ACLs Cisco SG250

Mitglied: drcyber

drcyber (Level 1) - Jetzt verbinden

15.03.2021 um 20:49 Uhr, 673 Aufrufe, 16 Kommentare

Hallo,

ich habe mein Heimnetz in 4 VLANs aufgeteilt:

VLAN 1: da hängt die Fritzbox und verbindet sich zum Internet (10.0.0.0/24)

VLAN 10: Lan/Wlan allgemein (10.0.10.0/24)

VLAN 20: Heimautomatisierung/IoT (10.0.20.0/24)

VLAN 30: Gäste(W)Lan (10.0.30.0/24)


Das Routing zwischen den Vlans übernimmt der SG250 , das funktioniert bereits. Jetzt möchte ich zb Vlan 20 so einschränken dass es nicht ins Internet oder in andere Vlans kommt, ausser zu meinem Fhem-Server im 1er Vlan. (10.0.0.251)-der ist auch gleichzeitig DHCP-Server.

Oder Vlan 30 soll nur ins Internet kommen und auch zum Pihole (ebenfalls 10.0.0.251), für die Namensauflösung bzw DHCP.

Vlan 1 und 10 sollen überall hin kommen.

ich hab jetzt noch ein Verständnisproblem mit den ACLs , wie plane und lege ich die dann an?

zZt hab ich für jedes Vlan eine ACL:

Die ACLs sind immer ans gleichnamige VLAN gebunden.

Das funktioniert auch soweit, wenn auch eventuell nur zufällig(?)
ausser dass ich vom 10er Vlan nicht ins 20er komme.

Was übersehe ich hier, oder ist meine ACL-VLAN-Zuweisung sowieso nicht ideal?

LG & THX
Mitglied: Reinartz
16.03.2021 um 06:55 Uhr
ich vermute du hast es durch ping geprüft ? bedenke dass es dann auch einen Rückweg (für die Antwort) geben muss also vom 20er ins 10er Vlan und da ist eingehend nur das 10er Netz erlaubt.
Bitte warten ..
Mitglied: drcyber
16.03.2021 um 09:25 Uhr
Hi , danke für deine Antwort,

ja hab ich, sowohl mit Ping als auch mit dem Browser überprüft ( sind großteils Tasmota-Steckdosen).
Beides geht nicht, ausserdem hab ich jetzt mal die VLAN10 ACL ganz weggenommen und ich komme immer noch nicht ins 20er-Vlan. Weder Ping noch Browser.

Erst wenn ich die VLAN20-ACL vom Vlan entferne komm ich wieder rüber..
( auch mit aktivierter VLAN10-ACL).
Bitte warten ..
Mitglied: Reinartz
16.03.2021 um 10:25 Uhr
versuch mal das

permit ip 10.0.10.0 0.0.0.255 any ace-priority 80

in ein
permit 10.0.10.0 0.0.0.255 any ace-priority 80

zu ändern
nicht dass du ein anderes Protokoll verwendest (TCP)
Bitte warten ..
Mitglied: drcyber
16.03.2021 um 16:35 Uhr
das frisst er leider nicht..


Ip sollte aber eh alles abdecken oder?


Bitte warten ..
Mitglied: drcyber
21.03.2021 um 14:39 Uhr
Was mir jetzt noch aufgefallen ist, aus vlan 1 ( 10.0.0.0/24) komm ich auch nicht ins 20er-Vlan , ausser von 10.0.0.251 aus.

Irgendwas habe ich da glaube ich noch überhaupt nicht verstanden...
Bitte warten ..
Mitglied: Reinartz
21.03.2021 um 14:55 Uhr
Naja deine ACL erlaubt es ja auch nicht
Die ACL die ins vlan 20 eingehend greift erlaubt ja nur jeglichen udp Verkehr
Traffic aus dem 20er Netz zur .251
Und Traffic aus dem 10er Netz
Der Traffic aus dem 1er Netz wird demnach geblockt
Bitte warten ..
Mitglied: drcyber
21.03.2021 um 15:15 Uhr
aber wie muss die ACL Dann aussehen wenn ich:

vom 10er und 1er Vlan ins 20er überall hin kommen will
aber vom 20er vlan nur zu 10.0.0.251 (vlan1) ?
oder geht das so überhaupt nicht?

Ich steh da irgendwie aufn Schaluch..
Bitte warten ..
Mitglied: Reinartz
21.03.2021 um 15:39 Uhr
Leider kann ich es daheim erst morgen nachstellen daher kann ich es nich genau prüfen aber ich würde sagen wenn du von 10er und 1er netz ins 20er überall willst muss die acl für das 20er in etwa so aussehen

ip access-list extended "vlan20"
permit ip 10.0.10.0 0.0.0.255 any ace-priority 100
permit ip 10.0.0.0 0.0.0.255 any ace-priority 110

interface vlan 20
name IoT
ip address 10.0.20.1 255.255.255.0
ip dhcp relay enable
service-acl input "vlan20"

für die regel von 20er weg nur zu .251 wäre es in etwa so
ip access-list extended "vlan1"
permit ip 10.0.20.0 0.0.0.255 host 10.0.0.251 ace-priority 100

interface vlan 1
name XXX
ip address 10.0.0.X 255.255.255.0
service-acl input "vlan1"


die Acls sind ja immer aufgebaut
Aktion ->Protokoll->Absender -> ziel-> Nummer
Danach wird die ACL ans interface gebunden hierbei nutzt man meist eher eingehend
daher musst du gucken von wo nach wo der traffic geht und dann eingehend filtern
Bitte warten ..
Mitglied: drcyber
22.03.2021 um 19:37 Uhr
genauso hätte ich es auch verstanden aber das funktioniert nicht.

wenn ich es so mache, bekomme ich weder im 20er noch im 10er Vlan eine IP zugewiesen.

