forum.opennet.ru - "Фильтрация трафика и IPSec" (4)

форумы

помощь

поиск

регистрация

майллист

ВХОД

слежка

"Фильтрация трафика и IPSec"

Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[Проследить за развитием треда]

"Фильтрация трафика и IPSec"
Сообщение от silencer (??) on 23-Ноя-06, 16:46
Есть такая схема: Пара десятков устройств D-Link DI-804HV поднимают динамические IPSec-туннели на Cisco 1760. D-Link'и настроены по описанию с сайта D-Link'a - http://www.dlink.ru/technical/faq_vpn_4.php конфиг на циске такой: ! crypto isakmp policy 1 encr 3des hash md5 authentication pre-share group 2 ! crypto keyring VPNSpokes pre-shared-key address 192.168.18.0 255.255.255.0 key xxxxxxxxxxx ! crypto isakmp profile VPNLan2Lan description LAN-to-LAN for spoke router(s) connection keyring VPNSpokes match identity address 0.0.0.0 ! crypto ipsec transform-set SAMPLE_SET esp-3des crypto dynamic-map dynmap 10 set transform-set SAMPLE_SET set isakmp-profile VPNLan2Lan ! crypto map VPNmap 10 ipsec-isakmp dynamic dynmap ! interface FastEthernet0/0.1 description LAN encapsulation dot1Q 1 native ip address 10.0.0.17 255.255.255.0 ip virtual-reassembly ! interface FastEthernet0/0.170 description From Operator encapsulation dot1Q 170 ip address 192.168.18.2 255.255.255.0 ip access-group FromOperator in ip access-group ToOperator out crypto map VPNmap ! ip access-list extended FromOperator remark --= Access for crypto tunnels =-- permit esp 192.168.18.0 0.0.0.255 host 192.168.18.2 permit udp 192.168.18.0 0.0.0.255 host 192.168.18.2 eq isakmp remark --= ICMP =-- permit icmp 192.168.18.0 0.0.0.255 host 192.168.18.2 deny ip any any log ! ip access-list extended ToOperator remark --= Access for crypto tunnels =-- permit esp host 192.168.18.2 192.168.18.0 0.0.0.255 permit udp host 192.168.18.2 192.168.18.0 0.0.0.255 eq isakmp remark --= ICMP =-- permit icmp host 192.168.18.2 192.168.18.0 0.0.0.255 echo deny ip any any log ! Необходимо прикрутить аксесс-листы, которые будут фильтровать трафик, приходящий от D-Link'ов внутри туннеля. Например, пропускать ftp, почту, веб, запрещать netbios. Вопрос в том, что я не знаю, куда прикрутить эти аксесс-листы. Можно ли каким-то образом забиндить IPSec-туннели на некий виртуальный интерфейс типа virtual-template, чтобы применить на нем аксесс-листы?
Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Фильтрация трафика и IPSec, Lacunacoil, 22:01 , 23-Ноя-06, (1)

Фильтрация трафика и IPSec, silencer, 11:17 , 24-Ноя-06, (2)

Фильтрация трафика и IPSec, ВОЛКА, 13:24 , 24-Ноя-06, (3)

Фильтрация трафика и IPSec, silencer, 13:38 , 28-Ноя-06, (4)

Сообщения по теме [Сортировка по времени, UBB]

1. "Фильтрация трафика и IPSec"

