dispositivos em redes IP.

— Telnet — Um protocolo da camada de sessão usado na Internet ou em redes locais para fornecer comunicação bidirecional interativa orientada a texto.

— TFTP — Um utilitário de software da Internet para transferir arquivos mais simples de usar do que o FTP, mas menos capaz.

— WWW — Um sistema de servidores de Internet que suporta documentos formatados por HTTP.

- Corresponder à porta — Insira o número da porta que não está presente na lista. Os números de porta variam de 0 a 65535 no campo Match to Port para portas de origem não listadas. O intervalo inclui três tipos diferentes de portas. Os intervalos são descritos da seguinte forma:

— 0 a 1023 — Portas conhecidas

— 1024 a 49151 — Portas registradas

— 49152 a 65535 — Portas dinâmicas e/ou privadas

- Máscara — Insira a máscara de porta. A máscara determina quais bits são usados e quais bits são ignorados. Somente o dígito hexadecimal (0 â   0xFFFF) é permitido. 0 significa que o bit é importante e 1 significa que você deve ignorar esse bit.

Etapa 8. Na área IPv6 de destino, escolha um botão de opção para incluir o endereço IP do destino na condição de correspondência. Você pode escolher Any (Qualquer) ou escolher User Defined (Definido pelo usuário) digite o endereço IPv6 e o comprimento do prefixo IPv6 destino.

- Endereço IPv6 de destino — insira um endereço IPv6 para aplicar esse critério.

- Tamanho do prefixo IPv6 de destino — Insira o comprimento do prefixo do endereço IPv6 de destino.

Etapa 9. Na área Porta de destino, escolha um botão de opção para incluir uma porta de destino na condição de correspondência. Você pode escolher Qualquer para corresponder a qualquer porta de destino ou pode escolher o seguinte:

- Selecionar da lista — Escolha uma porta de destino na lista suspensa Selecionar da lista. As opções são FTP, dados FTP, HTTP, SNMP, SMTP, TFTP, Telnet, WWW.

- Corresponder à porta — Insira o número da porta que não está presente na lista. Os números de porta variam de 0 a 65535 no campo Match to Port para portas de origem não listadas. O intervalo inclui três tipos diferentes de portas. Os intervalos são descritos da seguinte forma:

— 0 a 1023 — Portas conhecidas

— 1024 a 49151 — Portas registradas

— 49152 a 65535 — Portas dinâmicas e/ou privadas

- Máscara — Insira a máscara de porta. A máscara determina quais bits são usados e quais bits são ignorados. Somente o dígito hexadecimal (0-0xFFFF) é permitido. 0 significa que o bit é importante e 1 significa que você deve ignorar esse bit.

Etapa 10. Na área Identificação de fluxo do IPv6, escolha um botão de opção para incluir o rótulo de fluxo do IPv6 na condição de correspondência. Você pode escolher Qualquer um ou Definido pelo Usuário e inserir um número de 20 bits exclusivo para um pacote IPv6. O intervalo é de 0-0xffff.

Etapa 11. Na área IPv6 DSCP, escolha um botão de opção para combinar pacotes com seu valor IP DSCP. Você pode escolher Qualquer ou pode escolher o seguinte:

- Selecionar na lista — Escolha um destes valores: DSCP Assured Forwarding (AF), Class of Service (CS) ou Expedited Forwarding (EF).

- Corresponder ao valor — insira um valor de DSCP personalizado que varia de 0 a 63.

Etapa 12. Click Save.

Etapa 13. (Opcional) Para excluir uma ACL, certifique-se de que o nome da ACL esteja selecionado na lista Nome-Tipo da ACL e marque Excluir ACL.

Agora você deve ter configurado com êxito uma ACL baseada em IPv6.