Исходное сообщение
"Фильтрация трафика и IPSec" Отправлено silencer, 23-Ноя-06 16:46
Есть такая схема: Пара десятков устройств D-Link DI-804HV поднимают динамические IPSec-туннели на Cisco 1760. D-Link'и настроены по описанию с сайта D-Link'a - http://www.dlink.ru/technical/faq_vpn_4.php конфиг на циске такой: ! crypto isakmp policy 1 encr 3des hash md5 authentication pre-share group 2 ! crypto keyring VPNSpokes   pre-shared-key address 192.168.18.0 255.255.255.0 key xxxxxxxxxxx ! crypto isakmp profile VPNLan2Lan    description LAN-to-LAN for spoke router(s) connection    keyring VPNSpokes    match identity address 0.0.0.0 ! crypto ipsec transform-set SAMPLE_SET esp-3des crypto dynamic-map dynmap 10 set transform-set SAMPLE_SET set isakmp-profile VPNLan2Lan ! crypto map VPNmap 10 ipsec-isakmp dynamic dynmap ! interface FastEthernet0/0.1 description LAN encapsulation dot1Q 1 native ip address 10.0.0.17 255.255.255.0 ip virtual-reassembly ! interface FastEthernet0/0.170 description From Operator encapsulation dot1Q 170 ip address 192.168.18.2 255.255.255.0 ip access-group FromOperator in ip access-group ToOperator out crypto map VPNmap ! ip access-list extended FromOperator remark --= Access for crypto tunnels =-- permit esp 192.168.18.0 0.0.0.255 host 192.168.18.2 permit udp 192.168.18.0 0.0.0.255 host 192.168.18.2 eq isakmp remark --= ICMP =-- permit icmp 192.168.18.0 0.0.0.255 host 192.168.18.2 deny   ip any any log ! ip access-list extended ToOperator remark --= Access for crypto tunnels =-- permit esp host 192.168.18.2 192.168.18.0 0.0.0.255 permit udp host 192.168.18.2 192.168.18.0 0.0.0.255 eq isakmp remark --= ICMP =-- permit icmp host 192.168.18.2 192.168.18.0 0.0.0.255 echo deny   ip any any log ! Необходимо прикрутить аксесс-листы, которые будут фильтровать трафик, приходящий от D-Link'ов внутри туннеля. Например, пропускать ftp, почту, веб, запрещать netbios. Вопрос в том, что я не знаю, куда прикрутить эти аксесс-листы. Можно ли каким-то образом забиндить IPSec-туннели на некий виртуальный интерфейс типа virtual-template, чтобы применить на нем аксесс-листы?

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Есть такая схема: > Пара десятков устройств D-Link DI-804HV поднимают динамические IPSec-туннели на Cisco > 1760. > D-Link'и настроены по описанию с сайта D-Link'a - http://www.dlink.ru/technical/faq_vpn_4.php > конфиг на циске такой: > ! > crypto isakmp policy 1 > encr 3des > hash md5 > authentication pre-share > group 2 > ! > crypto keyring VPNSpokes > pre-shared-key address 192.168.18.0 255.255.255.0 key xxxxxxxxxxx > ! > crypto isakmp profile VPNLan2Lan > description LAN-to-LAN for spoke router(s) connection > keyring VPNSpokes > match identity address 0.0.0.0 > ! > crypto ipsec transform-set SAMPLE_SET esp-3des > crypto dynamic-map dynmap 10 > set transform-set SAMPLE_SET > set isakmp-profile VPNLan2Lan > ! > crypto map VPNmap 10 ipsec-isakmp dynamic dynmap > ! > interface FastEthernet0/0.1 > description LAN > encapsulation dot1Q 1 native > ip address 10.0.0.17 255.255.255.0 > ip virtual-reassembly > ! > interface FastEthernet0/0.170 > description From Operator > encapsulation dot1Q 170 > ip address 192.168.18.2 255.255.255.0 > ip access-group FromOperator in > ip access-group ToOperator out > crypto map VPNmap > ! > ip access-list extended FromOperator > remark --= Access for crypto tunnels =-- > permit esp 192.168.18.0 0.0.0.255 host 192.168.18.2 > permit udp 192.168.18.0 0.0.0.255 host 192.168.18.2 eq isakmp > remark --= ICMP =-- > permit icmp 192.168.18.0 0.0.0.255 host 192.168.18.2 > deny ip any any log > ! > ip access-list extended ToOperator > remark --= Access for crypto tunnels =-- > permit esp host 192.168.18.2 192.168.18.0 0.0.0.255 > permit udp host 192.168.18.2 192.168.18.0 0.0.0.255 eq isakmp > remark --= ICMP =-- > permit icmp host 192.168.18.2 192.168.18.0 0.0.0.255 echo > deny ip any any log > ! > Необходимо прикрутить аксесс-листы, которые будут фильтровать трафик, приходящий от D-Link'ов > внутри туннеля. Например, пропускать ftp, почту, веб, запрещать netbios. > Вопрос в том, что я не знаю, куда прикрутить эти аксесс-листы. Можно > ли каким-то образом забиндить IPSec-туннели на некий виртуальный интерфейс типа virtual-template, > чтобы применить на нем аксесс-листы?
	Введите код, изображенный на картинке: