14116
14116
Sep 30, 2015, updated at Oct 01, 2015 (UTC)
view3943
view11
0
Goto Top

HP Procurve 5406 und ACLs

GermansolvedQuestionRouters, RoutingNetworks
Hallo Leute, bitte um Hilfe.

ich komm‘ nicht dahinter warum das da nicht funktioniert.


Wieso kann
- Vom Netz 172.21.2.x auf 172.19.0.9 gepingt werden?
- Vom Netz 172.19.x.x auf 172.21.x.x gepingt werden?


(Am 2. VRRP Partner sind die ACL's gleich gebunden')


ip access-list extended "ACL_19_IN"
10 permit ip 172.21.0.0 0.0.7.255 172.19.0.1 0.0.0.0
20 permit ip 172.21.0.0 0.0.7.255 172.19.0.2 0.0.0.0
30 permit ip 172.21.0.0 0.0.7.255 172.19.0.3 0.0.0.0
40 permit ip 172.21.0.0 0.0.7.255 172.19.0.4 0.0.0.0
50 permit ip 172.21.0.0 0.0.7.255 172.19.0.5 0.0.0.0
60 permit ip 172.21.0.0 0.0.7.255 172.19.0.10 0.0.0.0
70 deny ip 172.21.0.0 0.0.7.255 172.19.0.0 0.0.1.255
80 permit ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255
exit
ip access-list extended "ACL_19_OUT"
10 deny ip 172.19.0.0 0.0.255.255 172.21.0.0 0.0.7.255
20 permit ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255
exit


vlan 19
name "VoIP"
untagged F12,F14
tagged A6,F10,Trk1-Trk4,Trk11,Trk20-Trk23,Trk100
ip access-group "ACL_19_IN" in
ip access-group "ACL_19_OUT" out
ip address 172.19.0.20 255.255.254.0
vrrp vrid 1
virtual-ip-address 172.19.0.20
priority 255
enable
exit
exit
vlan 21
name "LAN"
untagged A5,B5,F10-F11,F13,Trk30-Trk31
tagged A6-A8,F12,Trk1-Trk4,Trk11,Trk20-Trk23,Trk100
ip address 172.21.0.1 255.255.248.0
vrrp vrid 1
virtual-ip-address 172.21.0.1
priority 255
enable
exit
exit


LG
Günter
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 284256

Url: https://administrator.de/contentid/284256

Printed on: April 25, 2024 at 06:04 o'clock

11 Comments
Latest comment
Goto Top
Member: aqui
aqui Sep 30, 2015 updated at 15:11:23 (UTC)
Goto Top
Du machst vermutlich einen Denkfehler bei der ACL Logik !
ip access-group xyz in bedeutet INBOUND. A
Sprich also Pakete die vom Draht IN deinen Switch "reingehen".

Analog bedeutet dann ip access-group xyz out das die Regeln alle Pakete betreffen die AUS dem Switch auf den Draht gehen.
Sieht man sich daraufhin mal deine Inbound ACL "19_in" an, die auf dem Interface vlan19 172.19.0.20 /25 sitzt und betrachtet dort nur mal allein das erste Statement der ACL
permit ip 172.21.0.0 0.0.7.255 172.19.0.1 0.0.0.0
Bedeutet das: Alles was mit der Absender IP aus dem 172.21.0.0 /25 Netz hier reinkommt ist erlaubt.
Da fragt man sich: WO sollen Pakete die an einem Interface im 172.19.0.0 /25 Netz liegen herkommen die diese Absender IP haben ?
Normal würde man dort Pakete mit einer Absender IP 172.19.0.0 /25 erwarten und einer Destination IP 172.21.0.0 /25 wenn es um die Kommunikation zw. VLAN 19 und VLAN 21 geht, oder ?

Es sieht also fast danach aus also ob du nicht nur Inbound und Outbound hier verwechselt hast, sondern gleichzeitig obendrauf auch noch das Interface auf das diese ACL gehört.
Klar, das diese ACL dann niemals greifen kann und solche Resultate zeigt wie bei dir !
Mitglied: 14116
14116 Sep 30, 2015 at 16:42:50 (UTC)
Goto Top
Hallo,

danke für Deine Erklärung - jetzt verstehe ich gar nichts mehr.

Mit

ip access-list extended "ACL_19_OUT"  
10 deny ip 172.19.0.0 0.0.255.255 172.21.0.0 0.0.7.255
20 permit ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255
exit

vlan 19 ip access-group "ACL_19_OUT" out

möchte ich verhindern dass ein HOST im VLAN 19 das VLAN 21 erreichen kann. Der HOST (ein PC) ist auf einem anderen Switch angeschlossen, welcher mit LACP an diesen 5406er angebunden ist.

Die Quelle ist doch diesem Fall eine IP aus dem 172.19.x.x Netz?
Und das Paket geht doch aus dem VLAN19-Interface raus?

Was soll daran falsch sein?