Сообщение от Lacunacoil (ok) on 23-Ноя-06, 22:01

>Есть такая схема:
>Пара десятков устройств D-Link DI-804HV поднимают динамические IPSec-туннели на Cisco 1760.
>D-Link'и настроены по описанию с сайта D-Link'a - http://www.dlink.ru/technical/faq_vpn_4.php
>
>конфиг на циске такой:
>!
>crypto isakmp policy 1
>encr 3des
>hash md5
>authentication pre-share
>group 2
>!
>crypto keyring VPNSpokes
>  pre-shared-key address 192.168.18.0 255.255.255.0 key xxxxxxxxxxx
>!
>crypto isakmp profile VPNLan2Lan
>   description LAN-to-LAN for spoke router(s) connection
>   keyring VPNSpokes
>   match identity address 0.0.0.0
>!
>crypto ipsec transform-set SAMPLE_SET esp-3des
>
>crypto dynamic-map dynmap 10
> set transform-set SAMPLE_SET
> set isakmp-profile VPNLan2Lan
>!
>crypto map VPNmap 10 ipsec-isakmp dynamic dynmap
>!
>interface FastEthernet0/0.1
> description LAN
> encapsulation dot1Q 1 native
> ip address 10.0.0.17 255.255.255.0
> ip virtual-reassembly
>!
>interface FastEthernet0/0.170
> description From Operator
> encapsulation dot1Q 170
> ip address 192.168.18.2 255.255.255.0
> ip access-group FromOperator in
> ip access-group ToOperator out
> crypto map VPNmap
>!
>ip access-list extended FromOperator
> remark --= Access for crypto tunnels =--
> permit esp 192.168.18.0 0.0.0.255 host 192.168.18.2
> permit udp 192.168.18.0 0.0.0.255 host 192.168.18.2 eq isakmp
> remark --= ICMP =--
> permit icmp 192.168.18.0 0.0.0.255 host 192.168.18.2
> deny   ip any any log
>!
>ip access-list extended ToOperator
> remark --= Access for crypto tunnels =--
> permit esp host 192.168.18.2 192.168.18.0 0.0.0.255
> permit udp host 192.168.18.2 192.168.18.0 0.0.0.255 eq isakmp
> remark --= ICMP =--
> permit icmp host 192.168.18.2 192.168.18.0 0.0.0.255 echo
> deny   ip any any log
>!
>
>
>Необходимо прикрутить аксесс-листы, которые будут фильтровать трафик, приходящий от D-Link'ов внутри туннеля.
>Например, пропускать ftp, почту, веб, запрещать netbios.
>
>Вопрос в том, что я не знаю, куда прикрутить эти аксесс-листы. Можно
>ли каким-то образом забиндить IPSec-туннели на некий виртуальный интерфейс типа virtual-template,
>чтобы применить на нем аксесс-листы?
Ну во-первых можно с помощью АКЛ указать какой трафик надо пускать по тунелю.
Второе можно поднять статические тунели.
В Третьих можно повесить на интерфейсы которые смотрят к юзерам.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "Фильтрация трафика и IPSec"

Сообщение от silencer (ok) on 24-Ноя-06, 11:17

>
>Ну во-первых можно с помощью АКЛ указать какой трафик надо пускать по
>тунелю.
В D-Link'е DI-804HV можно описать только IP-подсеть, весь трафик от которой пойдет в туннель. Те "аксесс-листы", которые можно прикрутить на D-link'e, не затрагивают трафика, уходящего в туннель.
>Второе можно поднять статические тунели.
D-Link DI-804HV не поддерживает GRE-туннели, если вы это имеете в виду.
>В Третьих можно повесить на интерфейсы которые смотрят к юзерам.
Вы имеете в виду interface FastEthernet0/0.170 ? Там есть аксесс-листы, притом закручены достаточно жестко (см. конфиг). Туннельный трафик проходит через них, поскольку он инкапсулирован внутри esp, как я понимаю.
Я прекрасно понимаю, как это сделать на связке cisco-cisco. Здесь вопросов нет.
Но задача, к сожалению, поставлена именно так, чтобы организовать фильтрацию трафика внутри vpn на связке DLink - cisco.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "Фильтрация трафика и IPSec"

Сообщение от ВОЛКА on 24-Ноя-06, 13:24

http://www.cisco.com/univercd/cc/td/doc/product/software/ios123/123newft/123t/123t_8/gt_crpks.htm

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "Фильтрация трафика и IPSec"

Сообщение от silencer (ok) on 28-Ноя-06, 13:38

>http://www.cisco.com/univercd/cc/td/doc/product/software/ios123/123newft/123t/123t_8/gt_crpks.htm
Спасибо, прикрутил ACL по этой доке - все отлично заработало. Версия иоса у меня - 12.4(7).

