[tumaczmen]

Siemacie Mirasy. Zerknijcie na tę listę ACL czy jest dobrze skonfigurowana.

Scenariusz jest taki, że muszę zezwolić na ruch www dla hosta 192.168.20.5. Mam tu parametr established (wiem, że nie jest to najlepsze rozwiązanie ale mniejsza z tym - to są teoretyczne rozważania), który teoretycznie w tej liście działa tak, że przepuszcza ruch tcp z Internetu (any) do hosta 192.168.20.5 o ile to połączenie jest już ustanowione (syn+ack).

permit tcp any eq www host 192.168.20.5 established

Dostałem zwrotkę, że źle użyłem komendy i jestem w dupie. Niby powinienem zamienić miejscami hosta i any, tak żeby móc zezwalać na puszczanie pakietów z hosta do dowolnego innego miejsca ale wg. definicji parametru established, acl puści mi to jedynie w momencie kiedy będę miał już ustanowione połączenie, ale to host wchodząc na www z sieci LAN dopiero to połączenie inicjuje.
Szukam po necie rozwiązań i we wszystkich przypadkach czy to artykuły, czy nawet od biedy materiały na jutubie (np. kanał danscourses) lista ACL przy scenariuszu takim jak mój wygląda właśnie w sposób, który wskazałem.
Pomóżcie bo już mnie krew zalewa (╥﹏╥)

wołam #cisco #siecikomputerowe #sieci

[kthxbye]

@tumaczmen:
1. Zly syntax, to juz wiesz.
2. Pamietaj, ze establiahed puszcza tylko pakiety z bitem ACK lub RST, zatem:
A) ACL z established masz w zla strone
B) potrzebujesz ACLki wpuszczajacej ruch SYN do hosta

[tumaczmen]

@kthxbye: co do 2. to tak, chodzi o już zestawione połączenie. Ale jak ustawię acl w drugą stronę czyli

permit tcp host 192.168.20.5 eq www any established

to:
A) kiedy będę chciał wejść z tego hosta na www gdzieś w sieci, to połączenie zostanie odrzucone ze względu na brak bitu ack lub rst (przy inicjacji mam bit syn)
B) nie bardzo to łapię. muszę zrobić reguły na in i out

[tumaczmen]

@kthxbye: dodam jeszcze, że sytuacja na routerze wygląda następująco:

gig0/0 DMZ
gig0/1 LAN
s0/1/0 wyjście do neta

ze względu na to, że chciałem mieć wyjście do dmz w której jest firmowy serwer www, listę którą podałem ustawiłem na gig0/1 w kierunku wychodzącym i takie rozwiązanie działało. nie wiem co jest nie tak

[kthxbye]

@tumaczmen: Napisz mi proszę jeszcze raz, co chcesz osiągnąć :)

[tumaczmen]

@kthxbye: wysłałem na priv :) dzięki