Сетевые лабораторные Документация Открыть симулятор →

ACL для каждой WLAN на точке доступа — фильтрация трафика беспроводных клиентов.

Поля aclIn/aclOut профиля политики, ранее хранившиеся как неактивные ссылки, теперь фактически фильтруют трафик беспроводных клиентов. Создайте гостевую WLAN с aclIn: GUEST_BLOCK_INTERNAL, которая блокирует трафик от клиентов к 10.0.0.0/8; Попытка PHONE достичь корпоративного IP-адреса прерывается на точке доступа (PacketDropped помечается именем ACL), пока проходит трафик общедоступного Интернета.

Открыть эту лабораторную в браузере →

Бесплатно · без установки · без регистрации

Сценарий

Реальные беспроводные развертывания Cisco обеспечивают соблюдение списков ACL для каждой WLAN. Голосовые телефоны получают список ACL, который разрешает SIP/RTP и запрещает общий TCP. Гостевые клиенты получают список управления доступом, который разрешает HTTP/HTTPS для общедоступных диапазонов и запрещает доступ к внутренней сети. Ссылки на списки ACL содержатся в профиле политики и применяются к плоскости данных: - aclIn: трафик ОТ беспроводного клиента НА проводную сторону (восходящая линия связи). Оценивается во время блокировки точки доступа. - aclOut: трафик ОТ проводной стороны К беспроводному клиенту (нисходящая линия связи). Оценивается во время блокировки WLC перед отправкой в ​​туннель. Slice M подключает существующие IR-поля aclIn/aclOut к фактическому пути данных. Поток разрешения: 1. Беспроводной клиент отправляет пакет (или нисходящая линия связи поступает на WLC). 2. Найдите присоединенную точку доступа → присоединенный контроллер → тег политики → первую запись WLAN/политики → профиль политики → имя aclIn (восходящий канал) или aclOut (нисходящий канал). 3. Найдите именованный список ACL на контроллере accessLists. 4. Сравните внутренний пакет с записями ACL. 5. Разрешить → продолжить (заключить и вперед). Запретить → выдать PacketDropped с причиной wlan-acl: '<NAME>' denied …, пропустить инкап. Что отложено: - Принуждение только к FlexConnect: Реальные точки доступа в режиме централизованной коммутации применяются к WLC; Точки доступа FlexConnect реализуют локально. Оба симулятора сворачиваются в режим «оценить один раз во время эмиссии» — вердикт один и тот же. - Сопоставление с отслеживанием состояния: TCP established работает (оценщик ACL уже поддерживает его), но следующим уровнем является полная фильтрация с учетом conntrack. - Списки управления доступом на основе времени: ссылки на временной диапазон работают (существующие IR), но переоценка в середине потока не моделируется.

Топология

2 × маршрутизатор, 1 × контроллер Wi-Fi, 1 × коммутатор, 1 × точка доступа, 1 × Wi-Fi клиент · Cisco IOS-XE-style

Что предстоит сделать

  1. Попробуйте engine.emitWirelessClientPacket({ deviceId: 'GUEST_PHONE', dst: parseIPv4('10.40.0.5') }). Пункт назначения 10.40.0.5 подпадает под правило deny ip any 10.0.0.0/8, поэтому ACL срабатывает на точке доступа, и пакет никогда не достигает проводного соединения. Pcap не должен отображать кадр восходящей линии связи CAPWAP-Data; событие PacketDropped, помеченное как AP1, несет в себе reason: "wlan-acl: 'GUEST_BLOCK_INTERNAL' denied …".

Открыть эту лабораторную в браузере →

Другие лабораторные по теме

Эта лабораторная на других языках

Per-WLAN ACLs at the AP — filter wireless client trafficPro-WLAN-ACLs am AP – filtern den Datenverkehr von drahtlosen ClientsACL por WLAN en el AP: filtra el tráfico de clientes inalámbricosACLs por WLAN no AP — filtre o tráfego do cliente sem fioACL par WLAN au niveau du point d'accès: filtre le trafic des clients sans filएपी पर प्रति-डब्ल्यूएलएएन एसीएल - वायरलेस क्लाइंट ट्रैफ़िक को फ़िल्टर करेंAP 处的每 WLAN ACL — 过滤无线客户端流量ACL per WLAN sull'AP: filtrano il traffico dei client wirelessAP での WLAN ごとの ACL — ワイヤレス クライアント トラフィックをフィルタリングしますAP의 WLAN별 ACL — 무선 클라이언트 트래픽 필터링AP'deki WLAN başına ACL'ler — kablosuz istemci trafiğini filtreleyinACL trên mỗi mạng WLAN tại AP - lọc lưu lượng máy khách không dây