Ağ labları Dokümanlar Simülatörü aç →

AP'deki WLAN başına ACL'ler — kablosuz istemci trafiğini filtreleyin

İlke profilinin daha önce eylemsiz referanslar olarak depolanan aclIn / aclOut alanları artık gerçekten kablosuz istemci trafiğini filtreliyor. aclIn: GUEST_BLOCK_INTERNAL ile istemcilerden 10.0.0.0/8'ye giden trafiği reddeden bir konuk WLAN oluşturun; PHONE'un kurumsal bir IP'ye ulaşma girişimi, genel internet trafiği akarken AP'de (ACL adıyla etiketlenmiş PacketDropped) bırakılır.

Bu labı tarayıcıda aç →

Ücretsiz · kurulum yok · hesap yok

Senaryo

Gerçek Cisco kablosuz dağıtımları, WLAN başına ACL'leri zorunlu kılar. Sesli telefonlar, SIP/RTP'ye izin veren ve genel TCP'yi reddeden bir ACL'ye sahiptir. Konuk istemciler, genel aralıklara HTTP/HTTPS'ye izin veren ve dahili ağ erişimini reddeden bir ACL'ye sahip olur. ACL'lere politika profilinden başvurulur ve veri düzlemine uygulanır: - aclIn: kablosuz istemciden kablolu tarafa (yukarı bağlantı) giden trafik. AP kapsülleme zamanında değerlendirildi. - aclOut: kablolu taraftan kablosuz istemciye giden trafik (aşağı bağlantı). Tünele gönderilmeden önce WLC kapsülleme süresinde değerlendirildi. Slice M, mevcut aclIn/aclOut IR alanlarını gerçek veri yoluna bağlar. Çözünürlük akışı: 1. Kablosuz istemci bir paket yayar (veya aşağı bağlantı WLC'ye ulaşır). 2. Birleştirilmiş AP → birleştirilmiş denetleyici → politika etiketi → ilk WLAN/politika girişi → politika profili → aclIn (yukarı bağlantı) veya aclOut (aşağı bağlantı) adını bulun. 3. Denetleyicinin accessLists'sinde adı geçen ACL'ye bakın. 4. İç paketi ACL girişlerine göre değerlendirin. 5. İzin Ver → devam et (kapat ve ilet). Reddet → wlan-acl: '<NAME>' denied … nedeni ile PacketDropped yayınlayın, encap'ı atlayın. Neler ertelendi: - Yalnızca FlexConnect uygulaması: Merkezi anahtarlama modundaki gerçek AP'ler WLC'yi uygular; FlexConnect AP'ler yerel olarak uygulanır. Simülatör her ikisini de "emisyon zamanında bir kez değerlendir" şeklinde çöker; sonuç aynıdır. - Durum bilgisi eşleştirme: TCP established çalışır (ACL değerlendiricisi bunu zaten destekler), ancak tam bağlantı bilinçli filtreleme bir sonraki katmandır. - Zamana dayalı ACL'ler: zaman aralığı referansları çalışır (mevcut IR), ancak orta akışın yeniden değerlendirilmesi modellenmez.

Topoloji

2 × router, 1 × kablosuz denetleyici, 1 × switch, 1 × erişim noktası, 1 × wifi istemcisi · Cisco IOS-XE-style

Yapacakların

  1. engine.emitWirelessClientPacket({ deviceId: 'GUEST_PHONE', dst: parseIPv4('10.40.0.5') })'yi deneyin. Hedef 10.40.0.5, deny ip any 10.0.0.0/8 kuralının kapsamına girer, dolayısıyla ACL AP'ye ateşlenir ve paket hiçbir zaman kabloya ulaşmaz. Pcap, CAPWAP-Veri yukarı bağlantı çerçevesi göstermemelidir; AP1'de etiketlenen bir PacketDropped olayı reason: "wlan-acl: 'GUEST_BLOCK_INTERNAL' denied …"'yi taşır.

Bu labı tarayıcıda aç →

Bu konudaki diğer lablar

Bu lab diğer dillerde

Per-WLAN ACLs at the AP — filter wireless client trafficPro-WLAN-ACLs am AP – filtern den Datenverkehr von drahtlosen ClientsACL por WLAN en el AP: filtra el tráfico de clientes inalámbricosACLs por WLAN no AP — filtre o tráfego do cliente sem fioACL par WLAN au niveau du point d'accès: filtre le trafic des clients sans filएपी पर प्रति-डब्ल्यूएलएएन एसीएल - वायरलेस क्लाइंट ट्रैफ़िक को फ़िल्टर करेंAP 处的每 WLAN ACL — 过滤无线客户端流量ACL per WLAN sull'AP: filtrano il traffico dei client wirelessAP での WLAN ごとの ACL — ワイヤレス クライアント トラフィックをフィルタリングしますAP의 WLAN별 ACL — 무선 클라이언트 트래픽 필터링ACL для каждой WLAN на точке доступа — фильтрация трафика беспроводных клиентов.ACL trên mỗi mạng WLAN tại AP - lọc lưu lượng máy khách không dây