Добрый день,
Подскажите пожалуйста пример написания ACL .
Маршрутизатор ESR-1200
логика такая, необходимо пропускать пользователей согласно белого списка на интерфейс gi1/0/1
в сеть 77.242.*.*/29
interface gigabitethernet 1/0/1
security-zone untrusted
ip netflow export
switchport forbidden default-vlan
switchport general pvid 2
switchport general allowed vlan add 2 untagged
ip address 77.242.*.*/29
Спасибо.
О деактивации форума Eltex
Уважаемые коллеги! В связи с потерей актуальности данного ресурса, нами было принято решение о частичной деактивации форума Eltex. Мы отключили функции регистрации и создания новых тем, а также возможность оставлять сообщения. Форум продолжит работу в "режиме чтения", так как за долгие годы работы здесь накопилось много полезной информации и ответов на часто встречающиеся вопросы.
Мы активно развиваем другие каналы коммуникаций, которые позволяют более оперативно и адресно консультировать наших клиентов. Если у вас возникли вопросы по работе оборудования, вы можете обратиться в техническую поддержку Eltex, воспользовавшись формой обращения на сайте компании или оставить заявку в системе Service Desk. По иным вопросам проконсультируют наши менеджеры коммерческого отдела: eltex@eltex-co.ru.
Уважаемые коллеги! В связи с потерей актуальности данного ресурса, нами было принято решение о частичной деактивации форума Eltex. Мы отключили функции регистрации и создания новых тем, а также возможность оставлять сообщения. Форум продолжит работу в "режиме чтения", так как за долгие годы работы здесь накопилось много полезной информации и ответов на часто встречающиеся вопросы.
Мы активно развиваем другие каналы коммуникаций, которые позволяют более оперативно и адресно консультировать наших клиентов. Если у вас возникли вопросы по работе оборудования, вы можете обратиться в техническую поддержку Eltex, воспользовавшись формой обращения на сайте компании или оставить заявку в системе Service Desk. По иным вопросам проконсультируют наши менеджеры коммерческого отдела: eltex@eltex-co.ru.
ACL на ESR
Re: ACL на ESR
object-group network NETS
ip prefix 11.22.33.0/24
ip prefix 44.55.66.0/16
ip address-range 77.88.99.111
exit
security zone-pair зона_откуда untrusted
rule 1
action permit
match protocol any
match source-address NETS
match destination-address 77.242.*.*/29
enable
exit
exit
зона_откуда на интерфейс откуда.
ip prefix 11.22.33.0/24
ip prefix 44.55.66.0/16
ip address-range 77.88.99.111
exit
security zone-pair зона_откуда untrusted
rule 1
action permit
match protocol any
match source-address NETS
match destination-address 77.242.*.*/29
enable
exit
exit
зона_откуда на интерфейс откуда.
-
- Сообщения: 38
- Зарегистрирован: 26 июл 2017 00:41
- Reputation: 0
- Откуда: Тюмень
- Контактная информация:
Re: ACL на ESR
Есть необходимость в указании конкретных ip(около 200-300), а не целых сетей. В каком виде указываются такие списки?
Re: ACL на ESR
Infnd писал(а):Есть необходимость в указании конкретных ip(около 200-300), а не целых сетей. В каком виде указываются такие списки?
тоже интересен этот момент, ибо в одну object-group можно добавить только 6 ip prefix и 6 ip address-range. По крайней мере, такое ограничение на esr-10.
Re: ACL на ESR
Это хорошие вопросы, нужно задать их разработчикам.
-
- Сообщения: 38
- Зарегистрирован: 26 июл 2017 00:41
- Reputation: 0
- Откуда: Тюмень
- Контактная информация:
Re: ACL на ESR
Разработчики молчат....
Re: ACL на ESR
на 200-м в одну object-group можно добавить 64 адреса. Это на актуальной прошивки.
Infnd, не могли бы проверить сколько на 1200?
Infnd, не могли бы проверить сколько на 1200?
-
- Сообщения: 38
- Зарегистрирован: 26 июл 2017 00:41
- Reputation: 0
- Откуда: Тюмень
- Контактная информация:
Re: ACL на ESR
Попробую, подскажу...
-
- Сообщения: 179
- Зарегистрирован: 25 янв 2016 14:10
- Reputation: 0
- Откуда: Элтекс
Re: ACL на ESR
Добрый день!
Ограничения для версии 1.4:
Причем ограничение именно по ranges, т.е. использование
ip address-range 192.0.2.100-192.0.2.200
Будет занимать всего одно место, а вот
ip address-range 192.0.2.10,192.0.2.100-192.0.2.200,192.0.2.210,192.0.2.250-192.0.2.254
уже 4ре:
object-group network TEST
ip address-range 192.0.2.10
ip address-range 192.0.2.100-192.0.2.200
ip address-range 192.0.2.210
ip address-range 192.0.2.250-192.0.2.254
exit
Ограничения для версии 1.4:
Код: Выделить всё
ESR-100/1700 ESR-1x
Object-group network
instances 500 50
ip prefixes in group 64 6
ip ranges in group 64 6
Object-group service
instances 500 50
ports ranges in group 64 6
Причем ограничение именно по ranges, т.е. использование
ip address-range 192.0.2.100-192.0.2.200
Будет занимать всего одно место, а вот
ip address-range 192.0.2.10,192.0.2.100-192.0.2.200,192.0.2.210,192.0.2.250-192.0.2.254
уже 4ре:
object-group network TEST
ip address-range 192.0.2.10
ip address-range 192.0.2.100-192.0.2.200
ip address-range 192.0.2.210
ip address-range 192.0.2.250-192.0.2.254
exit
Леонид Зарков / Элтекс / Сервисный центр ШПД / techsupp@eltex.nsk.ru
Вернуться в «Коммутаторы и маршрутизаторы Ethernet»
Кто сейчас на конференции
Сейчас этот форум просматривают: нет зарегистрированных пользователей и 9 гостей