目錄

簡介

必要條件

需求

採用元件

慣例

背景資訊

設定

使用標準存取清單的篩選條件

使用延伸存取清單的篩選條件

使用基於MAC的ACL的過濾器

使用時間型ACL的過濾器

驗證

疑難排解

相關資訊

簡介

本檔案將說明如何使用指令行介面(CLI)在Cisco Aironet存取點(AP)上設定存取控制清單(ACL)型過濾器。

必要條件

需求

思科建議您瞭解以下主題的基本知識：

- 使用Aironet AP和Aironet 802.11 a/b/g客戶端介面卡配置無線連線

- ACL

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- 執行Cisco IOS®軟體版本12.3(7)JA1的Aironet 1200系列AP

- Aironet 802.11a/b/g使用者端配接器

- Aironet案頭公用程式(ADU)軟體版本2.5

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

慣例

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

背景資訊

您可以在AP上使用過濾器執行以下任務：

- 限制對無線LAN(WLAN)網路的訪問

- 提供額外的無線安全層

您可以使用不同型別的過濾器根據以下條件過濾流量：

- 特定協定

- 客戶端裝置的MAC地址

- 客戶端裝置的IP地址

您還可以啟用過濾器以限制來自有線LAN上使用者的流量。IP地址和MAC地址過濾器允許或不允許轉發傳送到特定IP或MAC地址的單播和組播資料包。

基於協定的過濾器提供了一種更精細的方式，以限制通過AP的乙太網和無線電介面訪問特定協定。您可以使用以下任一方法在AP上配置過濾器：

- Web GUI

- CLI

本檔案將說明如何使用ACL透過CLI設定過濾器。有關如何通過GUI配置過濾器的資訊，請參閱配置過濾器。

您可以使用CLI在AP上配置以下型別的基於ACL的過濾器：

- 使用標準型ACL的過濾器

- 使用延伸型ACL的過濾器

- 使用MAC位址ACL的過濾器

注意：ACL上允許的條目數受AP的CPU的限制。如果要向ACL新增大量條目（例如過濾客戶端的MAC地址清單時），請使用網路中可以執行該任務的交換機。

設定

本節提供用於設定本文件中所述功能的資訊。

使用命令查詢工具(僅供已註冊客戶使用)可查詢有關本文檔中所用命令的更多資訊。

本文檔中的所有配置均假定已建立無線連線。本文僅著重說明如何使用CLI設定過濾器。如果您沒有基本無線連線，請參閱基本無線LAN連線組態範例。

使用標準存取清單的篩選條件

您可以使用標準ACL來允許或禁止客戶端裝置根據客戶端的IP地址進入WLAN網路。標準型ACL會將IP封包的來源位址與ACL中設定的位址進行比較，以便控制流量。此型別的ACL可稱為來源IP位址型ACL。

標準型 ACL 的命令語法格式為 access-list access-list-number {permit | deny} {host ip-address | source-ip source-wildcard | any}。

在Cisco IOS®軟體版本12.3(7)JA中，ACL編號可以是1到99之間的任何數字。標準型ACL也可以使用從1300到1999的擴展範圍。這些額外的數字是延伸型IP ACL。

當標準ACL配置為拒絕對客戶端的訪問時，客戶端仍然會與AP關聯。但是，AP和客戶端之間沒有資料通訊。

此範例顯示已設定為從無線介面（radio0介面）過濾使用者端IP位址10.0.0.2的標準ACL。 AP的IP地址為10.0.0.1。

完成此操作後，IP地址為10.0.0.2的客戶端無法通過WLAN網路傳送或接收資料，即使該客戶端與AP相關聯。

完成以下步驟，以便透過CLI建立標準型ACL:

1. 通過CLI登入到AP。

使用主控台連線埠或使用Telnet以透過乙太網路介面或無線介面存取ACL。

2. 進入AP上的全域性配置模式：

AP#configure terminal

3. 核發以下命令，以便建立標準型ACL:

AP<config>#access-list 25 deny host 10.0.0.2

!--- Create a standard ACL 25 to deny access to the !--- client with IP address 10.0.0.2.

AP<config>#access-list 25 permit any

!--- Allow all other hosts to access the network.

4. 發出以下命令，將此ACL套用至無線電介面：

AP<config>#interface Dot11Radio 0

AP<config-if>#ip access-group 25 in

!--- Apply the standard ACL to the radio interface 0.