Ich hab jetzt gesehen dass es eine neue Firmware für den Switch gibt und diese auch gleich aktualisiert, allerdings hat das nix geändert..
Bitte warten ..
Mitglied: Reinartz
22.03.2021 um 19:44 Uhr
Wenn du bis morgen warten kannst werde ich es an einem SG 300 (250 hab ich keinen ) mal testen und dir die entsprechende config senden
Bitte warten ..
Mitglied: drcyber
22.03.2021 um 19:56 Uhr
Ja so dringend is es nicht.

Wenn du Zeit hättest , wär das super :) face-smile
Bitte warten ..
Mitglied: Reinartz
23.03.2021, aktualisiert um 15:40 Uhr
gerade noch einmal gelesen

könntest du mir eine einfache netzübersicht geben (als Zeichnung)
Bitte warten ..
Mitglied: drcyber
23.03.2021 um 19:17 Uhr
Hallo,

bittesehr. Reicht das so?
img_20210323_191536~2 - Klicke auf das Bild, um es zu vergrößern
Bitte warten ..
Mitglied: drcyber
23.03.2021 um 19:55 Uhr
ja wenn ich keine acls definiert habe, komme ich von jedem vlan in jedes vlan
Bitte warten ..
Mitglied: Reinartz
13.04.2021, aktualisiert um 11:36 Uhr
Also ich habe es endlich geschafft mich damit auseinder zu setzten
und vollkommen hat es mich fast zum verzweifeln gebracht


aber hier jetzt meine Ansätze (alles habe ich nicht 1zu1 nachgebaut)

interface Vlan10
mac-address XXXX
ip address 10.0.10.1 255.255.255.0
ip helper-address 10.0.0.125
ip access-group 10er in


10er
#10zu20
permit ip 10.0.10.0 0.0.0.255 10.0.20.0 0.0.0.255
#dhcp
permit udp any eq bootpc any eq bootps

20er
#nur zu dhcp(andere ip)
permit ip 10.0.20.0 0.0.0.255 host 10.0.0.125
#dhcp
permit udp any eq bootpc any eq bootps

1er
#1zu20
permit ip 10.0.0.0 0.0.0.255 10.0.20.0 0.0.0.255
#dhcp
permit udp any eq bootpc any eq bootps

zum Verständniss in und out da habe ich mich schwer getan
in -> wird vor dem routing gemacht
out -> nach dem routing
in deinem Fall musst du also wenn du vom 10er zum 20er Vlan willst entweder auf dem Vlan 10 in machen oder beim Vlan 20 out

10er Netz.........................................................20er Netz
-------------in----routing---out
------------->| Switch |------------->


permit udp any eq bootpc any eq bootps--> wird benötigt damit der Client eine IP vom DHCP beziehen kann
Bitte warten ..
Heiß diskutierte Inhalte
LAN, WAN, Wireless
Unterschiedliche IP-Adressbereiche im Netzwerk
achkleinVor 1 TagFrageLAN, WAN, Wireless17 Kommentare

Hallo, ich stehe vor einem Problem mit der WLAN-Verbindung zum Router (Fritzbox Cable 6490). Das verbundene Notebook hat die Adresse 192.168.0.164, Gateway ist 192.168.0.149: ...

Off Topic
Microsoft und der (leidige) Datenschutz
Franz-Josef-IIVor 1 TagAllgemeinOff Topic18 Kommentare

Hello Ich möchte vorausschicken, daß ich rein prinzipiell nichts gegen Microsoft habe, eher gegen die US-amerikanische Politik 😊 Microsoft bietet die Datenverarbeitung in der ...

Off Topic
32 bit Problem
brammerVor 1 TagAllgemeinOff Topic9 Kommentare

Hallo, also das ist mal ein Problem das ich auch haben möchte eine Aktie ist mehr Wert als das die Börsensoftware darstellen kann. brammer

Hardware
Thin- oder Zero-Client für RDP und Dual-Monitor im LAN gesucht
FestplattenaufzieherVor 1 TagFrageHardware9 Kommentare

Hallo, Kurzfassung meiner Frage: Ich suche Thin/Zero-Clients (4 Stück) mit Dual-Monitor-Unterstützung für den RDP-Zugriff auf PCs in einem LAN - idealerweise lautlos und relativ ...

Windows 10
Windows 10 2021-04 end of life?
gelöst Paedi12Vor 1 TagFrageWindows 103 Kommentare

Hi Leute! Ich bin gerade auf der Suche, wie lange die Windows Version 2021-04 unterstützt wird. Kann aber nichts finden. Hat jemand eine Ahnung, ...

Switche und Hubs
Netgear Switch Problem bei VLAN Konfiguration
gelöst meltersVor 1 TagFrageSwitche und Hubs15 Kommentare

Hallo, ich habe einen Netgear XS716T Switch zum Testen in Betrieb genommen, komme aber mit der VLAN Konfiguration nicht so ganz klar. Bislang habe ...

Windows Server
Lizenzen für Virtualisierungshost
TakworianVor 10 StundenFrageWindows Server14 Kommentare

Hallo, ich werde demnächst einen HA-Cluster aus 3 x HP DL580 in Betrieb nehmen. Der Cluster wird unter Proxmox betrieben und es sollen diverse ...

Router & Routing
Suche Tipps für Selfmade-Load-Balancing-Router auf HP MicroServer Gen10+
gelöst MagicChris86Vor 1 TagFrageRouter & Routing7 Kommentare

Hi Leute, ich habe einen HP MicroServer Gen10+ Performance übrig, der bei einer Kundin rausgeflogen ist, weil sie mehr Power brauchte für Desktopvirtualisierung für ...