Printable View
سلام
من یه سری سوییچ اکسس 2960 و چند تا core 3750 دارم
حدود 20 تا vlan هست که روی سوییچ core با استفاده از دستور ip routing با همدیگه ارتباط دارند
میخوام دسترسی vlan ها به همدیگه رو بگیرم
یعنی مثلا Vlan 11 که مالی ها هستند به vlan 5 که اداری ها هستند دسترسی نداشته باشند
البته کل routing نباید غیر فعال بشه چون خیلی دسترسی ها به سمت vlan سرورهاست و برخی دیگه هم باید بهرحال برقرار باشند
ظاهرا برای این کار از یه acl ساده میشه بهره گرفت
ممنون میشم دوستان کمک بفرمایند
سلام
شما به راحتی با نوشتن ACL و قرار دادن اون توی هر VLAN میتونید این کار رو بکنید. مثلا:
[LEFT] VLAN 5: 192.168.5.X
VLAN 11: 192.168.11.X
ip access-list extended test
deny ip any 192.168.11.0 0.0.0.255
permit ip any any
int vlan 5
ip access-group test in
[RIGHT]با این ACL سیستمهای VLAN5 نمیتونن به VLAN11 دسترسی داشته باشند.
اگر موارد استثنا هم داشته باشید میتونید برای ip خاص permit کنید.
البته چون شما VLAN های زیادی دارید، بهتره که به سمت سرورها مواردی رو که درنظر دارید را permit کرده و بقیه رو block کنید.
[/RIGHT]
[/LEFT]
من کل رنج وی لن ها رو یه سوپرنت کردم و اون رو بستم
ترافیک به سمت سرورها رو که 172.16 هستند باز کردم و بقیه رو بستم
[LEFT]
ip access-list extended IVR_Block
permit ip 192.168.1.0 0.0.15.255 172.16.0.0 0.0.255.255
deny ip 192.168.1.0 0.0.15.255 any
int vlan 2
ip access-group IVR_Block in
int vlan 3
ip access-group IVR_Block in
.
.
.
[RIGHT]الان همه چیز عالیه
یعنی کلاینتها تو هر سوییچ اکسس که هستند فقط هم وی لنی های خودشون رو توی سوییچهای دیگه میبینند
اما یه مشکلی وجود داره - الان کلاینتها نمیتونند خود int vlan رو پینگ کنند یعنی مثلا دسترسی یک کلاینت مالی با ای پی 192.168.10.15 به گیت وی (همون int vlan اش) که هست 192.168.10.1 قطع شده
این قضیه مشکلی ایجاد نمیکنه ؟؟؟؟؟
راستی این رو هم بگم
گفتم شاید برای حل این مشکل باید acl رو به صورت out روی int vlan ها تعریف کنیم
یعنی ترافیک به اونجا برسه و در خروج از اونجا روش تصمیم گیری بشه
اما این کار رو که کردم دیگه همه چی خراب شد
ممنون میشم دوستان توضیحات بفرمایند
[/RIGHT]
[/LEFT]
سلام
لزومی نداره کاربران int vlan (gateway) رو ببینند. حالا اگر که دوست دارید اون رو هم ببینند میتونید به ACL دستور permit icmp any any رو هم اضافه کنید.
راستی نیازی به نوشتن دستور deny ip 192.168.1.0 0.0.15.255 any ندارید، در انتهای هر ACL دستور deny ip any any وجود داره.
