Laboratórios de redes Docs Abrir simulador →

ACLs por WLAN no AP — filtre o tráfego do cliente sem fio

Os campos aclIn/aclOut do perfil de política, anteriormente armazenados como referências inertes, agora filtram na verdade o tráfego do cliente sem fio. Construa uma WLAN convidada com aclIn: GUEST_BLOCK_INTERNAL que nega tráfego de clientes para 10.0.0.0/8; A tentativa do PHONE de alcançar um IP corporativo é descartada no AP (PacketDropped marcado com o nome ACL) enquanto o tráfego da Internet pública flui.

Abrir este laboratório no navegador →

Grátis · sem instalação · sem conta

Cenário

As implantações sem fio reais da Cisco impõem ACLs por WLAN. Os telefones de voz obtêm uma ACL que permite SIP/RTP e nega TCP geral. Os clientes convidados obtêm uma ACL que permite HTTP/HTTPS para intervalos públicos e nega acesso à rede interna. As ACLs são referenciadas no perfil da política e aplicam-se ao plano de dados: - aclIn: tráfego DO cliente sem fio PARA o lado com fio (uplink). Avaliado em tempo de encapsulamento AP. - aclOut: tráfego DO lado cabeado PARA o cliente sem fio (downlink). Avaliado no tempo de encapsulamento do WLC antes de enviar para o túnel. O Slice M conecta os campos IR aclIn/aclOut existentes ao caminho de dados real. Fluxo de resolução: 1. O cliente sem fio emite um pacote (ou o downlink chega ao WLC). 2. Encontre o AP associado → controlador associado → etiqueta de política → primeira entrada de WLAN/política → perfil de política → nome aclIn (uplink) ou aclOut (downlink). 3. Procure a ACL nomeada no accessLists do controlador. 4. Avalie o pacote interno em relação às entradas da ACL. 5. Permitir → continuar (encap e encaminhar). Negar → emitir PacketDropped com o motivo wlan-acl: '<NAME>' denied …, pular encap. O que é adiado: - Aplicação somente FlexConnect: APs reais no modo de comutação central são aplicados na WLC; Os APs FlexConnect são aplicados localmente. O simulador se transforma em "avaliar uma vez no momento da emissão" - o veredicto é o mesmo. - Correspondência com estado: TCP established funciona (o avaliador ACL já oferece suporte), mas a filtragem completa com reconhecimento de conntrack é a próxima camada. - ACLs baseadas em tempo: as referências de intervalo de tempo funcionam (IR existente), mas a reavaliação do fluxo intermediário não é modelada.

Topologia

2 × roteador, 1 × controlador wireless, 1 × switch, 1 × ponto de acesso, 1 × cliente wifi · Cisco IOS-XE-style

O que você vai fazer

  1. Experimente engine.emitWirelessClientPacket({ deviceId: 'GUEST_PHONE', dst: parseIPv4('10.40.0.5') }). O destino 10.40.0.5 está dentro da regra deny ip any 10.0.0.0/8, portanto a ACL é acionada no AP e o pacote nunca chega ao fio. O Pcap não deve mostrar nenhum quadro de uplink CAPWAP-Data; um evento PacketDropped marcado em AP1 carrega reason: "wlan-acl: 'GUEST_BLOCK_INTERNAL' denied …".

Abrir este laboratório no navegador →

Mais laboratórios deste tema

Este laboratório em outros idiomas

Per-WLAN ACLs at the AP — filter wireless client trafficPro-WLAN-ACLs am AP – filtern den Datenverkehr von drahtlosen ClientsACL por WLAN en el AP: filtra el tráfico de clientes inalámbricosACL par WLAN au niveau du point d'accès: filtre le trafic des clients sans filएपी पर प्रति-डब्ल्यूएलएएन एसीएल - वायरलेस क्लाइंट ट्रैफ़िक को फ़िल्टर करेंAP 处的每 WLAN ACL — 过滤无线客户端流量ACL per WLAN sull'AP: filtrano il traffico dei client wirelessAP での WLAN ごとの ACL — ワイヤレス クライアント トラフィックをフィルタリングしますAP의 WLAN별 ACL — 무선 클라이언트 트래픽 필터링ACL для каждой WLAN на точке доступа — фильтрация трафика беспроводных клиентов.AP'deki WLAN başına ACL'ler — kablosuz istemci trafiğini filtreleyinACL trên mỗi mạng WLAN tại AP - lọc lưu lượng máy khách không dây