Netzwerk-Labs Docs Simulator öffnen →

Pro-WLAN-ACLs am AP – filtern den Datenverkehr von drahtlosen Clients

Die aclIn-/aclOut-Felder des Richtlinienprofils, die zuvor als inerte Referenzen gespeichert wurden, filtern jetzt tatsächlich den drahtlosen Client-Verkehr. Erstellen Sie ein Gast-WLAN mit aclIn: GUEST_BLOCK_INTERNAL, das den Datenverkehr von Clients zu 10.0.0.0/8 verweigert. Der Versuch von PHONE, eine Unternehmens-IP zu erreichen, wird am AP verworfen (PacketDropped mit dem ACL-Namen versehen), während der Datenverkehr im öffentlichen Internet fließt.

Dieses Lab im Browser öffnen →

Kostenlos · ohne Installation · ohne Konto

Szenario

Echte Cisco-Wireless-Bereitstellungen erzwingen WLAN-ACLs. Sprachtelefone erhalten eine ACL, die SIP/RTP zulässt und allgemeines TCP verweigert. Gastclients erhalten eine ACL, die HTTP/HTTPS für öffentliche Bereiche zulässt und den internen Netzwerkzugriff verweigert. Die ACLs werden aus dem Richtlinienprofil referenziert und gelten für die Datenebene: - aclIn: Datenverkehr VOM drahtlosen Client ZUR kabelgebundenen Seite (Uplink). Zur AP-Einkapselungszeit ausgewertet. - aclOut: Datenverkehr VON der kabelgebundenen Seite ZUM kabellosen Client (Downlink). Wird zur WLC-Einkapselungszeit vor dem Senden in den Tunnel ausgewertet. Slice M verbindet die vorhandenen IR-Felder aclIn/aclOut mit dem tatsächlichen Datenpfad. Lösungsablauf: 1. Der drahtlose Client sendet ein Paket (oder der Downlink kommt beim WLC an). 2. Suchen Sie den beigetretenen AP → beigetretenen Controller → Richtlinien-Tag → erster WLAN-/Richtlinieneintrag → Richtlinienprofil → Name aclIn (Uplink) oder aclOut (Downlink). 3. Suchen Sie die benannte ACL auf dem accessLists des Controllers. 4. Bewerten Sie das innere Paket anhand der ACL-Einträge. 5. Zulassen → fortfahren (einkapseln und weiterleiten). Verweigern → PacketDropped mit dem Grund wlan-acl: '<NAME>' denied … ausgeben, Encap überspringen. Was ist aufgeschoben: - Nur FlexConnect-Durchsetzung: Echte APs im zentralen Switching-Modus erzwingen auf dem WLC; FlexConnect-APs erzwingen lokal. Der Simulator kollabiert beide in „Einmal zum Emissionszeitpunkt auswerten“ – das Urteil ist das gleiche. - Zustandsbehafteter Abgleich: TCP established funktioniert (der ACL-Evaluator unterstützt es bereits), aber die nächste Ebene ist die vollständige Conntrack-fähige Filterung. - Zeitbasierte ACLs: Zeitbereichsreferenzen funktionieren (vorhandene IR), aber die Neubewertung während des Datenflusses wird nicht modelliert.

Topologie

2 × Router, 1 × WLAN-Controller, 1 × Switch, 1 × Access Point, 1 × WLAN-Client · Cisco IOS-XE-style

Das machst du

  1. Versuchen Sie es mit engine.emitWirelessClientPacket({ deviceId: 'GUEST_PHONE', dst: parseIPv4('10.40.0.5') }). Das Ziel 10.40.0.5 fällt unter die deny ip any 10.0.0.0/8-Regel, sodass die ACL auf den AP feuert und das Paket nie die Leitung erreicht. Pcap sollte keinen CAPWAP-Data-Uplink-Frame anzeigen; Ein mit AP1 getaggtes PacketDropped-Ereignis trägt reason: "wlan-acl: 'GUEST_BLOCK_INTERNAL' denied …".

Dieses Lab im Browser öffnen →

Weitere Labs zu diesem Thema

Dieses Lab in anderen Sprachen

Per-WLAN ACLs at the AP — filter wireless client trafficACL por WLAN en el AP: filtra el tráfico de clientes inalámbricosACLs por WLAN no AP — filtre o tráfego do cliente sem fioACL par WLAN au niveau du point d'accès: filtre le trafic des clients sans filएपी पर प्रति-डब्ल्यूएलएएन एसीएल - वायरलेस क्लाइंट ट्रैफ़िक को फ़िल्टर करेंAP 处的每 WLAN ACL — 过滤无线客户端流量ACL per WLAN sull'AP: filtrano il traffico dei client wirelessAP での WLAN ごとの ACL — ワイヤレス クライアント トラフィックをフィルタリングしますAP의 WLAN별 ACL — 무선 클라이언트 트래픽 필터링ACL для каждой WLAN на точке доступа — фильтрация трафика беспроводных клиентов.AP'deki WLAN başına ACL'ler — kablosuz istemci trafiğini filtreleyinACL trên mỗi mạng WLAN tại AP - lọc lưu lượng máy khách không dây