您還可以建立標準命名型ACL(NACL)。 NACL使用名稱而不是數字來定義ACL。

AP#configure terminal

AP<config>#ip access-list standard name

AP<config>#permit | deny {host ip-address | source-ip [source-wildcard] | any} log

發出以下命令，以便使用標準NACL拒絕主機10.0.0.2訪問WLAN網路：

AP#configure terminal

AP<config>#ip access-list standard TEST

!--- Create a standard NACL TEST.

AP<config-std-nacl>#deny host 10.0.0.2

!--- Disallow the client with IP address 10.0.0.2 !--- access to the network.

AP<config-std-nacl>#permit any

!--- Allow all other hosts to access the network.

AP<config-std-nacl>#exit

!--- Exit to global configuration mode.

AP<config>#interface Dot11Radio 0

!--- Enter dot11 radio0 interface mode.

AP<config-if>#ip access-group TEST in

!--- Apply the standard NACL to the radio interface.

使用延伸存取清單的篩選條件

延伸型ACL會將IP封包的來源和目的地位址與ACL中設定的位址進行比較，以便控制流量。延伸型ACL也提供了一種根據特定通訊協定過濾流量的方法。這樣可為WLAN網路上的過濾器實作提供更精細的控制。

延伸型ACL允許使用者端存取網路上的某些資源，但使用者端無法存取其他資源。例如，您可以實施一個過濾器，允許DHCP和Telnet流量流向客戶端，同時限制所有其他流量。

以下是延伸型ACL的命令語法：

注意：出於空間考慮，此命令將換行到四行。

access-list access-list-number [dynamic dynamic-name [timeout minutes]]

{deny | permit} protocol source source-wildcard

destination destination-wildcard [precedence precedence]

[tos tos] [log | log-input] [time-range time-range-name]

在Cisco IOS軟體版本12.3(7)JA中，延伸型ACL可以使用100到199之間的數字。延伸型ACL也可以使用2000到2699之間的數字。這是延伸型ACL的延伸範圍。

注意：個別ACL專案結尾的log關鍵字顯示：

- ACL編號和名稱

- 允許還是拒絕封包

- 埠特定資訊

延伸型ACL也可以使用名稱而非數字。以下是建立延伸型NACL的語法：

ip access-list extended name

{deny | permit} protocol source source-wildcard

destination destination-wildcard [precedence precedence]

[tos tos] [log | log-input] [time-range time-range-name]

此組態範例使用延伸型NACL。要求是擴展NACL必須允許Telnet訪問客戶端。您必須限制WLAN網路上所有其他的協定。此外，客戶端使用DHCP來獲取IP地址。您必須建立一個具有以下特徵的擴展ACL:

- 允許DHCP和Telnet流量

- 拒絕所有其他流量型別

將此擴展ACL應用於無線電介面後，客戶端將與AP關聯並從DHCP伺服器獲取IP地址。客戶端也可以使用Telnet。拒絕所有其他流量型別。

完成以下步驟，以便在AP上建立延伸型ACL:

1. 通過CLI登入到AP。

使用主控台連線埠或Telnet，透過乙太網路介面或無線介面存取ACL。

2. 進入AP上的全域性配置模式：

AP#configure terminal

3. 核發以下命令，以便建立延伸型ACL:

AP<config>#ip access-list extended Allow_DHCP_Telnet

!--- Create an extended ACL Allow_DHCP_Telnet.

AP<config-extd-nacl>#permit tcp any any eq telnet

!--- Allow Telnet traffic.

AP<config-extd-nacl>#permit udp any any eq bootpc

!--- Allow DHCP traffic.

AP<config-extd-nacl>#permit udp any any eq bootps

!--- Allow DHCP traffic.

AP<config-extd-nacl>#deny ip any any

!--- Deny all other traffic types.

AP<config-extd-nacl>#exit

!--- Return to global configuration mode.

4. 發出以下命令，以便將ACL套用至無線電介面：

AP<config>#interface Dot11Radio 0

AP<config-if>#ip access-group Allow_DHCP_Telnet in

!--- Apply the extended ACL Allow_DHCP_Telnet !--- to the radio0 interface.

