Printable View
سلام به همه دوستان
من یک DNS Server پشت 1 روتر 2811 در packet tracer گذاشتم
حال میخوام dns server ام هیچ پاسخی به پروتکل icmp نده (برای کاربران اون ور روتر)
یعنی نشه اسم سایت هامو کاربران اون ور روتر ping کنن اما بتونن با browser اون سایت ها رو باز کنن
حالا شما بگید چه access list ای بنویسم/؟؟؟؟
موفق باشید
سلام
شما تو Syntax اکسس لیست Extended می تونید پروتکل را IP / TCP/UDP /ICMP/ EIGRP برای Permit / Deny انتخاب کنید
موفق باشید.
کردم اما برای فیلتری که من میخواستم نشد
میشه یک بار دیگه سوالمو بخونی
ممنون میشم
سلام
شما نقشه شبکه و کانفیگ روتر را بزارید، اینطوری بهتر میشه راهنمایی کرد.
[QUOTE=aliafzalan;283245]سلام
شما نقشه شبکه و کانفیگ روتر را بزارید، اینطوری بهتر میشه راهنمایی کرد.[/QUOTE]
میخوام dns server ام هیچ پاسخی به پروتکل icmp نده (برای کاربران اون ور روتر شماره 1)
یعنی نشه اسم سایت هامو کاربران اون ور روتر ping کنن اما بتونن با browser اون سایت ها رو باز کنن
[url]http://salary2005.persiangig.com/dns.png[/url]
دوستان میشه به سوال من جواب بدید؟
[RIGHT]سلام
اگه می خواهید کسی نتونه سرور DNS را ping کنه یک ACL بزارید و روی in اینترفیس 30.101 روتر 1 قرار بدهید.
[LEFT]ip access-list extended security
deny icmp any DNS-Server-IP
permit ip any any
[RIGHT]اگر هم می خواهید کاربرهای هیچ جایی را نتونن ping کنند، به جای خط اول ACL بنویسید:
[LEFT]deny icmp any any
[/LEFT]
[/RIGHT]
[/LEFT]
[/RIGHT]
البته روی packet tracer هم خیلی نمیشه حساب کرد خیلی دقیق نیست . من هم توی کلاس CCNP - CCNA با استاد مون خیلی با هاش به مشکل می خوردیم . روی سیستم بعضی ها درست کار می کرد روی بعضی ها غلط . خلاصه کانفیگی رو که آقای علی افضلی برای شما گذاشتن درسته و می تونه بهتون کمک کنه . موفق باشید .
[QUOTE=aliafzalan;283403][RIGHT]سلام
اگه می خواهید کسی نتونه سرور DNS را ping کنه یک ACL بزارید و روی in اینترفیس 30.101 روتر 1 قرار بدهید.
[LEFT]ip access-list extended security
deny icmp any DNS-Server-IP
permit ip any any
[RIGHT]اگر هم می خواهید کاربرهای هیچ جایی را نتونن ping کنند، به جای خط اول ACL بنویسید:
[LEFT]deny icmp any any
[/LEFT]
[/RIGHT]
[/LEFT]
[/RIGHT]
[/QUOTE]
دوست عزیز من میخوام [COLOR=black][U][B]کسی نتونه[/B][/U][/COLOR] [URL="http://www.yahoo.com"]Yahoo![/URL] یا [URL="http://www.google.com"]Google[/URL] یا هر اسمی که تو DNS server ام هست رو ping کنه اما بتونه خود ip سیستم ها رو مثلا ip خود yahooیا google رو ping کنه
در ضمن میخوام با browser [B][COLOR=black]اونارو بتونه باز کنه
شما با این دستوری که نوشتید فقط از ping خود dns server جولوگیری کردید(چه اسم چه ip) اما میشه مثلا [URL="http://www.yahoo.com"]www.yahoo.com[/URL] رو ping کرد
[/COLOR][/B]
خب شما توی ACL به جای آدرس DNS سرور، آدرس یاهو را بزارید. اینطوری یاهو ping نمیشه ولی صفحه وب اون باز میشود.
[QUOTE=aliafzalan;283428]خب شما توی ACL به جای آدرس DNS سرور، آدرس یاهو را بزارید. اینطوری یاهو ping نمیشه ولی صفحه وب اون باز میشود.[/QUOTE]
اینم فکریه
اما من میخوام ترافیک dns رو کنترل کنم
دوستان دیگه هم میتونن تو حل این مشکل یاری کنن..............!
شما دقیقاً می خواهید چی کار کنید؟؟ هدفتون چیه؟
چون فکر کنم اون چیزی که مد نظر شماست، با اون چیزی که اینجا نوشتید یکمی فرق میکنه.
کنترل ترافیک dns یعنی چی ؟؟
[QUOTE=aliafzalan;283447]شما دقیقاً می خواهید چی کار کنید؟؟ هدفتون چیه؟
چون فکر کنم اون چیزی که مد نظر شماست، با اون چیزی که اینجا نوشتید یکمی فرق میکنه.