LG
Günter
Member: aqui
aqui Oct 01, 2015 at 08:24:41 (UTC)
Goto Top
danke für Deine Erklärung - jetzt verstehe ich gar nichts mehr.
face-big-smile War der Sinn der Sache....
Nein, im Ernst.... Mit
deny ip 172.19.0.0 0.0.255.255 172.21.0.0 0.0.7.255
Blockiert der Switch alle ausgehenden Pakete mit Absender IPs aus dem 172.19.0.0 /16 Netz zu Destination IP Adressen 172.21.0.1 bis 172.21.7.254 (21 Bit Maske)

Diese Accessliste muss auf das VLAN Interface 21 ("ip address 172.21.0.1 255.255.248.0") als Outbound ACL eingerichtet sein, dann ist das richtig !
In deiner geposteten Konfig aber ist auf dem VLAN 21 Interface gar keine Accessliste konfiguriert, deshalb kann diese ACL nicht greifen !
Logischerweise müsste es dann so aussehen:
vlan 21
name "LAN"
untagged A5,B5,F10-F11,F13,Trk30-Trk31
tagged A6-A8,F12,Trk1-Trk4,Trk11,Trk20-Trk23,Trk100
ip address 172.21.0.1 255.255.248.0
ip access-group "ACL_19_OUT" out

Besser ist es immer die Pakete gleich Inbound zu filtern, denn dann gelangen sie gar nicht erst in den Route Prozess des Switches.
Weiterer nachteil: Outgoing ACLs sind bei Billigheimer HP alle CPU gebunden, passieren also in SW und haben somit erheblichen Einfluss auf die Performance des Switches.
Mitglied: 14116
14116 Oct 01, 2015 at 08:58:06 (UTC)
Goto Top
Hallo,

Ich hoffe ich verstehe das Ganze "langsam".

Das sind doch Routing ACL's (RACL)?

Sitzt diese ACL nun IM Interface oder in der Routing Engine dahinter?

a) KABEL <-> (ACL-in -> / ACL-out <) Interface <-> Routing Engine
oder
b) KABEL <-> Interface <-> (ACL-in -> / ACL-out <) Routing Engine
?

Nach meinem Versändnis bisher müsste diese Konfig funktioniern.
Ziel: Das Netz 172.19.x.x kommt nicht auf 172.21.x.x

ip access-list extended "TEST_ACL_19_IN"   
10 deny ip 172.19.0.0 0.0.255.255 172.21.0.0 0.0.7.255 
20 permit ip 0.0.0.0 255.255.255.255 0.0.0.0 255.255.255.255 
exit 
 
vlan 19 ip access-group "TEST_ACL_19_IN" in


PS: Vielen Dank für Deine Geduld.


LG
Günter
Member: aqui
aqui Oct 01, 2015 at 09:02:49 (UTC)
Goto Top
Sitzt diese ACL nun IM Interface oder in der Routing Engine dahinter?
Das ist genau die entscheidende Frage ! Stell dir das so vor:

Alle Pakete die Outbound gefiltert werden wuseln im IM Switch rum und der Switch sieht sie sich nochmal an nach Source und Destination Adresse bevor er sie final auf den Draht ins Netz schickt.
Das ist Outbound (out Statement)

Inbound betrifft alle Pakete die auf dem Netzwerk Draht sind und in den Switch reinfliessen (in Statement) um dann geroutet zu werden. Diese sieht der Switch nach Source und Destination Adresse an bevor er sie zum Route Prozess schickt.

Diese Logik ist essentiell wichtig für die Funktion der ACLs.
Mitglied: 14116
14116 Oct 01, 2015 updated at 09:56:06 (UTC)
Goto Top
Diese Logik ist essentiell wichtig für die Funktion der ACLs.

Also, bezieht sich das IN oder OUT Statement auf die Routing Engine?

Pakete kommen IN die Routingengine oder verlassen (OUT) diese?
In der Routingengine wird die ACL verarbeitet?

Habe ich das richtig verstanden?

KABEL <-> Interface <-> (ACL-in > / ACL-out <) <-> Routing Engine

LG
Günter
Member: aqui
Solution aqui Oct 01, 2015 updated at 11:19:14 (UTC)
Goto Top
Also, bezieht sich das IN oder OUT Statement auf die Routing Engine?
Ja, kann man so sagen...
IN filtert alles was reinkommt VOR dem Routing und OUT filtert alles NACH dem Routing was rausgehen soll.

Richtig ist dann aus logischer Sicht:
KABEL <-> Interface <-> (ACL-in) <-> Routing Engine <-> (ACL-out) <-> Interface <-> KABEL
Mitglied: 14116
14116 Oct 01, 2015 at 14:58:50 (UTC)
Goto Top
Richtig ist dann aus logischer Sicht:
KABEL <-> Interface <-> (ACL-in) <-> Routing Engine <-> (ACL-out) <-> Interface <-> KABEL


Danke für Deine Hilfe.

LG
Günter
Member: aqui
aqui Oct 02, 2015 at 14:07:32 (UTC)
Goto Top
Klappt das denn nun oder ja ?! face-smile
Mitglied: 14116
14116 Oct 06, 2015 at 12:14:56 (UTC)
Goto Top
Zitat von @aqui:

Klappt das denn nun oder ja ?! face-smile


JA! DANKE!
Member: aqui
aqui Oct 06, 2015 at 16:43:03 (UTC)
Goto Top
Wunderbaaar....
GermansolvedQuestionRouters, RoutingNetworks
Hotly discussed
gleixnerdCheck of ZFW Firewallgleixnerd - 5 CommentsjstrickerWireguard VPN on UDM Pro behind Fritzbox - Handshake did not completejstricker - 3 Comments