форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Маршрутизаторы CISCO и др. оборудование. (ACL, фильтрация и ограничение трафика)
Изначальное сообщение		[ Отслеживать ]

"Access list  -ы в cisco"	+/–
Сообщение от yazviy (ok) on 27-Авг-13, 16:40
Уважаемые специалисты подскажите что из этих access листов может мешать банковскому терминалу получающему ip адрес из сети 192.168.1.0 общаться с банком по портам 19000 и 5100 : ip access-list extended nat remark SDM_ACL Category=18 deny   ip 10.10.1.0 0.0.0.255 192.168.2.0 0.0.0.255 deny   ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 deny   ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 deny   ip 192.168.0.0 0.0.255.255 192.168.0.0 0.0.255.255 deny   ip 192.168.0.0 0.0.255.255 10.10.0.0 0.0.255.255 deny   ip 10.10.0.0 0.0.0.255 192.168.0.0 0.0.255.255 permit tcp 192.168.1.0 0.0.0.255 any eq www permit tcp 192.168.10.0 0.0.0.255 any eq www permit tcp 192.168.10.0 0.0.0.255 any eq 443 permit tcp 192.168.1.0 0.0.0.255 any eq 443 deny   tcp 192.168.1.0 0.0.0.255 any eq smtp permit ip 192.168.1.0 0.0.0.255 any ! access-list 1 remark SDM_ACL Category=2 access-list 1 permit 192.168.2.0 0.0.0.255 access-list 2 permit 192.168.1.53 access-list 2 permit 192.168.1.1 access-list 2 permit 192.168.1.171 access-list 2 permit 192.168.1.0 0.0.0.255 access-list 2 permit 192.168.10.0 0.0.0.255 access-list 101 permit udp any any eq domain access-list 101 permit udp any eq domain any access-list 102 permit ip host 192.168.1.1 any access-list 102 permit ip host 192.168.1.13 any access-list 102 permit ip host 192.168.1.77 any access-list 110 permit ip 10.10.1.0 0.0.0.255 192.168.2.0 0.0.0.255 access-list 110 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 dialer-list 1 protocol ip permit
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Access list  -ы в cisco"	+/–
Сообщение от Merridius (ok) on 27-Авг-13, 17:03
>[оверквотинг удален] > access-list 2 permit 192.168.1.0 0.0.0.255 > access-list 2 permit 192.168.10.0 0.0.0.255 > access-list 101 permit udp any any eq domain > access-list 101 permit udp any eq domain any > access-list 102 permit ip host 192.168.1.1 any > access-list 102 permit ip host 192.168.1.13 any > access-list 102 permit ip host 192.168.1.77 any > access-list 110 permit ip 10.10.1.0 0.0.0.255 192.168.2.0 0.0.0.255 > access-list 110 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 > dialer-list 1 protocol ip permit С таким построением вопроса вам вряд ли ответит кто-нибудь. Какой метод соединения с сервером? Куда акл вешаете, в каком направлении? Протокол tcp? udp? Короче ничего не понятно.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Access list  -ы в cisco"	+/–
Сообщение от crash (ok) on 28-Авг-13, 06:35
как сказали выше как вешаете листы. Или здесь сидят телепаты и все знают, что и как у вас настроено? Так же не ясен адрес банка, если соединение просто через интернет, то как минимум мешает ip access-list extended nat, потому что открыты порты только 80 и 443
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	3. "Access list  -ы в cisco"	+/–
	Сообщение от yazviy (ok) on 28-Авг-13, 13:29