ممنون از پاسختون
مورددوم رو که حق با شماست درست فرمودید
اما در مورد اول
مگه نه اینکه ارتباط کاربران اینطوریه که از اکسس به int vlan ها میره و از اونجا روت میشه به vlan مقصد ؟ پس چرا دیدن یا ندیدن این گیت وی تاثیری نداره
و یه نکته دیگه
وقتی میگم اکسس لیست in باشه خوب معلومه ترافیک ورودی رو بررسی و شرایط رو اعمال میکنه
ولی وقتی میگیم out یه چیزی برای من مبهمه
ترافیک با مبدا کلاینت و مقصد کلاینت توی یه سوییچ دیگه میره به گیت وی یا همون اینترفیس وی لن
حالا اینترفیس وی لن اون رو باید بفرسته به سوییچ مقصد ! یعنی سورس اینترفیس ویلن میشه ولی خوب مقصد تغییر نمیکنه
سوال من اینه که آیا وقتی میگیم اکسس لیست روی out باشه باز هم در هنگام خروج مبدا و مقصد بسته همون دو کلاینت هستند یا اینکه نه مقصد همونه ولی مبدا عوض میشه (به اینترفیس وی لن) و شروط اکسس لیست با این شرط بررسی می شن ؟؟
پیشاپیش ممنون
[QUOTE=mhdganji;251797]
اما در مورد اول
مگه نه اینکه ارتباط کاربران اینطوریه که از اکسس به int vlan ها میره و از اونجا روت میشه به vlan مقصد ؟ پس چرا دیدن یا ندیدن این گیت وی تاثیری نداره
و یه نکته دیگه
وقتی میگم اکسس لیست in باشه خوب معلومه ترافیک ورودی رو بررسی و شرایط رو اعمال میکنه
ولی وقتی میگیم out یه چیزی برای من مبهمه
ترافیک با مبدا کلاینت و مقصد کلاینت توی یه سوییچ دیگه میره به گیت وی یا همون اینترفیس وی لن
حالا اینترفیس وی لن اون رو باید بفرسته به سوییچ مقصد ! یعنی سورس اینترفیس ویلن میشه ولی خوب مقصد تغییر نمیکنه
سوال من اینه که آیا وقتی میگیم اکسس لیست روی out باشه باز هم در هنگام خروج مبدا و مقصد بسته همون دو کلاینت هستند یا اینکه نه مقصد همونه ولی مبدا عوض میشه (به اینترفیس وی لن) و شروط اکسس لیست با این شرط بررسی می شن ؟؟
پیشاپیش ممنون[/QUOTE]
سلام
ببینید، مثلا آدرس من کلاینت 192.168.5.10 هست و می خواهم به سرور 172.16.1.3 وصل بشم. توی این حالت یه پکت ساخته میشه با Source IP خودم و Destination IP مقصد، آدرسهای [B]IP[/B] این پکت در طول مسیر [B]ثابت [/B]مانده و تغییری نمیکنه (مگر اینکه NAT انجام بشه، که توی شبکه شبکه وجود نداره)
اون چیزی که [B]تغییر[/B] میکنه [B]MAC Address[/B] ها هستند.
حالا وقتی این پکت ارسال میشه (به سمت Gateway) یک ACL نوشته شده که میگه permit ip 192.168.0.0 0.0.15.255 172.16.0.0 0.0.255.255 و چون این شرط برای این پکت صادق است اجازه عبور داده می شود. (پس ارتباط مستقیم با Gateway نیازی نیست)
(ولی اگر که کاربر بخواهد به Gateway تلنت کند چون با این اکسس لیست match نمیشه کاربر deny میشه - چون مقصد 192.168.5.1 هست)
و در مورد out که گفتید کار نکرد:
ببینید فرض کنید شما این ACL رو روی out اینترفیس VLAN 5 قرار دادید حالا چه اتفاق میافته ؟؟
کلاینت با آدرس 192.168.5.10 بسته ای را به 172.16.1.3 ارسال میکند، بسته وارد int vlan 5 شده و چون ACL in وجود ندارد به راه خود ادامه میدهد !!! عملیات مسیریابی انجام شده و بسته به سلامتی به سرور می رسد! و اما در مسیر برگشت:
سرور بسته ای با آدرس مبدا 172.16.1.3 به 192.168.5.10 ارسال می کند، بسته وارد int vlan server شده، مسیریابی انجام شده و تحویل int vlan 5 داده می شود، بسته هنگام خروج (پرتاب) از vlan 5 و تحویل به مقصد با ACL out مواجه می شود و از آنجایی که مبدا 172 به مقصد 192 ، permit نیست، بسته drop می شود و هیچگاه به مقصد نمی رسد.
