Cisco IOS IPv6 Traffic auf bestimmten Port und bestimtme Adresse in ACL

Hallo,
ich möchte bestimmten IPv6-Traffic auf einen bestimmten Port einer speziellen IP blockieren, um so den Login auf einen Telnet-Server des Cisco-Routers nur aus dem internen Netzwerk möglich zu machen.
Das soll über die Firewall des Cisco geschehen.

So sieht diese Liste aktuell aus:

ipv6 access-list telnet-block
 permit tcp 2001:470:b:a::/64 any
 deny tcp any host 2001:470:b:a::1 eq telnet
 permit ipv6 any any

Die erste Zeile nutze ich, damit Telnet aus dem Heimnetz erlaubt wird (alles andere kann da ja auch erlaubt werden).
Die zweite Zeile soll dann Telnet auf die spezielle IP verbieten und greift ja nur, wenn die erste Regel nicht passt --> nur bei externem Traffic)
Die 3. Regel lässt dann vorsichtshalber alles durch (so soll es sein).

Ist dieser Ansatz so korrekt?
Ich habe die Regel noch nicht aktiviert, bevor ich mich aussperre.
Das Ganze würde ich dann noch auf den DNS erweitern.

LG Marco

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 621900

Url: https://administrator.de/forum/cisco-ios-ipv6-traffic-auf-bestimmten-port-und-bestimtme-adresse-in-acl-621900.html

Ausgedruckt am: 14.03.2025 um 06:03 Uhr

9 Kommentare

Neuester Kommentar

Ansatz ist zu kompliziert gedacht....
Mach es so wie bei IPv4 und nimme eine Standard ACL statt einer Extended.

access-list 23 permit 192.168.100.0 0.0.0.255
!
line vty 0 4
access-class 23 in
login local
transport input telnet ssh

So greift die ACL nur rein auf den Terminal Zugriff.

Ich kann da leider keine IPv6-Adresse bzw. ein Netz angeben.

cisco886va(config)#access-list 23 permit ?                       
  Hostname or A.B.C.D  Address to match
  any                  Any source host
  host                 A single host address

cisco886va(config)#access-list 23 permit 2001:470:a:b::/64
                                         ^
% Invalid input detected at '^' marker. #Der Marker zeigt auf die 2 am Anfang der IPv6-Adresse.  

cisco886va(config)#

Das Kommando lautet dann "ipv6 access-list xyz ..."

Klappt leider noch nicht.
Ich habe nun Testweise mal eine ACL angelegt, die alles für IPv6 blockieren soll (um zu testen, ist ja dann nur die Konfig vom Cisco betroffen, die auch per IPv4 erreichbar ist).

ipv6 access-list telnet-block
 deny ipv6 any any
!

####
cisco886va(config-line)#do sh run | begin line      
line con 0
 no modem enable
line aux 0
 no activation-character
 no exec
 transport preferred none
 transport input all
line vty 0 4
 access-class telnet-block in
 login authentication local_auth
 transport input telnet ssh
!

Ich hätte hier jetzt erwartet, dass dann gar kein IPv6-Zugang mehr zum Cisco möglich ist.
Dem ist aber nicht so.

Routing Zugang ist natürlich gegeben aber der Telnet und SSH Zugang der sollte mit der o.a. ACL blockiert sein für IPv6.
Die ACL bezieht sich ja rein nur auf den Telnet und SSH Zugang der virtuellen Terminal Ports vty 0 4

Wenn die ACL so wie sie aktuell ist (also alles zu IPv6 droppen) auf die vty 0 4 anwenden (so wie oben beschrieben) passiert exakt nichts. Weiterhin Zugang möglich.