Stateless fw na switchu Aruba 5406Rzl2

[santo]

Mam problem ze SWITCHem HPE 5406Rzl

Nie wiem czemu nie mogę połączyć się do 10.100.10.3 z 10.200.200.200 kiedy ACL10_in podpięta jest do 10 vlanu ?

Wygląda mi to na stateless fw?

Widzę opcję ip access-group ACL10_in (in, out vlan-in), robiłem różne kombinacje in, out, vlan-in ale nic nie działa.
Chcę mieć tak że router od strony zewnętrznej (VPN i Outside) ma aclki które ograniczają ruch z zewnątrz a od strony switcha(lanu) wszystko permit
znowu na switchu odwrotnie od strony użytkowników aclki, które ograniczają ruch a od strony routera wszystko permit.
Testowałem połączenie z 10.200.200.200 do 10.100.10.3 na porcie 3389
jeśli mam aclkę:

nie działa:
ip access-list extended ACL10_in
permit ip host 10.100.10.3 host 10.100.20.5
deny ip any any
vlan 10
ip access-group ACL10_in in

działa:
ip access-list extended ACL10_in
permit ip host 10.100.10.3 host 10.100.20.5
permit tcp host 10.100.10.3 eq 3389 host 10.200.200.200
deny ip any any
vlan 10
ip access-group ACL10_in in

Ale nie uśmiecha mi się dublowanie wszystkich aclek z routera na vlany i z poszczególnych vlanów dla ruchu powrotnego.
[url=https://ibb.co/cC27rJM][/url]

[PatrykW]

inside to the router, outside from the host

[santo]

inside to the router, outside from the host

Nie rozumiem ?

[judge dredd]

Cześć,

Nie wiem jak jest na Arubie, ale jeśli ten "vlan 10" w konfiguracji na Arubie jest odpowiednikiem SVI w Cisco, to wygląda na to, że dobrze kombinujesz - ACL są mechanizmem "stateless", czyli filtrują po prostu pakiety nie patrząc na to, czy jest to ruch powracający czy nie. Nie możesz więc oczekiwać, że jeśli interfejs przepuszcza ruch w jedną stronę, to automatycznie dozwoli na ruch powracający.

W tej sytuacji ruch z 10.200.200.200 idąc do serwera 10.100.10.3 normalnie wychodzi przez interfejs vlan 10 i trafia do serwera. Potem ruch powracający z 10.100.10.3 idąc do 10.200.200.200 wchodzi (tu jest ten "inside", o którym pisał kolega wcześniej) na interfejs vlan 10 i tutaj podlega filtrowaniu przez ACL - nie dziwota więc, że jest blokowany, skoro w pierwszej wersji ACL'ki, opisanej jako "nie działa", dozwalasz tylko i wyłącznie na ruch z 10.100.10.3 do 10.100.20.5 - nic innego się nie przeciśnie.

Druga wersja ACL'ki, opisana jako "działa", jest ok ponieważ zawiera wpis dozwalający na ruch z serwera 10.100.10.3 z portu 3389 do hosta 10.200.200.200, czyli dokładnie taki, jaki jest ten ruch powracający.

Nie wiem jak jest na Arubie, ale na Cisco zamiast tego wpisu:

Kod: Zaznacz cały

permit tcp host 10.100.10.3 eq 3389 host 10.200.200.200

robi się zwykle wpis uniwersalny:

Kod: Zaznacz cały

permit tcp any any established

który dla ruchu tcp daje funkcjonalność podobną do "statefull packet inspection", tzn. przepuszcza dowolny ruch z nawiązanych sesji TCP (przepuszcza tcp z flagami ACK i FIN, ale nie z samym SYN). Poszukaj - może coś podobnego jest i na Arubie.

Pozdrawiam!

JD

[santo]

O dzięki Judge Dredd

Kod: Zaznacz cały

permit tcp any any established

o to jest to. Jutro sprawdzę czy to zadziała.
A jak przepuścić powrotne udp ?

[judge dredd]

Niestety z udp już tak się nie da. Ten mechanizm "established" imituje statefull firewalla dzięki właściwościom protokołu TCP, a dokładnie rozróżnianiu flag, które są używane w nagłówkach TCP. Na tej podstawie orientuje się, który segment jest nawiązaniem połączenia, a który odpowiedzią czy kontynuacją sesji. W UDP nie ma takich rzeczy - tam każdy datagram leci niezależnie i nie ma żadnych parametrów pozwalających orientować się czy jest to ruch powracający. Pytanie tylko jak dużo ruchu UDP przebiega po tej sieci? Z powodzeniem stosowałem sporo podobnych ACL i praktycznie ruch UDP to był tylko DNS, NTP, SNMP do konkretnych serwerów - to można zawrzeć w ACL'kach explicite. Kwestia czy coś więcej Ci będzie potrzebne.

Acha - jakbyś też chciał pingować urządzenia w tych sieciach, ale nie chciałbyś żeby one pingowały świat zewnętrzny to dzięki właściwościom ICMP też to możesz zrobić. Podstawowa konfiguracja dla Cisco jest taka:

Kod: Zaznacz cały

permit icmp any any echo-reply

Taki wpis przepuszcza odpowiedzi na pinga, więc gdy spingujesz coś w danej sieci, to odpowiedź do Ciebie wróci, natomiast pakiet ICMP z żądaniem odpowiedzi z danej sieci nie wyjdzie. W ICMP jest jeszcze sporo innych typów pakietów - warto poczytać czy może w Twoim przypadku chciałbyś również przepuścić jakieś inne.

Niestety ACL'ki to mechanizm dość podstawowy - nie zastąpi firewalla, ale przy odrobinie gimnastyki i z tym da się żyć, trzeba tylko uwzględnić wszystkie warunki - np. piszesz, żeby od strony użytkowników wszystko było zablokowane. OK - możesz tak chcieć, ale co z ruchem np. do kontrolerów domeny? Czy innym ruchem "technicznym" systemów operacyjnych? O tym też trzeba pamiętać.

Pozdrawiam!

JD