امیدوارم خوب تونسته باشم توضیح بدم!
[QUOTE=aliafzalan;251800]سلام
ببینید، مثلا آدرس من کلاینت 192.168.5.10 هست و می خواهم به سرور 172.16.1.3 وصل بشم. توی این حالت یه پکت ساخته میشه با Source IP خودم و Destination IP مقصد، آدرسهای [B]IP[/B] این پکت در طول مسیر [B]ثابت [/B]مانده و تغییری نمیکنه (مگر اینکه NAT انجام بشه، که توی شبکه شبکه وجود نداره)
اون چیزی که [B]تغییر[/B] میکنه [B]MAC Address[/B] ها هستند.
حالا وقتی این پکت ارسال میشه (به سمت Gateway) یک ACL نوشته شده که میگه permit ip 192.168.0.0 0.0.15.255 172.16.0.0 0.0.255.255 و چون این شرط برای این پکت صادق است اجازه عبور داده می شود. (پس ارتباط مستقیم با Gateway نیازی نیست)
(ولی اگر که کاربر بخواهد به Gateway تلنت کند چون با این اکسس لیست match نمیشه کاربر deny میشه - چون مقصد 192.168.5.1 هست)
و در مورد out که گفتید کار نکرد:
ببینید فرض کنید شما این ACL رو روی out اینترفیس VLAN 5 قرار دادید حالا چه اتفاق میافته ؟؟
کلاینت با آدرس 192.168.5.10 بسته ای را به 172.16.1.3 ارسال میکند، بسته وارد int vlan 5 شده و چون ACL in وجود ندارد به راه خود ادامه میدهد !!! عملیات مسیریابی انجام شده و بسته به سلامتی به سرور می رسد! و اما در مسیر برگشت:
سرور بسته ای با آدرس مبدا 172.16.1.3 به 192.168.5.10 ارسال می کند، بسته وارد int vlan server شده، مسیریابی انجام شده و تحویل int vlan 5 داده می شود، بسته هنگام خروج (پرتاب) از vlan 5 و تحویل به مقصد با ACL out مواجه می شود و از آنجایی که مبدا 172 به مقصد 192 ، permit نیست، بسته drop می شود و هیچگاه به مقصد نمی رسد.
امیدوارم خوب تونسته باشم توضیح بدم![/QUOTE]
خیلی ممنون
در مورد اول کاملا توجیه شدم توضیحتون عالی بود
اما در مورد دوم
بذارید اول بگم وقتی اکسس لیست رو out تعریف میکنم چه اتفاقی میفته
اصلا من میگم استاد شما تصحیح کنید :-)
هر چی درست بود بفرمایید و غلط ها رو هم تصحیح کنید
کلاینتهای هم وی لن همدیگه رو تو سوییچهای مختلف می بینند که خوب این طبیعیه دیگه چون این عملیات اصلا به روتینگ و IVR و .. نمیرسه و کلا لایه دویی انجام میشه درسته ؟؟
کلاینتها نمیتونند همکاراشون توی وی لن های دیگه رو ببینند فقط فرقش با حالت in اینه که اینبار پکت گم نمیشه بلکه Destination host unreachable میزنه
این هم احتمالا به این دلیله که ترافیک به اینترفیس وی لن میرسه اما اونجا هنگام out به مشکل میخوره و اکسس لیست اجازه رفتن به هینترفیس وی لن دیگه رو نمیده
در این حالت یعنی تعریف به صورت out سرورها باز دیده نمیشن که اگه اشتباه نکنم علتش همون نکته شماست یعنی ترافیک برگشتی از سمت سرور به اینترفیس وی لن میرسه اما هنگام خروج از اونجا و اومدن به سمت کلاینت deny میشه
حالا اگه این نکات درسته شما بفرمایید
[B] و ابهام و سوال اصلی من اینجاست :[/B]
حالت in رو در نظر بگیرید :
کلاینت میخواد وصل بشه به هم وی لنی خودش ! لایه دویی و مشکلینیست
کلاینت میخواد وصل بشه به یه وی لن دیگه / همونجا توی ورود به Int vlan خودش اکسس لیست اعمال میشه و بهش میگه شرمنده
حالا کلاینت میخواد وصل بشه به سرورها (که میشه و پینگ میکنه و مشکلی نیست)
اما مراحل رو که میچینم یه مشکلی وجود داره
کلاینت میاد روی اینترفیس وی لن خودش اکسس لیست چک میشه و تو permit صدق میکنه و میتونه بره به مسیر ادامه بده و برسه به سرور ! حالا سرور هم میخواد جواب بفرسته. طبیعتا اینجا دیگه مبدا میشه سرور و مقصد میشه کلاینت. این بسته میاد به سمت اینترفیس وی لن سرور ! اونجا که اکسس لیستی وجود نداره فقط روت میشه به اینترفیس وی لن کلاینت و به اون اینترفیس وی لن وارد میشه !!