	соединение c банком просто через интернет, по tcp протоколу используя порты 5100 и 19000 попробовал прописать в нате Extended IP access list nat     10 deny ip 10.10.1.0 0.0.0.255 192.168.2.0 0.0.0.255 (18428 matches)     20 deny ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255     30 deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 (2476376 matches)     40 deny ip 192.168.0.0 0.0.255.255 192.168.0.0 0.0.255.255 (98646 matches)     50 deny ip 192.168.0.0 0.0.255.255 10.10.0.0 0.0.255.255 (2520 matches)     60 deny ip 10.10.0.0 0.0.0.255 192.168.0.0 0.0.255.255     70 permit tcp 192.168.1.0 0.0.0.255 any eq www (1570246 matches)     80 permit tcp 192.168.10.0 0.0.0.255 any eq www (992855 matches)     90 permit tcp 192.168.10.0 0.0.0.255 any eq 443 (182287 matches)     100 permit tcp 192.168.1.0 0.0.0.255 any eq 443 (141264 matches)     101 permit udp 192.168.1.0 0.0.0.255 any eq 5100 (3 matches)     102 permit udp 192.168.1.0 0.0.0.255 any eq 19000 (4 matches)     103 permit tcp 192.168.1.0 0.0.0.255 any eq 5100 (3 matches)     104 permit tcp 192.168.1.0 0.0.0.255 any eq 19000 (4 matches)     110 deny tcp 192.168.1.0 0.0.0.255 any eq smtp (544 matches)     120 permit ip 192.168.1.0 0.0.0.255 any (293982 matches) результат тот же... пробывал вообще вот так : Extended IP access list nat     10 deny ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.255.255 (4118 matches)     20 permit ip 192.168.1.0 0.0.0.255 any (3344 matches) результат тот же... на интерфейсах висит следующее : interface FastEthernet0/0 ip address *.*.1.1 255.255.255.0 ip nat inside ip virtual-reassembly ip route-cache flow speed auto full-duplex no mop enabled ! interface FastEthernet0/1 ip address *.*.*.* 255.255.255.240 ip nat outside ip virtual-reassembly duplex auto speed 100 crypto map VPN
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	4. "Access list  -ы в cisco"	+/–
	Сообщение от Andrey (??) on 28-Авг-13, 14:16
	> соединение c банком просто через интернет, по tcp протоколу используя порты 5100 > и 19000 Банк работает без IP, просто через интернет? Пропишите правило для ICMP и попробуйте пингом простучать. >     101 permit udp 192.168.1.0 0.0.0.255 any eq 5100  (3 matches) >     102 permit udp 192.168.1.0 0.0.0.255 any eq 19000  (4 matches) >     103 permit tcp 192.168.1.0 0.0.0.255 any eq 5100  (3 matches) >     104 permit tcp 192.168.1.0 0.0.0.255 any eq 19000  (4 matches) Каунтеры есть. Т.е. через NAT оно проходит. Кстати, вы говорите что у вас TCP, а каунтеры есть и по UDP. Непонятно... > interface FastEthernet0/0 >  ip address *.*.1.1 255.255.255.0 >  ip nat inside > ! > interface FastEthernet0/1 >  ip address *.*.*.* 255.255.255.240 >  ip nat outside И как уважаемое сообщество должно догадаться через какой интрефейс у вас живет 192.168.1.0/24? Теоретически догадаться можно, но вдруг вы любитель нетрадиционных методов..
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	6. "Access list  -ы в cisco"	+/–
	Сообщение от yazviy (ok) on 28-Авг-13, 14:27
	> И как уважаемое сообщество должно догадаться через какой интерфейс у вас живет > 192.168.1.0/24? Теоретически догадаться можно, но вдруг вы любитель нетрадиционных методов.. > interface FastEthernet0/0 >  ip address 192.168.1.1 255.255.255.0 >  ip nat inside > ! > interface FastEthernet0/1 >  ip address *.*.*.* 255.255.255.240 >  ip nat outside извиняюсь думал будет понятно :) по поводу работы по TCP информация от банка но пока мучался на всякий случай решил и UDP прописать... терминалы должны ломится на конкретный ip банка что самое интересное и этот ip адрес доступен из сети и порты тоже , пробывал telnet-ом . Закралась мысль что что то не так с терминалом , взял домой воткнул в роутер - связь есть!
