CiscoForums.it

Buon pomerriggio a tutti.

Espongo il seguente problema "sperando" in un'anima buona che possa darmi qualche dritta.
Sono un novello, quindi chiedo un po di pazienza.

Ho creauto una class-map di questo tipo:

Router(config)#class-map match-any INHIBITED
Router(config-cmap)#match protocol http url “*social network*”
Router(config-cmap)#match protocol http url “*facebook*”
Router(config-cmap)#match protocol http host “*.facebook.*”
Router(config-cmap)#exit

Una policy map tipo:

Router(config)#policy-map FILTER-INHIBITED
Router(config-pmap)#class INHIBITED
Router(config-pmap)#set ip dscp 1
Router(config-pmap)#exit

Ed infine:

Router(config)#access-list 105 deny ip any any dscp 1 log
Router(config)#access-list 105 permit ip any any

Ovviamente:

Router(config)#interface ATM 0
Router(config-if)#service-policy input FILTER-INHIBITED
.....
Router(config-if)#exit

e:

Router(config)#interface fastethernet 0/0
Router(config-if)#ip access-group 105 in
.....
Router(config-if)#exit

DOMANDA:

devo poter escludere dagli indirizzi ip (statici) quelli riservati agli amministratori di sistema: nel mio caso questi hanno ip 192.168.0.70 ed 192.168.0.71 ( due computer distinti )

Come posso modificare le access list?

Potrebbe andar bene tale soluzione?

Router(config)#access-list 105 deny ip any 192.168.0.70 0.0.0.1 dscp 1 log
Router(config)#access-list 105 deny ip any any dscp 1 log
Router(config)#access-list 105 permit ip any any

Come posso combinare ed in quale ordine impostare le "classiche" acces-list tipo AntiSpoofing?:

no access-list 105
access-list 105 dany ip host 0.0.0.0 any log
access-list 105 dany ip 127.0.0.0 0.255.255.255 any log
access-list 105 dany ip 10.0.0.0 0.255.255.255 any log
access-list 105 dany ip 172.16.0.0 0.15.255.255 any log
access-list 105 dany ip 192.168.0.0 0.0.255.255 any log
access-list 105 dany ip any any

Grazie

Saluti

Buongiorno,
C'è qualcuno che può aiutarmi?
Chiedo scusa se il post che ho richiesto "possa" sembrare ripetitivo o di poco interesse, ma per me è di fondamentale importanza. Il caso esposto è più complesso di quanto possa sembrare e ho cercato nel possibile di semplificare l'esposizione per poter poi successivamente ricombinare le Vs. preziose note e ricostruire il caso a me molto vicino.
Nell'esempio della classmap ho inserito delle url diciamo tipiche, ma è ovvio che il discorso vale in generale.
Eventualmente l'argomento risulta essere già discusso, Vi pregherei di darmi i riferimenti affinchè possa trovarlo.
Vi ringrazio e vi saluto con affetto. Siete una risorsa preziosa. Spero in una risposta. Grazie ancora.

P.S. Nel post precedente ho commesso un errore; riscrivo:

Potrebbe andar bene tale soluzione?

Router(config)#access-list 105 permit ip any 192.168.0.70 0.0.0.1 dscp 1 log
Router(config)#access-list 105 deny ip any any dscp 1 log
Router(config)#access-list 105 permit ip any any

Ciao per antispoofing l'ultima riga deve essere permit e non deny (no dany ).
Per il resto ci sono diversi post che ne parlano.

Ad esempio http://www.ciscoforums.it/viewtopic.php?t=15143

Comunque se hai problemi posta e vedo di aiutarti.

Buona giornata
Paolo