Dell EMC Networking Skapa och tillämpa hanterings-ACL på X-serien

Skapa och tillämpa en hanterings-ACL på X-serien: Blockera värdåtkomst till switchhantering

Exempelscenario och krav

Implementera en switch i X-serien och vill förhindra att användare från ett specifikt undernät får åtkomst till switchhanteringsfunktionerna. För att göra detta skapar vi en åtkomstkontrollista (ACL), fyller i den med relevanta åtkomstkontrollposter (ACE:er) och tillämpar ACL:en på ett gränssnitt.
I det här scenariot är syftet att blockera alla klienter i undernätet 172.31.200.0/24 från att komma åt IP-adressen för växeln. Switchen har flera IP-adresser, både på klientens lokala subnät (172.31.200.3) och på ett separat trådlöst subnet.
Om routning är aktiverat i X-serien måste den ACL som skapas blockera åtkomst både till IP-adressen för switchen i det lokala undernätet, samt all trafik som kommer från klientundernätet till andra IP-adresser för undernätet på switchen (t.ex. från 172.31.200.0/24 till 172.30.200.3).

Miljö
 

Klientnätverk: 172.31.200.0/24
Klientnätverksanslutning: Omärkt VLAN 50, port Gi 1/0/1-switch-IP-adresser
:
            VLAN 10 – trådlöst – 172.30.200.3/24
VLAN 50 – klienter 172.31.200.3/24

 

Steg för att skapa

Nätverksadministration -> Säkerhet -> ACL


Fig. 1 – Åtkomst till ACL/ACE-konfigurationssidan i WebGUI

 

1a – den slutliga ACL som skapats med hjälp av den här artikeln. Lägg märke till hur switchen ersätter vissa portnummer för deras välkända användning (23 blir "telnet" och 80 blir "www")

 

Skapa ACL

IPV4-baserad ACL -> Redigera -> Lägg till -> Skapa ett namn (inga mellanslag) -> OK -> Stäng popup

Fig. 2 – Namnge ACL. Undvik att använda blanksteg eller icke-standardtecken i ACL-namn.

 

Lägga till poster (ACE) i en ACL

IPv4-baserad ACE -> (ACL-namn finns i rullgardinsmenyn, välj det du just gjorde) -> Redigera -> Lägg till -> Fyll i regler för inmatning -> Ok

Varje ACE kommer att rikta in sig på ett hanteringsprotokoll som vi vill blockera samt det unika mål vi vill blockera. Vi måste skapa en separat grupp av ACE:er för den andra möjliga hanterings-IP:n eftersom alternativet är att blockera protokollen utan hänsyn till deras destination – vilket skulle blockera något av dessa protokoll som försöker transitera switchen, vilket är långt bortom vad vi försöker göra – eller blockera utan hänsyn till protokoll och endast baserat på destination, vilket skulle neka all dirigerad trafik!



Fikon. 3 – Lägga till ACE för att blockera 172.31.200.0/24-klienter från Telnetting till 172.31.200.3. Alternativen i rött krävs för våra ändamål; loggning – inringad i orange – är valfritt.

 

 

 

Upprepa för varje protokoll (1 för telnet(23), 1 för http(80), 1 för https(443), 1 för ssh(22) [om det är konfigurerat – ssh-åtkomst till X-serien är inaktiverad som standard] och destination, och slutligen en "permit all"-sats i slutet för att tillåta allt som inte uttryckligen blockeras – se fig. 4) -> Ok



Fig. 4 – Att skapa uttalandet "permit all". Om du inte lägger till detta resulterar det i en implicit nekande i slutet av ACL:en, vilket innebär att om växeln når slutet av ACL:en (regler tillämpas i prioritetsordning) och ingen av reglerna har matchat, kommer den att neka trafiken. Vi lägger till ett tillstånd allt för att undvika att neka all specifikt riktad trafik och all trafik som vi inte refererar till alls.

När du är klar bör ACE-posterna för din ACL se ut ungefär som i bild 5 nedan. Figuren har utelämnat de variabler som vi inte konfigurerade för bättre visning.



Fikon. 5 – Redigerad för tydlighetens skull. Här visas alla ACE:er – regler – som utgör en viss ACL. Här blockerar vi 4 olika protokoll – 22, 23, 80 och 443 – till två olika destinationer – 172.31.200.3/32 och 172.30.200.3/32.
 

Tillämpa ACL på ett gränssnitt

ACL-bindning -> Redigera -> Klicka på Redigera ikon efter port -> Lämna "Ingress" markerat -> Markera "Välj IPv4-baserad ACL (välj ACL i listrutan om den inte redan är ifylld) -> OK


Fig. 6 – Applicera ACL på gränssnittet. Vi väljer ingress så att all trafik som kommer in på Gi1/0/1 kontrolleras mot ACL:en innan den tillåts vidare i switchen.