使用基於MAC的ACL的過濾器

您可以使用基於MAC地址的過濾器來根據硬編碼MAC地址過濾客戶端裝置。當客戶端被拒絕通過基於MAC的過濾器訪問時，客戶端無法與AP關聯。MAC地址過濾器允許或不允許轉發從特定MAC地址傳送或發往特定MAC地址的單播和組播資料包。

以下是在AP上建立基於MAC地址的ACL的命令語法：

注意：出於空間方面的考慮，此命令已包裝為兩行。

access-list access-list-number {permit | deny}

48-bit-hardware-address 48-bit-hardware-address-mask

在Cisco IOS軟體版本12.3(7)JA中，MAC位址ACL可以使用700到799範圍內的編號作為ACL編號。它們還可以使用從1100到1199的擴展範圍中的數字。

此範例說明如何透過CLI設定基於MAC的過濾器，以便使用MAC位址0040.96a5.b5d4過濾使用者端:

1. 通過CLI登入到AP。

使用主控台連線埠或Telnet，透過乙太網路介面或無線介面存取ACL。

2. 在AP CLI上進入全域性配置模式：

AP#configure terminal

3. 建立MAC地址ACL 700。

此ACL不允許客戶端0040.96a5.b5d4與AP關聯。

access-list 700 deny 0040.96a5.b5d4 0000.0000.0000

!--- This ACL denies all traffic to and from !--- the client with MAC address 0040.96a5.b5d4.

4. 發出此命令，以將此基於MAC的ACL應用於無線電介面：

dot11 association mac-list 700

!--- Apply the MAC-based ACL.

在AP上配置此過濾器後，具有此MAC地址的客戶端（以前與AP相關聯）將取消關聯。AP控制檯傳送以下消息：

AccessPoint# *Mar 1 01:42:36.743: %DOT11-6-DISASSOC: Interface

Dot11Radio0, Deauthenticating Station 0040.96a5.b5d4

使用時間型ACL的過濾器

時間型ACL是可以在特定期間啟用或停用的ACL。此功能提供了健壯性和靈活性，可定義允許或拒絕特定型別流量的訪問控制策略。

以下範例說明如何透過CLI設定時間型ACL，在工作日的外部網路中允許Telnet連線：

注意：基於時間的ACL可以根據需要在Aironet AP的快速乙太網埠或無線埠上定義。它從未應用於橋接組虛擬介面(BVI)。

1. 通過CLI登入到AP。

使用主控台連線埠或Telnet，透過乙太網路介面或無線介面存取ACL。

2. 在AP CLI上進入全域性配置模式：

AP#configure terminal

3. 建立時間範圍。為此，請在全域性配置模式下發出以下命令：

AP<config>#time-range Test

!--- Create a time-range with name Test.

AP(config-time-range)# periodic weekdays 7:00 to 19:00

!--- Allows access to users during weekdays from 7:00 to 19:00 hrs.

4. 建立ACL 101:

AP<config># ip access-list extended 101

AP<config-ext-nacl>#permit tcp 10.1.1.0 0.0.0.255 172.16.1.0 0.0.0.255 eq telnet time-range Test

!--- This ACL permits Telnet traffic to and from !--- the network for the specified time-range Test.

此ACL允許在工作日與AP進行Telnet會話。

5. 發出此命令，以將此時間型ACL套用到乙太網路介面：

interface Ethernet0/0

ip address 10.1.1.1 255.255.255.0

ip access-group 101 in

!--- Apply the time-based ACL.

驗證

目前沒有適用於此組態的驗證程序。

疑難排解

使用本節內容，對組態進行疑難排解。

完成以下步驟即可從介面中移除ACL:

1. 進入介面配置模式。

2. 在ip access-group命令前輸入no，如以下示例所示：

interface interface

no ip access-group {access-list-name | access-list-number} {in | out}

您還可以使用show access-list名稱 | number命令以排解組態疑難問題。show ip access-list命令會提供一個封包數量，顯示所命中的ACL專案。

避免使用CLI和Web瀏覽器介面來配置無線裝置。如果使用CLI配置無線裝置，Web瀏覽器介面可能會顯示對配置的不準確解釋。但是，不準確並不意味著無線裝置配置錯誤。例如，如果使用CLI配置ACL，Web瀏覽器介面可以顯示以下消息：

如果您看到以下訊息，請使用CLI刪除ACL，然後使用Web瀏覽器介面重新配置它們。

相關資訊

- 配置過濾器

- 無線支援頁面

- 技術支援與文件 - Cisco Systems