ACL e l'esercitazione Centro Sportivo

Cos'è una ACL

Con il router-on-a-stick tutte le VLAN si raggiungono tra loro. Ma gli studenti non devono raggiungere l'amministrazione. Una ACL (Access Control List) è un elenco di regole che il router usa per decidere quali pacchetti far passare e quali scartare: è il primo, semplice firewall.

Come il router legge una ACL

1. Le regole si leggono dall'alto verso il basso.
2. Alla prima regola che corrisponde, il router applica permit o deny e si ferma.
3. In fondo a ogni ACL c'è un deny any implicito, invisibile: tutto ciò che non è permesso esplicitamente viene scartato.

Conseguenza pratica: una ACL fatta solo di deny blocca tutto. Quasi sempre l'ultima regola scritta è un permit.

Le wildcard

Nelle ACL gli indirizzi si indicano con la wildcard, la maschera rovesciata (l'avete già usata con il NAT):

ACL standard

Controllano solo l'indirizzo sorgente. Hanno numero da 1 a 99.

Esempio: la rete Studenti non deve raggiungere la VLAN Amministrazione.

R1(config)# access-list 10 deny 192.168.20.0 0.0.0.255
R1(config)# access-list 10 permit any
R1(config)# interface GigabitEthernet0/0.10
R1(config-subif)# ip access-group 10 out

Le ACL standard si applicano vicino alla destinazione: guardando solo la sorgente, se le metteste vicino agli studenti bloccherebbero tutto il loro traffico, anche verso Internet.

ACL estese

Controllano sorgente, destinazione, protocollo e porta. Hanno numero da 100 a 199, oppure un nome.

Esempio: gli studenti possono solo aprire il sito interno sul server 192.168.10.100 (HTTP e HTTPS); tutto il resto verso l'Amministrazione è bloccato, mentre verso le altre reti è permesso.

R1(config)# ip access-list extended STUDENTI
R1(config-ext-nacl)# permit tcp 192.168.20.0 0.0.0.255 host 192.168.10.100 eq 80
R1(config-ext-nacl)# permit tcp 192.168.20.0 0.0.0.255 host 192.168.10.100 eq 443
R1(config-ext-nacl)# deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
R1(config-ext-nacl)# permit ip any any
R1(config-ext-nacl)# exit
R1(config)# interface GigabitEthernet0/0.20
R1(config-subif)# ip access-group STUDENTI in

Le ACL estese si applicano vicino alla sorgente: il traffico vietato viene scartato subito, senza attraversare la rete.

Direzione: in e out

• in: la ACL controlla i pacchetti che entrano nel router da quell'interfaccia.
• out: controlla i pacchetti che escono dal router da quell'interfaccia.

Su ogni interfaccia si può applicare al massimo una ACL per direzione.

Verificare

R1# show access-lists
R1# show ip interface GigabitEthernet0/0.20

show access-lists mostra quante volte ogni regola è stata usata (matches): utilissimo per capire quale regola sta bloccando un traffico.

Il ping usa il protocollo ICMP, non TCP: se permettete solo tcp ... eq 80, il ping viene bloccato ma il sito si apre. È normale, ma fa sembrare la rete "rotta" a chi prova solo con il ping.

Esercitazione: il Centro Sportivo

Una rete con tre centri. Il Centro Giardinaggio e il Centro Astronomia sono già configurati con NAT e routing; i router ISP Wind e ISP Iliad collegano le reti e i server web sono già attivi. Dovete configurare la nuova rete del Centro Sportivo, con due VLAN: Staff per il personale e Clienti per i clienti.

1. Configurate le VLAN sugli switch.
2. Impostate il trunk e le sottointerfacce sul router (router-on-a-stick).
3. Scrivete le ACL che separano il traffico tra le VLAN.
4. Configurate il NAT e il port forwarding verso il server web della VLAN Staff.
5. Verificate la connettività con ping e accesso HTTP.

• Esercitazione VLAN – Centro SportivoPDF con la traccia completa
• centro-sportivo-partenza.pktFile di partenza per Cisco Packet Tracer
• Video soluzione – Centro SportivoRegistrazione della configurazione passo passo

Video della soluzione

Nota: nel video il VTP non viene utilizzato.

Nell'esercitazione, le VLAN vengono configurate manualmente sugli switch. Puoi migliorare la configurazione utilizzando il VTP (VLAN Trunking Protocol), che permette di propagare le informazioni sulle VLAN tra gli switch dello stesso dominio VTP attraverso i collegamenti trunk.

Tocca a te: configura il VTP nella topologia del Centro Sportivo, facendo riferimento alla lezione precedente sulle VLAN. Verifica poi che le VLAN create sullo switch server siano disponibili anche sugli switch client, senza doverle ricreare manualmente su ciascuno.

Esercizi

R1(config)# ip access-list extended OSPITI
R1(config-ext-nacl)# deny ip 192.168.100.0 0.0.0.255 192.168.1.0 0.0.0.255
R1(config-ext-nacl)# permit ip any any
R1(config-ext-nacl)# exit
R1(config)# interface GigabitEthernet0/1
R1(config-if)# ip access-group OSPITI in