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Фильтрация трафика и IPSec"
Сообщение от Lacunacoil (ok) on 23-Ноя-06, 22:01
>Есть такая схема: >Пара десятков устройств D-Link DI-804HV поднимают динамические IPSec-туннели на Cisco 1760. >D-Link'и настроены по описанию с сайта D-Link'a - http://www.dlink.ru/technical/faq_vpn_4.php > >конфиг на циске такой: >! >crypto isakmp policy 1 >encr 3des >hash md5 >authentication pre-share >group 2 >! >crypto keyring VPNSpokes > pre-shared-key address 192.168.18.0 255.255.255.0 key xxxxxxxxxxx >! >crypto isakmp profile VPNLan2Lan > description LAN-to-LAN for spoke router(s) connection > keyring VPNSpokes > match identity address 0.0.0.0 >! >crypto ipsec transform-set SAMPLE_SET esp-3des > >crypto dynamic-map dynmap 10 > set transform-set SAMPLE_SET > set isakmp-profile VPNLan2Lan >! >crypto map VPNmap 10 ipsec-isakmp dynamic dynmap >! >interface FastEthernet0/0.1 > description LAN > encapsulation dot1Q 1 native > ip address 10.0.0.17 255.255.255.0 > ip virtual-reassembly >! >interface FastEthernet0/0.170 > description From Operator > encapsulation dot1Q 170 > ip address 192.168.18.2 255.255.255.0 > ip access-group FromOperator in > ip access-group ToOperator out > crypto map VPNmap >! >ip access-list extended FromOperator > remark --= Access for crypto tunnels =-- > permit esp 192.168.18.0 0.0.0.255 host 192.168.18.2 > permit udp 192.168.18.0 0.0.0.255 host 192.168.18.2 eq isakmp > remark --= ICMP =-- > permit icmp 192.168.18.0 0.0.0.255 host 192.168.18.2 > deny ip any any log >! >ip access-list extended ToOperator > remark --= Access for crypto tunnels =-- > permit esp host 192.168.18.2 192.168.18.0 0.0.0.255 > permit udp host 192.168.18.2 192.168.18.0 0.0.0.255 eq isakmp > remark --= ICMP =-- > permit icmp host 192.168.18.2 192.168.18.0 0.0.0.255 echo > deny ip any any log >! > > >Необходимо прикрутить аксесс-листы, которые будут фильтровать трафик, приходящий от D-Link'ов внутри туннеля. >Например, пропускать ftp, почту, веб, запрещать netbios. > >Вопрос в том, что я не знаю, куда прикрутить эти аксесс-листы. Можно >ли каким-то образом забиндить IPSec-туннели на некий виртуальный интерфейс типа virtual-template, >чтобы применить на нем аксесс-листы? Ну во-первых можно с помощью АКЛ указать какой трафик надо пускать по тунелю. Второе можно поднять статические тунели. В Третьих можно повесить на интерфейсы которые смотрят к юзерам.
Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	2. "Фильтрация трафика и IPSec"
	Сообщение от silencer (ok) on 24-Ноя-06, 11:17
	> >Ну во-первых можно с помощью АКЛ указать какой трафик надо пускать по >тунелю. В D-Link'е DI-804HV можно описать только IP-подсеть, весь трафик от которой пойдет в туннель. Те "аксесс-листы", которые можно прикрутить на D-link'e, не затрагивают трафика, уходящего в туннель. >Второе можно поднять статические тунели. D-Link DI-804HV не поддерживает GRE-туннели, если вы это имеете в виду. >В Третьих можно повесить на интерфейсы которые смотрят к юзерам. Вы имеете в виду interface FastEthernet0/0.170 ? Там есть аксесс-листы, притом закручены достаточно жестко (см. конфиг). Туннельный трафик проходит через них, поскольку он инкапсулирован внутри esp, как я понимаю. Я прекрасно понимаю, как это сделать на связке cisco-cisco. Здесь вопросов нет. Но задача, к сожалению, поставлена именно так, чтобы организовать фильтрацию трафика внутри vpn на связке DLink - cisco.
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	3. "Фильтрация трафика и IPSec"
	Сообщение от ВОЛКА on 24-Ноя-06, 13:24
	http://www.cisco.com/univercd/cc/td/doc/product/software/ios123/123newft/123t/123t_8/gt_crpks.htm
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору


	4. "Фильтрация трафика и IPSec"
	Сообщение от silencer (ok) on 28-Ноя-06, 13:38
	>http://www.cisco.com/univercd/cc/td/doc/product/software/ios123/123newft/123t/123t_8/gt_crpks.htm Спасибо, прикрутил ACL по этой доке - все отлично заработало. Версия иоса у меня - 12.4(7).
	Высказать мнение \| Ответить \| Правка \| Наверх \| Cообщить модератору

Архив \| Удалить	Индекс форумов \| Темы \| Пред. тема \| След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 \| 2 \| 3 \| 4 \| 5 ] [Рекомендовать для помещения в FAQ]