네트워크 실습 문서 시뮬레이터 열기 →

AP의 WLAN별 ACL — 무선 클라이언트 트래픽 필터링

이전에 비활성 참조로 저장되었던 정책 프로필의 aclIn/aclOut 필드는 이제 실제로 무선 클라이언트 트래픽을 필터링합니다. 클라이언트에서 10.0.0.0/8로 향하는 트래픽을 거부하는 aclIn: GUEST_BLOCK_INTERNAL를 사용하여 게스트 WLAN을 구축합니다. PHONE이 회사 IP에 연결하려는 시도는 공용 인터넷 트래픽이 흐르는 동안 AP(ACL 이름으로 태그가 지정된 PacketDropped)에서 삭제됩니다.

이 실습을 브라우저에서 열기 →

무료 · 설치 불필요 · 계정 불필요

시나리오

실제 Cisco 무선 배포에서는 WLAN별 ACL을 적용합니다. 음성 전화는 SIP/RTP를 허용하고 일반 TCP를 거부하는 ACL을 얻습니다. 게스트 클라이언트는 공개 범위에 대한 HTTP/HTTPS를 허용하고 내부 네트워크 액세스를 거부하는 ACL을 얻습니다. ACL은 정책 프로필에서 참조되며 데이터 영역에 적용됩니다. - aclIn: 무선 클라이언트에서 유선 측(업링크)으로의 트래픽입니다. AP 캡슐화 시간에 평가됩니다. - aclOut: 유선 측에서 무선 클라이언트로의 트래픽(다운링크). 터널로 보내기 전에 WLC 캡슐화 시간에 평가됩니다. Slice M은 기존 aclIn/aclOut IR 필드를 실제 데이터 경로에 연결합니다. 해결 흐름: 1. 무선 클라이언트는 패킷을 방출합니다(또는 다운링크가 WLC에 도착합니다). 2. 가입된 AP → 가입된 컨트롤러 → 정책 태그 → 첫 번째 WLAN/정책 항목 → 정책 프로필 → aclIn(업링크) 또는 aclOut(다운링크) 이름을 찾습니다. 3. 컨트롤러의 accessLists에서 명명된 ACL을 찾습니다. 4. ACL 항목과 비교하여 내부 패킷을 평가합니다. 5. 허용 → 계속(캡슐화 및 전달). 거부 → wlan-acl: '<NAME>' denied …라는 이유로 PacketDropped를 방출하고 캡슐화를 건너뜁니다. 연기된 내용: - FlexConnect 전용 적용: 중앙 스위칭 모드의 실제 AP가 WLC에 적용됩니다. FlexConnect AP는 로컬로 적용됩니다. 시뮬레이터는 둘 다 "방출 시 한 번 평가"로 축소됩니다. 평결은 동일합니다. - 상태 기반 일치: TCP established가 작동하지만(ACL 평가자가 이미 지원함) 완전한 conntrack 인식 필터링이 다음 계층입니다. - 시간 기반 ACL: 시간 범위 참조는 작동하지만(기존 IR) 흐름 중간 재평가는 모델링되지 않습니다.

토폴로지

2 × 라우터, 1 × 무선 컨트롤러, 1 × 스위치, 1 × 액세스 포인트, 1 × Wi-Fi 클라이언트 · Cisco IOS-XE-style

할 일

  1. engine.emitWirelessClientPacket({ deviceId: 'GUEST_PHONE', dst: parseIPv4('10.40.0.5') })를 사용해 보세요. 대상 10.40.0.5는 deny ip any 10.0.0.0/8 규칙에 속하므로 ACL은 AP에서 실행되고 패킷은 회선에 도달하지 않습니다. Pcap은 CAPWAP-Data 업링크 프레임을 표시하지 않아야 합니다. AP1 태그가 지정된 PacketDropped 이벤트는 reason: "wlan-acl: 'GUEST_BLOCK_INTERNAL' denied …"를 전달합니다.

이 실습을 브라우저에서 열기 →

같은 주제의 다른 실습

이 실습의 다른 언어 버전

Per-WLAN ACLs at the AP — filter wireless client trafficPro-WLAN-ACLs am AP – filtern den Datenverkehr von drahtlosen ClientsACL por WLAN en el AP: filtra el tráfico de clientes inalámbricosACLs por WLAN no AP — filtre o tráfego do cliente sem fioACL par WLAN au niveau du point d'accès: filtre le trafic des clients sans filएपी पर प्रति-डब्ल्यूएलएएन एसीएल - वायरलेस क्लाइंट ट्रैफ़िक को फ़िल्टर करेंAP 处的每 WLAN ACL — 过滤无线客户端流量ACL per WLAN sull'AP: filtrano il traffico dei client wirelessAP での WLAN ごとの ACL — ワイヤレス クライアント トラフィックをフィルタリングしますACL для каждой WLAN на точке доступа — фильтрация трафика беспроводных клиентов.AP'deki WLAN başına ACL'ler — kablosuz istemci trafiğini filtreleyinACL trên mỗi mạng WLAN tại AP - lọc lưu lượng máy khách không dây