AP での WLAN ごとの ACL — ワイヤレスクライアントトラフィックをフィルタリングします

サービスと無線
上級
12 分
1 ステップ
Cisco IOS-XE-style

以前は不活性参照として保存されていたポリシープロファイルの aclIn / aclOut フィールドが、実際にワイヤレスクライアントトラフィックをフィルタリングするようになりました。 aclIn: GUEST_BLOCK_INTERNAL を使用して、クライアントから 10.0.0.0/8 へのトラフィックを拒否するゲスト WLAN を構築します。パブリックインターネットトラフィックが流れる間、PHONE が企業 IP に到達しようとすると、AP でドロップされます (ACL 名でタグ付けされた PacketDropped)。

この演習をブラウザで開く →

無料 · インストール不要 · アカウント不要

シナリオ

実際の Cisco ワイヤレス展開では、WLAN ごとの ACL が強制されます。音声電話は、SIP/RTP を許可し、一般的な TCP を拒否する ACL を取得します。ゲストクライアントは、パブリック範囲への HTTP/HTTPS を許可し、内部ネットワークアクセスを拒否する ACL を取得します。 ACL はポリシープロファイルから参照され、データプレーンに適用されます。 - aclIn: ワイヤレスクライアントから有線側 (アップリンク) へのトラフィック。 AP カプセル化時に評価されます。 - aclOut: 有線側から無線クライアントへのトラフィック (ダウンリンク)。トンネルに送信する前の WLC カプセル化時に評価されます。スライス M は、既存の aclIn/aclOut IR フィールドを実際のデータパスに配線します。解決の流れ: 1. ワイヤレスクライアントがパケットを送信します（またはダウンリンクが WLC に到着します）。 2. 参加している AP → 参加しているコントローラ → ポリシータグ → 最初の WLAN/ポリシーエントリ → ポリシープロファイル → aclIn (アップリンク) または aclOut (ダウンリンク) 名を見つけます。 3. コントローラの accessLists で名前付き ACL を検索します。 4. ACL のエントリに対して内部パケットを評価します。 5. 許可→続行（カプセル化して転送）。拒否 → wlan-acl: '<NAME>' denied … という理由で PacketDropped を発行し、カプセル化をスキップします。延期されるもの: - FlexConnect のみの強制: 中央スイッチングモードの実際の AP は WLC 上で強制されます。 FlexConnect AP はローカルで適用します。シミュレータは両方とも「放出時に一度評価する」に折りたたまれます。結果は同じです。 - ステートフルマッチング: TCP established は機能します (ACL エバリュエーターはすでにサポートしています)。ただし、完全に conntrack 対応のフィルタリングは次の層です。 - 時間ベースの ACL: 時間範囲の参照は機能しますが (既存の IR)、ミッドフローの再評価はモデル化されません。

トポロジー

2 × ルーター, 1 × 無線コントローラー, 1 × スイッチ, 1 × アクセスポイント, 1 × Wi-Fi クライアント · Cisco IOS-XE-style

ROUTER — ルーター
WLC1 — 無線コントローラー
HUB — スイッチ
AP1 — アクセスポイント
GUEST_PHONE — Wi-Fi クライアント
INTERNAL — ルーター

やること

engine.emitWirelessClientPacket({ deviceId: 'GUEST_PHONE', dst: parseIPv4('10.40.0.5') }) を試してください。宛先 10.40.0.5 は deny ip any 10.0.0.0/8 ルール内にあるため、ACL が AP で起動され、パケットはワイヤに到達しません。 Pcap には CAPWAP-Data アップリンクフレームが表示されません。 AP1 でタグ付けされた PacketDropped イベントは、reason: "wlan-acl: 'GUEST_BLOCK_INTERNAL' denied …" を伝送します。