Laboratorios de redes Docs Abrir simulador →

ACL por WLAN en el AP: filtra el tráfico de clientes inalámbricos

Los campos aclIn / aclOut del perfil de política, previamente almacenados como referencias inertes, ahora filtran el tráfico de clientes inalámbricos. Cree una WLAN invitada con aclIn: GUEST_BLOCK_INTERNAL que niegue el tráfico de los clientes hacia 10.0.0.0/8; El intento de PHONE de llegar a una IP corporativa se descarta en el AP (PacketDropped etiquetado con el nombre de ACL) mientras fluye el tráfico de Internet público.

Abrir este laboratorio en el navegador →

Gratis · sin instalación · sin cuenta

Escenario

Las implementaciones inalámbricas reales de Cisco aplican ACL por WLAN. Los teléfonos de voz obtienen una ACL que permite SIP/RTP y niega TCP general. Los clientes invitados obtienen una ACL que permite HTTP/HTTPS a rangos públicos y niega el acceso a la red interna. Se hace referencia a las ACL desde el perfil de política y se aplican al plano de datos: - aclIn: tráfico DESDE el cliente inalámbrico HACIA el lado cableado (enlace ascendente). Evaluado en el momento del cierre AP. - aclOut: tráfico DESDE el lado cableado HACIA el cliente inalámbrico (enlace descendente). Evaluado en el momento de cierre del WLC antes de enviarlo al túnel. Slice M conecta los campos IR aclIn/aclOut existentes a la ruta de datos real. Flujo de resolución: 1. El cliente inalámbrico emite un paquete (o el enlace descendente llega al WLC). 2. Busque el AP unido → controlador unido → etiqueta de política → primera entrada de WLAN/política → perfil de política → nombre aclIn (enlace ascendente) o aclOut (enlace descendente). 3. Busque la ACL nombrada en el accessLists del controlador. 4. Evalúe el paquete interno con las entradas de la ACL. 5. Permitir → continuar (cerrar y reenviar). Denegar → emitir PacketDropped con el motivo wlan-acl: '<NAME>' denied …, omitir encap. Qué se aplaza: - Cumplimiento exclusivo de FlexConnect: los AP reales en modo de conmutación central se aplican en el WLC; Los AP FlexConnect se aplican localmente. El simulador colapsa ambos en "evaluar una vez en el momento de la emisión"; el veredicto es el mismo. - Coincidencia con estado: TCP established funciona (el evaluador de ACL ya lo admite), pero el filtrado completo compatible con conntrack es la siguiente capa. - ACL basadas en tiempo: las referencias de rango de tiempo funcionan (RI existente), pero la reevaluación de flujo medio no está modelada.

Topología

2 × router, 1 × controlador inalámbrico, 1 × switch, 1 × punto de acceso, 1 × cliente wifi · Cisco IOS-XE-style

Qué vas a hacer

  1. Pruebe engine.emitWirelessClientPacket({ deviceId: 'GUEST_PHONE', dst: parseIPv4('10.40.0.5') }). El destino 10.40.0.5 se encuentra dentro de la regla deny ip any 10.0.0.0/8, por lo que la ACL se activa en el AP y el paquete nunca llega al cable. Pcap no debería mostrar ninguna trama de enlace ascendente CAPWAP-Data; un evento PacketDropped etiquetado en AP1 lleva reason: "wlan-acl: 'GUEST_BLOCK_INTERNAL' denied …".

Abrir este laboratorio en el navegador →

Más laboratorios de este tema

Este laboratorio en otros idiomas

Per-WLAN ACLs at the AP — filter wireless client trafficPro-WLAN-ACLs am AP – filtern den Datenverkehr von drahtlosen ClientsACLs por WLAN no AP — filtre o tráfego do cliente sem fioACL par WLAN au niveau du point d'accès: filtre le trafic des clients sans filएपी पर प्रति-डब्ल्यूएलएएन एसीएल - वायरलेस क्लाइंट ट्रैफ़िक को फ़िल्टर करेंAP 处的每 WLAN ACL — 过滤无线客户端流量ACL per WLAN sull'AP: filtrano il traffico dei client wirelessAP での WLAN ごとの ACL — ワイヤレス クライアント トラフィックをフィルタリングしますAP의 WLAN별 ACL — 무선 클라이언트 트래픽 필터링ACL для каждой WLAN на точке доступа — фильтрация трафика беспроводных клиентов.AP'deki WLAN başına ACL'ler — kablosuz istemci trafiğini filtreleyinACL trên mỗi mạng WLAN tại AP - lọc lưu lượng máy khách không dây