ACL trên mỗi mạng WLAN tại AP - lọc lưu lượng máy khách không dây

• Dịch vụ và không dây
• Nâng cao
• 12 phút
• 1 bước
• Cisco IOS-XE-style

Mở bài lab này trong trình duyệt →

Miễn phí · không cần cài đặt · không cần tài khoản

Tình huống

Triển khai không dây thực sự của Cisco thực thi ACL trên mỗi mạng WLAN. Điện thoại thoại nhận được ACL cho phép SIP/RTP và từ chối TCP chung. Khách hàng khách nhận được ACL cho phép HTTP/HTTPS ở phạm vi công cộng và từ chối truy cập mạng nội bộ. Các ACL được tham chiếu từ hồ sơ chính sách và áp dụng cho mặt phẳng dữ liệu: - aclIn: lưu lượng TỪ máy khách không dây ĐẾN phía có dây (đường lên). Được đánh giá tại thời điểm đóng gói AP. - aclOut: lưu lượng TỪ phía có dây ĐẾN máy khách không dây (đường xuống). Được đánh giá tại thời điểm đóng gói WLC trước khi gửi vào đường hầm. Slice M nối các trường IR aclIn/aclOut hiện có vào đường dẫn dữ liệu thực tế. Luồng giải quyết: 1. Máy khách không dây phát ra một gói (hoặc đường xuống đến WLC). 2. Tìm AP đã tham gia → bộ điều khiển đã tham gia → thẻ chính sách → mục nhập chính sách/WLAN đầu tiên → hồ sơ chính sách → tên aclIn (đường lên) hoặc aclOut (đường xuống). 3. Tra cứu ACL có tên trên accessLists của bộ điều khiển. 4. Đánh giá gói bên trong dựa trên các mục của ACL. 5. Giấy phép → tiếp tục (đóng gói và chuyển tiếp). Từ chối → phát ra PacketDropped với lý do wlan-acl: '<NAME>' denied …, bỏ qua encap. Những gì được hoãn lại: - Thực thi chỉ dành cho FlexConnect: Các AP thực ở chế độ chuyển mạch trung tâm thực thi trên WLC; Các AP FlexConnect thực thi cục bộ. Trình mô phỏng thu gọn cả hai thành "đánh giá một lần tại thời điểm phát ra" - phán quyết là như nhau. - So khớp trạng thái: TCP established hoạt động (bộ đánh giá ACL đã hỗ trợ nó), nhưng tính năng lọc nhận biết conntrack đầy đủ là lớp tiếp theo. - ACL dựa trên thời gian: tham chiếu phạm vi thời gian hoạt động (IR hiện có), nhưng đánh giá lại giữa luồng không được lập mô hình.

Sơ đồ mạng

2 × router, 1 × bộ điều khiển không dây, 1 × switch, 1 × điểm truy cập, 1 × thiết bị wifi · Cisco IOS-XE-style

• ROUTER — router
• WLC1 — bộ điều khiển không dây
• HUB — switch
• AP1 — điểm truy cập
• GUEST_PHONE — thiết bị wifi
• INTERNAL — router

Bạn sẽ làm gì

1. Hãy thử engine.emitWirelessClientPacket({ deviceId: 'GUEST_PHONE', dst: parseIPv4('10.40.0.5') }). 10.40.0.5 đích nằm trong quy tắc deny ip any 10.0.0.0/8, do đó ACL kích hoạt AP và gói không bao giờ đến được dây. Pcap sẽ không hiển thị khung đường lên CAPWAP-Data; sự kiện PacketDropped được gắn thẻ tại AP1 mang reason: "wlan-acl: 'GUEST_BLOCK_INTERNAL' denied …".

Mở bài lab này trong trình duyệt →

Các bài lab khác cùng chủ đề

• Cấu hình DHCP serverCơ bản · 12 phút
• WLAN - phát SSID cơ bảnCơ bản · 10 phút
• HSRP: cấu hình dự phòng first-hopTrung cấp · 12 phút
• NAT: PAT (overload) cho LAN nội bộTrung cấp · 14 phút
• HSRP — theo dõi interface với giảm priorityTrung cấp · 12 phút
• VRF-Lite — hai khách hàng trên một routerTrung cấp · 12 phút

Bài lab này bằng ngôn ngữ khác

Per-WLAN ACLs at the AP — filter wireless client trafficPro-WLAN-ACLs am AP – filtern den Datenverkehr von drahtlosen ClientsACL por WLAN en el AP: filtra el tráfico de clientes inalámbricosACLs por WLAN no AP — filtre o tráfego do cliente sem fioACL par WLAN au niveau du point d'accès: filtre le trafic des clients sans filएपी पर प्रति-डब्ल्यूएलएएन एसीएल - वायरलेस क्लाइंट ट्रैफ़िक को फ़िल्टर करेंAP 处的每 WLAN ACL — 过滤无线客户端流量ACL per WLAN sull'AP: filtrano il traffico dei client wirelessAP での WLAN ごとの ACL — ワイヤレス クライアント トラフィックをフィルタリングしますAP의 WLAN별 ACL — 무선 클라이언트 트래픽 필터링ACL для каждой WLAN на точке доступа — фильтрация трафика беспроводных клиентов.AP'deki WLAN başına ACL'ler — kablosuz istemci trafiğini filtreleyin