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	8. "Access list  -ы в cisco"	+/–
	Сообщение от crash (ok) on 28-Авг-13, 14:29
	> по поводу работы по TCP информация от банка но пока мучался на > всякий случай решил и UDP прописать... > терминалы должны ломится на конкретный ip банка что самое интересное и этот > ip адрес доступен из сети и порты тоже , пробывал telnet-ом > . Закралась мысль что что то не так с терминалом , > взял домой воткнул в роутер - связь есть! поставьте вместо терминала ноутбук и попробуйте прителнетиться. Или покажите уже конфиг весь, а не частями выплевывайте
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	9. "Access list  -ы в cisco"	+/–
	Сообщение от yazviy (ok) on 28-Авг-13, 14:44
	> поставьте вместо терминала ноутбук и попробуйте прителнетиться. Как раз так и пробывал всё выходил с бука.. >  Или покажите уже конфиг весь, а не частями выплевывайте version 12.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption service sequence-numbers ! hostname Router ! boot-start-marker boot-end-marker ! logging buffered 4096 debugging enable secret 5 * ! no aaa new-model ! resource policy ! clock timezone MSK 3 ip cef ! ! ! ! ip flow-cache timeout active 1 ip domain name ip name-server 8.8.8.8 ip name-server 8.8.4.4 ! ! voice-card 0 ! ! ! username * privilege 15 secret 5 ! ! crypto isakmp policy 3 encr 3des hash md5 authentication pre-share group 2   lifetime 3600 crypto isakmp key SPIR-SHEREM address *.*.*.* ! ! crypto ipsec transform-set HEAD-ESP-3DES-MD5 esp-3des esp-md5-hmac mode transport crypto ipsec nat-transparency spi-matching ! crypto map VPN 1 ipsec-isakmp set peer *.*.*.* set transform-set HEAD-ESP-3DES-MD5 set pfs group2 match address 110 ! ! ! ! ! interface Tunnel0 ip address *.*.*.* 255.255.255.252 ip tcp adjust-mss 1436 shutdown tunnel source FastEthernet0/1 tunnel destination *.*.*.* ! interface Tunnel2 ip address *.*.*.* 255.255.255.252 ip tcp adjust-mss 1436 tunnel source FastEthernet0/1 tunnel destination *.*.*.* ! interface FastEthernet0/0 description $ETH-LAN$ ip address 10.10.1.1 255.255.255.0 ip nat inside ip virtual-reassembly ip route-cache flow speed auto full-duplex no mop enabled ! interface FastEthernet0/1 description $ETH-LAN$ ip address *.*.*.* 255.255.255.240 ip nat outside ip virtual-reassembly duplex auto speed 100 crypto map VPN ! ip route 0.0.0.0 0.0.0.0 *.*.*.* ip route 192.168.1.0 255.255.255.0 10.10.1.2 ip route 192.168.3.0 255.255.255.0 Tunnel2 ip route 192.168.10.0 255.255.255.0 10.10.1.2 ! ip dns server ip flow-export source FastEthernet0/0 ip flow-export version 5 ! ip http server no ip http secure-server ip nat inside source route-map SDM_RMAP_1 interface FastEthernet0/1 overload ! ip access-list extended nat remark SDM_ACL Category=18 deny   ip 10.10.1.0 0.0.0.255 192.168.2.0 0.0.0.255 deny   ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 deny   ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 deny   ip 192.168.0.0 0.0.255.255 192.168.0.0 0.0.255.255 deny   ip 192.168.0.0 0.0.255.255 10.10.0.0 0.0.255.255 deny   ip 10.10.0.0 0.0.0.255 192.168.0.0 0.0.255.255 permit tcp 192.168.1.0 0.0.0.255 any eq www permit tcp 192.168.10.0 0.0.0.255 any eq www permit tcp 192.168.10.0 0.0.0.255 any eq 443 permit tcp 192.168.1.0 0.0.0.255 any eq 443 permit udp 192.168.1.0 0.0.0.255 any eq 5100 permit udp 192.168.1.0 0.0.0.255 any eq 19000 permit tcp 192.168.1.0 0.0.0.255 any eq 5100 permit tcp 192.168.1.0 0.0.0.255 any eq 19000 deny   tcp 192.168.1.0 0.0.0.255 any eq smtp permit ip 192.168.1.0 0.0.0.255 any ! access-list 1 remark SDM_ACL Category=2 access-list 1 permit 192.168.2.0 0.0.0.255 access-list 2 permit 192.168.1.53 access-list 2 permit 192.168.1.1 access-list 2 permit 192.168.1.171 access-list 2 permit 192.168.1.0 0.0.0.255 access-list 2 permit 192.168.10.0 0.0.0.255 access-list 101 permit udp any any eq domain access-list 101 permit udp any eq domain any access-list 102 permit ip host 192.168.1.1 any access-list 102 permit ip host 192.168.1.13 any access-list 102 permit ip host 192.168.1.77 any access-list 110 permit ip 10.10.1.0 0.0.0.255 192.168.2.0 0.0.0.255 access-list 110 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 dialer-list 1 protocol ip permit ! ! ! route-map SDM_RMAP_1 permit 1 match ip address nat ! ! ! ! control-plane ! ! ! ! ! ! ! ! ! line con 0 line aux 0 line vty 0 4 password login transport input telnet ssh transport output telnet ssh ! scheduler allocate 20000 1000 ! webvpn context Default_context ssl authenticate verify all ! no inservice ! end
	Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

	10. "Access list  -ы в cisco"	+/–
	Сообщение от crash (ok) on 28-Авг-13, 15:35
	>ip route 192.168.1.0 255.255.255.0 10.10.1.2 а на 10.10.1.2 это у вас что за железка и что настроено на ней?