کنترل ترافیک dns یعنی چی ؟؟[/QUOTE]
به پست 9 نگاهی بیانداز....!
سلام اقای ایزدی عزیز
ببین شما 2 تا بحث داری
1 اینکه شما می خواید سایت هاتون ping نشه
2 می خواین سایت های شما با نام باز بشن
با توجه به این صورت مسئله شما اصلا لازم نیست به dns خودتون کاری داشته باشید
شما باید روی نزدیک ترین روتر به مقصد icmp رو برای echo ببندید در نتیجه هیچ کس نمی تونه اون سروری که روش سایت شما قرار داره رو پینگ کنه در ضمن با بستن echo شما از تکنیک traceroute نیز محروم می شین
[QUOTE=bablido;283491]سلام اقای ایزدی عزیز
ببین شما 2 تا بحث داری
1 اینکه شما می خواید سایت هاتون ping نشه
2 می خواین سایت های شما با نام باز بشن
با توجه به این صورت مسئله شما اصلا لازم نیست به dns خودتون کاری داشته باشید
شما باید روی نزدیک ترین روتر به مقصد icmp رو برای echo ببندید در نتیجه هیچ کس نمی تونه اون سروری که روش سایت شما قرار داره رو پینگ کنه در ضمن با بستن echo شما از تکنیک traceroute نیز محروم می شین[/QUOTE]
ممنون که وقت گذاشتین و جواب دادین
اما اگه دسترسی من فقط به روتر 1 باشه (دورش خط کشیدم) چه acl ای بنویسم
در ضمن من میخوام اسم سایت ها با نام ping نشه ام ولی با ip پینگ بشه و با browser با نام و ip باز بشه
دوستان من دیشب ساعت 3 کلی با این مسئله کلنجار رفتم تا به نتیجه ای تقریبا دلخواه رسیدم
براتون میزارم تا اگه کسی تونست کاملترش کنه و مارو نیز خوشحال کنه (مشکلشو آخرش میگم)
شکل: [URL]http://salary2005.persiangig.com/dns.png[/URL]
چون ما فقط به روتر شماره 1 دسترسی داریم پس تو interface بالایی (نزدیک dns server) مینویسیم :
interface FastEthernet0/1
ip access-group 101 out
پس ACL را اینگونه تعریف کردم :
access-list 101 permit tcp any any eq www
access-list 101 permit udp any any eq domain
بدون درد تموم شد.
حالا مشکلش چیه:
اینه که نمیشه IP سایت هارو پینگ کرد واگه بخوام این فعل انجام بشه باید این ACL رو اضافه کنم :
access-list 101 permit [B]icmp[/B] any any
حال با اضافه شدن این بخش اسم سایتها رو نیز میشه ping کرد ( به علت وجود access-list 101 permit udp any any eq domain ) که من اینو نمیخوام
حالا نوبت شماست که تو قسمت آخر به من کمک کنید
سلام خدمت همه دوستان
بحث جالبیه ولی کاربردی نیستش ، شما ببینید سایت های بزرگ نه با اسم و نه با ip آنها ping میشه فقط برای جلو گیری از حملات dos & ddos این کار رو می کنن ، خوب شما که میگید با ای پی ping بشه این خودش بعدا مشکل افرین میشه ، تازه حرف شما هیچ منطقی توش نیست ، با هم چک می کنیم .
pc می یاد می زنه ping yahoo.com یه dns سرور روی pc ات تنظیم کردی که می یاد برات این اسم رو resolve می کنه یعنی ip یاهو رو dns سرور بر می گردونه حالا pc آدرس ip یاهو رو داره و می خواهد بسته های icmp رو بفرسته ، روتر 2811 این بسته ها رو drop میکنه ، خوب این از این طرف .
حالا این روتر بنده خدا چطور می خواد متوجه بشه که اینه بسته ها از یک pc داره می یاد که یه dns سرور براش resolve کرده و یا اینکه خود pc گرفته ip اون سرور رو ping کرده . این کل روال کار هستش ، شاید بتونی یه کلک رشتی بزنی .
بهت میگم .........
[QUOTE=kkei;285750]سلام خدمت همه دوستان
pc می یاد می زنه ping yahoo.com یه dns سرور روی pc ات تنظیم کردی که می یاد برات این اسم رو resolve می کنه یعنی ip یاهو رو dns سرور بر می گردونه حالا pc آدرس ip یاهو رو داره و می خواهد بسته های icmp رو بفرسته ، روتر 2811 این بسته ها رو drop میکنه ، خوب این از این طرف .
[/QUOTE]
سلام
ممنون که جواب دادی
آقا این قسمتت مشکل داره ........(pc می یاد می زنه ping yahoo.com یه dns سرور روی pc ات تنظیم کردی که می یاد برات این اسم رو resolve می کنه)
من اصلا نمیخوام pc وقتی ping اسم کنه resolve برگده..... ..... .... ....
شاید این کمکی بهت کنه.
[url=http://www.cisco.com/en/US/tech/tk648/tk361/technologies_configuration_example09186a0080100548.shtml]Configuring Commonly Used IP ACLs - Cisco Systems[/url]