خوب حالا سوال من اینجاست ! بسته جواب سرور به اینترفیس وی لن کلاینت وارد شده. یعنی in شده ! پس حالا اکسس لیست وارد عمل میشه ! اینبار مبدا بسته 172.16 هستش و مقصد 192.168 که این قضیه permit نیست بلکه برعکسش permit شده ! خوب پس این بسته همین جا باید تعطیل بشه !!!!!!! در حالی که کلاینتها دارن سرورها رو پینگ میکنند و جواب هم برمیگرده و مشکلی نیست
این قضیه رو برای من روشن کنید خیلی ممنون میشم
بسیار ممنونم از وقت ارزشمندتون که برای جواب دادن به سوال من گذاشتید
واقعیت اینه که میخوام مفهوم اکسس لیست کاملا دستم بیاد و کاملا درکش کنم نه اینکه فقط بزنم و بگم خوب درسته داره کار میکنه
باز هم ممنون
سلام
اختیار دارید من که تازه اول راهم و شاگردم، هنوز باید خیلی چیزهای دیگه یاد بگیرم (:
[QUOTE=mhdganji;251811]
کلاینتهای هم وی لن همدیگه رو تو سوییچهای مختلف می بینند که خوب این طبیعیه دیگه چون این عملیات اصلا به روتینگ و IVR و .. نمیرسه و کلا لایه دویی انجام میشه درسته ؟؟
[/QUOTE]
درسته
[QUOTE=mhdganji;251811]
در این حالت یعنی تعریف به صورت out سرورها باز دیده نمیشن که اگه اشتباه نکنم علتش همون نکته شماست یعنی ترافیک برگشتی از سمت سرور به اینترفیس وی لن میرسه اما هنگام خروج از اونجا و اومدن به سمت کلاینت deny میشه
[/QUOTE]
درسته
[QUOTE=mhdganji;251811]
حالت in رو در نظر بگیرید :
حالا کلاینت میخواد وصل بشه به سرورها (که میشه و پینگ میکنه و مشکلی نیست)
اما مراحل رو که میچینم یه مشکلی وجود داره
کلاینت میاد روی اینترفیس وی لن خودش اکسس لیست چک میشه و تو permit صدق میکنه و میتونه بره به مسیر ادامه بده و برسه به سرور ! حالا سرور هم میخواد جواب بفرسته. طبیعتا اینجا دیگه مبدا میشه سرور و مقصد میشه کلاینت. این بسته میاد به سمت اینترفیس وی لن سرور ! اونجا که اکسس لیستی وجود نداره فقط روت میشه به اینترفیس وی لن کلاینت[B] و به اون اینترفیس وی لن وارد میشه !![/B]
خوب حالا سوال من اینجاست ! بسته جواب سرور به اینترفیس وی لن کلاینت وارد شده. یعنی in شده ! پس حالا اکسس لیست وارد عمل میشه ! اینبار مبدا بسته 172.16 هستش و مقصد 192.168 که این قضیه permit نیست بلکه برعکسش permit شده ! خوب پس این بسته همین جا باید تعطیل بشه !!!!!!! در حالی که کلاینتها دارن سرورها رو پینگ میکنند و جواب هم برمیگرده و مشکلی نیست
[/QUOTE]
خب مشکل همینه دیگه! وقتی بسته از سمت سرور میاد و میخواهد به سمت کلاینت بره (در آخرین مرحله) از اینترفیس VLAN کلاینت [B]خارج [/B]میشه.
اگه توی ذهنتون تجسم کنید، کاملا متوجه می شوید.
[I]ورود[/I] (in) به int VLAN همیشه [I]از سمت[/I] کلاینتهای همون VLAN است.
[I]خروج [/I](out) از int VLAN همیشه [I]به سمت[/I] کلاینتهای همون VLAN است.
[QUOTE=mhdganji;251811]
واقعیت اینه که میخوام مفهوم اکسس لیست کاملا دستم بیاد و کاملا درکش کنم نه اینکه فقط بزنم و بگم خوب درسته داره کار میکنه
[/QUOTE]
خب اینطوری خیلی خوبه، متاسفانه خیلی ها که کار شبکه میکنن، فقط Copy & Paste رو بلد هستند و وقتی
به مشکلی بر می خورند . . .
ولی خب اگه مفاهیم رو خوب متوجه بشن خیلی راحت میتونن مشکل رو برطرف کنند.
موفق باشید
اختیار دارید شما استادید
اما این جا هنوز یه مشکلی هست
[QUOTE]خب مشکل همینه دیگه! وقتی بسته از سمت سرور میاد و میخواهد به سمت کلاینت بره (در آخرین مرحله) از اینترفیس VLAN کلاینت [B]خارج [/B]میشه.
اگه توی ذهنتون تجسم کنید، کاملا متوجه می شوید.
[I]ورود[/I] (in) به int VLAN همیشه [I]از سمت[/I] کلاینتهای همون VLAN است.
[I]خروج [/I](out) از int VLAN همیشه [I]به سمت[/I] کلاینتهای همون VLAN است.[/QUOTE]الان داریم در مورد حالت In صحبت میکنیم که مشکلی وجود نداره و کلاینت سرور رو پینگ میکنه
من میگم تو حالت in هم کلاینت نباید سرور رو پینگ کنه ! چون جواب از سرور به اینترفیس وی لن خودش میاد و از اونجا به اینترفیس وی لن کلاینت [B]وارد[/B] میشه یعنی توی برگشت یکبار دیگه حالت in به اینترفیس وی لن کلاینت اتفاق میفته
یعنی الان من با این جمله شما مشکل دارم
[QUOTE] [I]ورود[/I] (in) به int VLAN همیشه [I]از سمت[/I] کلاینتهای همون VLAN است.[/QUOTE]چرا همیشه از همون سمت کلاینتهاست. مگه وقتی جواب از سرور داره میاد در واقع [B]ورود[/B] به اینترفیس وی لن رو نداریم
اینجا یه شکل هم میذارم که بتونم بهتر سوالم رو بپرسم
ببینید من توی این شکل توی قسمت 7 مشکل دارم چون به نظرم اون هم یک ترافیک ورودی برای اینترفیس 10 هستش و اکسس لیست باید چک بشه و چون مبدا سرور هست و مقصد کلاینت باید متوقف بشه در صورتی که از اونجا هم رد میشه و پینگ داره کامل انجام میشه
[URL="http://img.club2m.com/share-111B_4BA4CECA.html"][IMG]http://img.club2m.com/image-111B_4BA4CECA.jpg[/IMG][/URL]
دیگه تشکر نمیکنم چون دیگه روم نمیشه ! انقدر که به شما زحمت دادم
ولی میخوام به نتیجه برسیم ! یعنی برسم:goatee:
من فقط یه چیز دیگه به عقل ناقصم میرسه :wacko:
و اون اینکه
[B]فرض کنم in و out فقط برای حالتهایی هستش که ترافیک از یک اینترفیس بیرونی (یه دستگاه دیگه) وارد میشه و نه برای حالتی که سوییچ لایه 3 از یک وی لن ترافیک رو به یک وی لن دیگه روت میکنه
[/B]
سلام
خب بزارید یه طور دیگه بگم. یک مثال روی اینترفیس فیزیکی میزنم، بعد اگر که براتون ok شد اون رو برای VLAN تعمیم بدید.
فرض کنید یه روتر (سوئیچ لایه 3 - int vlan) داریم و این روتر به یه سوئیچ لایه 2 متصل شده و کلاینتها به سوئیچ متصل شدند.
[CENTER][IMG]http://www.freeuploadimages.org/images/35pujmm2tlkh2pcyhxwb.jpg[/IMG]
[/CENTER]
حالا اگر کاربرها بخواهند داده ای رو به شبکه دیگه ای بفرستند این پکت ها باید به اینترفیس روتر وارد بشوند (in) (از طریق کابلی که سوئیچ رو به روتر متصل میکنه)
و اگر کسی از شبکه دیگه بخواهد داده ای رو به سمت شبکه ما بفرسته، بعد از ورود به روتر و مسیریابی این پکت باید از اینترفیس روتر خارج بشه (out) و از طریق کابل به سوئیچ و سپس به کامپیوتر مورد نظر برسه.
فکر کنم الان دیگه OK شد، اگر این براتون ok باشه VLAN هم ok هست، اون هم دقیقاً مثل این اینترفیس روتر عمل میکنه.
[QUOTE=aliafzalan;251837]سلام
خب بزارید یه طور دیگه بگم. یک مثال روی اینترفیس فیزیکی میزنم، بعد اگر که براتون ok شد اون رو برای VLAN تعمیم بدید.
فرض کنید یه روتر (سوئیچ لایه 3 - int vlan) داریم و این روتر به یه سوئیچ لایه 2 متصل شده و کلاینتها به سوئیچ متصل شدند.
[CENTER][IMG]http://www.freeuploadimages.org/images/35pujmm2tlkh2pcyhxwb.jpg[/IMG]
[/CENTER]
حالا اگر کاربرها بخواهند داده ای رو به شبکه دیگه ای بفرستند این پکت ها باید به اینترفیس روتر وارد بشوند (in) (از طریق کابلی که سوئیچ رو به روتر متصل میکنه)
و اگر کسی از شبکه دیگه بخواهد داده ای رو به سمت شبکه ما بفرسته، بعد از ورود به روتر و مسیریابی این پکت باید از اینترفیس روتر خارج بشه (out) و از طریق کابل به سوئیچ و سپس به کامپیوتر مورد نظر برسه.
فکر کنم الان دیگه OK شد، اگر این براتون ok باشه VLAN هم ok هست، اون هم دقیقاً مثل این اینترفیس روتر عمل میکنه.[/QUOTE]
مثالتون عالی بود
این همون چیزی بود که من در آخر بهش اشاره کردم
یعنی in و out فقط موقع خروج از روتر (یا سوییچ لایه 3) اهمیت دارند و دیگه توی خود روتر از این sub-if به اون یکی (و توی سوییچ از این int vlan به دیگری) در نظر گرفته نمیشوند. (یعنی اون روتینگ داخل رو بی خیال)
اینجا هم یه مطلب خوب دیدم که فکر کنم همین قضیه رو توضیح داد
[URL="http://www.2000trainers.com/cisco-ccna-09/ccna-apply-access-list-interface/"]Applying Access Lists to Interfaces · Tutorial [/URL]
در این قسمت که میگه
[QUOTE]One important note before we actually begin implementing access lists. Any access lists applied to interfaces will not impact traffic that originates from the router where the access lists are defined. For example, configuring an outbound access list that denies telnet traffic will not deny a telnet session initiated from the router from leaving that interface.[/QUOTE]آقا بسیار ممنونم
تو بقیه سوالات سیسکو هم ما رو دریاب
از نزدیکی میدان آزادگان (مرکز تربیت مربی) از شما مجددا تشکر میکنم و امیدوارم سال پیش رو برات همراه با سلامتی، صبر، شادی و مثبت اندیشی باشه