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	11. "Access list  -ы в cisco"	+/–
	Сообщение от yazviy (ok) on 28-Авг-13, 16:36
	>>ip route 192.168.1.0 255.255.255.0 10.10.1.2 >  а на 10.10.1.2 это у вас что за железка и что > настроено на ней?
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	12. "Access list  -ы в cisco"	+/–
	Сообщение от yazviy (ok) on 28-Авг-13, 16:38
	>>>ip route 192.168.1.0 255.255.255.0 10.10.1.2 >>  а на 10.10.1.2 это у вас что за железка и что >> настроено на ней? 10.10.1.2 это коммутатор цисковский по сути там интересное из настроек только : ip route 0.0.0.0 0.0.0.0 10.10.1.1 и Extended IP access list 100     10 permit gre any any     20 deny ip any any Extended IP access list block     10 deny ip host 192.168.10.175 any     20 permit ip any any Extended MAC access list ARP_Kill     permit host c86c.8700.31cb any     permit host c86c.8700.31fd any     permit host 0080.1628.335e any всё остальное никакого отношения к данной проблеме иметь не может...
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	13. "Access list  -ы в cisco"	+/–
	Сообщение от crash (ok) on 29-Авг-13, 09:28
	и куда 100 лист привязывается?
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	14. "Access list  -ы в cisco"	+/–
	Сообщение от yazviy (ok) on 29-Авг-13, 11:49
	> и куда 100 лист привязывается? посмотрел , вроде бы никуда.
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	15. "Access list  -ы в cisco"	+/–
	Сообщение от Andrey (??) on 29-Авг-13, 13:56
	> терминалы должны ломится на конкретный ip банка На какой? >> и куда 100 лист привязывается? > посмотрел , вроде бы никуда. Думаю что стоит закрыть тему. Уважаемый yazviy, что такого есть в ваших конфигах, что их нужно из вас выдавливать? Если не понимаете как оно работает - пригласите специалиста, оплатите необходимые работы. Если хотите получить помощь на форуме - перестаньте скрывать данные которые необходимы для диагностики. При включении в локалку терминал IP получает? Какой? Покажите конфиг свитча. На какой порт свитча вешается терминал? Попробуйте убрать ip virtual-reassembly с интерфейсов маршрутизатора. Попробуйте убрать крипто-мап с внешнего интерфеса маршрутизатора. Сделайте конфигурации интерфейсов минимальными.
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

	5. "Access list  -ы в cisco"	+/–
	Сообщение от crash (ok) on 28-Авг-13, 14:26
	> interface FastEthernet0/1 >  ip address *.*.*.* 255.255.255.240 >  ip nat outside >  ip virtual-reassembly >  duplex auto >  speed 100 >  crypto map VPN уверены, что не в vpn туннеле соединение должно быть?
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	7. "Access list  -ы в cisco"	+/–
	Сообщение от yazviy (ok) on 28-Авг-13, 14:28
	>> interface FastEthernet0/1 >>  ip address *.*.*.* 255.255.255.240 >>  ip nat outside >>  ip virtual-reassembly >>  duplex auto >>  speed 100 >>  crypto map VPN > уверены, что не в vpn туннеле соединение должно быть? уверен!
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема