ACL

7 сообщений / 0 новое
Войдите или зарегистрируйтесь, чтобы отправлять комментарии
Последнее сообщение
ср, 02/24/2016 - 21:48
#1
Прохожий
Аватар пользователя Прохожий
ACL

Вопрос следующий, может кто сталкивался: надо организовать чтобы пользователи выходили в интернет и использовали специфический софт, который работает по UDP по порту, допустим, 1234. Но я не хочу открывать полный доступ из сети вовнутрь. Как применить established в аксесс листе?
Маршрутизатор 2811, ACL стоит на выход в сторону провайдера.
Или я вообще не в ту сторону копаю?

Вверх
чт, 02/25/2016 - 18:36
bacek
Аватар пользователя bacek
Привет.
Не совсем понятна топология. Правильно ли я понял? Есть роутер, внутренняя и внешняя сети, пользователь выходит наружу через маршрутизатор и инициирует подключение по UDP? При этом вы хотите чтобы соединения извне вовнутрь кроме инициированных изнутри были запрещены?
Вверх
пт, 02/26/2016 - 10:06
Иван

http://ciscotips.ru/established вот жешь.

Вверх
пт, 02/26/2016 - 10:15
(Ответ на #3)
bacek
Аватар пользователя bacek
Если я правильно понял, тут хитрость в UDP, established работает только для TCP. Подождём уточнения.
Вверх
пт, 02/26/2016 - 10:30
(Ответ на #4)
Прохожий
Аватар пользователя Прохожий

Да, всё верно. Надо, чтобы человек выходил по UDP, но, грубо говоря, хакер не мог сам к нему подключиться с UDP порта 1234.
established то есть не подходит? (я кажется уже нашёл ответ на сайте, спасибо за ссылку, Иван).

Вверх
вт, 03/01/2016 - 12:20
(Ответ на #5)
bacek
Аватар пользователя bacek
Ну, тут самый напрашивающийся способ — это зеркальный ACL. Established работать не будет, так как для определения, относится трафик к открытой до этого сессии или нет, он использует флаг в заголовке TCP. В UDP сессий нет — поэтому там нельзя определить, ответ это извне на запрос вашего пользователя или это хакер безо всякого запроса инициирует подключение снаружи.
Reflexive ACL, грубо говоря, запоминает обращения с адресов изнутри внаружу и в другом листе формирует «зеркальные» (обратные) записи, в которых адрес отправителя и получателя меняются местами, чтобы именно тот, кому был отправлен пакет предоставлялась возможность слать ответы.
Вот здесь подобная статья.
Вверх
чт, 03/03/2016 - 23:03
Прохожий
Аватар пользователя Прохожий

Спасибо, это действительно то что надо. В пакет трэйсере попробовал, теперь потестирую на реальном железе!

Вверх