Labs réseau Docs Ouvrir le simulateur →

ACL par WLAN au niveau du point d'accès: filtre le trafic des clients sans fil

Les champs aclIn / aclOut du profil de stratégie, auparavant stockés sous forme de références inertes, filtrent désormais réellement le trafic des clients sans fil. Créez un WLAN invité avec aclIn: GUEST_BLOCK_INTERNAL qui refuse le trafic des clients vers 10.0.0.0/8; La tentative du TÉLÉPHONE d'atteindre une adresse IP d'entreprise est abandonnée au niveau du point d'accès (PacketDropped marqué du nom de l'ACL) pendant que le trafic Internet public circule.

Ouvrir ce lab dans le navigateur →

Gratuit · sans installation · sans compte

Scénario

Les véritables déploiements sans fil Cisco appliquent les ACL par WLAN. Les téléphones vocaux reçoivent une ACL qui autorise SIP/RTP et refuse le TCP général. Les clients invités obtiennent une ACL qui autorise HTTP/HTTPS aux plages publiques et refuse l'accès au réseau interne. Les ACL sont référencées à partir du profil de stratégie et s'appliquent au plan de données: - aclIn: trafic DU client sans fil VERS le côté filaire (liaison montante). Évalué au moment de l'encapsulation AP. - aclOut: trafic DU côté filaire VERS le client sans fil (liaison descendante). Évalué au moment de l'encapsulation WLC avant l'envoi dans le tunnel. Slice M câble les champs IR aclIn/aclOut existants dans le chemin de données réel. Flux de résolution: 1. Le client sans fil émet un paquet (ou la liaison descendante arrive au WLC). 2. Recherchez le point d'accès rejoint → contrôleur joint → balise de stratégie → première entrée WLAN/politique → profil de stratégie → nom aclIn (liaison montante) ou aclOut (liaison descendante). 3. Recherchez l'ACL nommée sur le accessLists du contrôleur. 4. Évaluez le paquet interne par rapport aux entrées de l'ACL. 5. Autoriser → continuer (encap et transférer). Refuser → émettre PacketDropped avec la raison wlan-acl: '<NAME>' denied …, ignorer l'encap. Ce qui est différé: - Application FlexConnect uniquement: les points d'accès réels en mode de commutation centrale sont appliqués sur le WLC; Les points d'accès FlexConnect s'appliquent localement. Le simulateur réduit les deux en « évaluer une fois au moment de l’émission » – le verdict est le même. - Correspondance avec état: TCP established fonctionne (l'évaluateur ACL le prend déjà en charge), mais le filtrage complet prenant en compte la connexion est la couche suivante. - ACL basées sur le temps: les références de plage de temps fonctionnent (IR existant), mais la réévaluation à mi-flux n'est pas modélisée.

Topologie

2 × routeur, 1 × contrôleur sans fil, 1 × switch, 1 × point d'accès, 1 × client wifi · Cisco IOS-XE-style

Ce que tu vas faire

  1. Essayez engine.emitWirelessClientPacket({ deviceId: 'GUEST_PHONE', dst: parseIPv4('10.40.0.5') }). La destination 10.40.0.5 relève de la règle deny ip any 10.0.0.0/8, donc l'ACL se déclenche sur le point d'accès et le paquet n'atteint jamais le câble. Pcap ne doit afficher aucune trame de liaison montante CAPWAP-Data; un événement PacketDropped marqué à AP1 porte reason: "wlan-acl: 'GUEST_BLOCK_INTERNAL' denied …".

Ouvrir ce lab dans le navigateur →

Autres labs sur ce thème

Ce lab dans d'autres langues

Per-WLAN ACLs at the AP — filter wireless client trafficPro-WLAN-ACLs am AP – filtern den Datenverkehr von drahtlosen ClientsACL por WLAN en el AP: filtra el tráfico de clientes inalámbricosACLs por WLAN no AP — filtre o tráfego do cliente sem fioएपी पर प्रति-डब्ल्यूएलएएन एसीएल - वायरलेस क्लाइंट ट्रैफ़िक को फ़िल्टर करेंAP 处的每 WLAN ACL — 过滤无线客户端流量ACL per WLAN sull'AP: filtrano il traffico dei client wirelessAP での WLAN ごとの ACL — ワイヤレス クライアント トラフィックをフィルタリングしますAP의 WLAN별 ACL — 무선 클라이언트 트래픽 필터링ACL для каждой WLAN на точке доступа — фильтрация трафика беспроводных клиентов.AP'deki WLAN başına ACL'ler — kablosuz istemci trafiğini filtreleyinACL trên mỗi mạng WLAN tại AP - lọc lưu lượng máy khách không dây