Come far controllare all'ip inspect il traffico del router

Tutto ciò che ha a che fare con la configurazione di apparati Cisco (e non rientra nelle altre categorie)

Moderatore: Federico.Lagni

Rispondi
masterx81
Cisco enlightened user
Messaggi: 154
Iscritto il: mer 20 giu , 2007 11:20 am

Ciao a tutti...
Non so se faccio cosa gradita dicendo che ho trovato il modo di far controllare al cbac i pacchetti originati dal router...
Da subito mi era sembrata una grossa limitazione quella di non fare l'ip inspect dei pacchetti originati dal router, ed oggi smanettando ho scoperto (cosa che magari ero l'unico a non sapere) come fare!
basta fare così:

Codice: Seleziona tutto

ip inspect name nome_regola tcp router-traffic
ip inspect name nome_regola udp router-traffic
ip inspect name nome_regola icmp router-traffic
...
E c'e' l'ip inspect per tutti i protocolli....
Finalmente ho tolto ancora le ultime acess list fisse che rimanevano per permettere al router di pingare, fare ntp e ddns...
Bellissimo!!!
Top
Avatar utente
Wizard
Intergalactic subspace network admin
Messaggi: 3441
Iscritto il: ven 03 feb , 2006 10:04 am
Località: Emilia Romagna
Contatta:
Contatta Wizard

Ottima notizia! Bravo!
In questo modo inspeziona sia il traffico generato dal router che dai client?!
Il futuro è fatto di persone che hanno delle intuizioni e visioni .....sono quelle persone che fanno la differenza...... quelle dotate di un TERZO OCCHIO....
Top
masterx81
Cisco enlightened user
Messaggi: 154
Iscritto il: mer 20 giu , 2007 11:20 am

Si!
Infatti ora ho una acl che è una meraviglia, snella snella :-)
Solo l'antispoofing ed i servizi interni... Fantastico! E' lunga la meta' e tutti i servizi vanno a meraviglia senza andare a capire che porte aprire!!!!
Non so da che IOS l'hannno messa, potrebbe anche esserci sempre stata, il problema è che come moltissime funzioni dei cisco sono difficilissime da scovare! :-) (Ce ne sono talmente tante...)
Top
Avatar utente
Wizard
Intergalactic subspace network admin
Messaggi: 3441
Iscritto il: ven 03 feb , 2006 10:04 am
Località: Emilia Romagna
Contatta:
Contatta Wizard

Eh si e tante non sono neanche documentate...almeno sulla documentazione pubblica
Il futuro è fatto di persone che hanno delle intuizioni e visioni .....sono quelle persone che fanno la differenza...... quelle dotate di un TERZO OCCHIO....
Top
alfnetx
Cisco fan
Messaggi: 55
Iscritto il: ven 28 nov , 2008 3:35 pm

Masterx, mi piacerebbe, se possibile, dare un'occhiata alla tua running conf specie nelle parti relative alle acl (snellite), al NAT ed ovviammente all'inspect.

Grazie
Top
Avatar utente
k4mik4ze
Cisco pathologically enlightened user
Messaggi: 196
Iscritto il: mar 20 mag , 2008 1:24 am

Aggiungo che sarebbe assai carino mettere "di fronte" le ACL Pre e Post modifica ;)
Top
masterx81
Cisco enlightened user
Messaggi: 154
Iscritto il: mer 20 giu , 2007 11:20 am

Scusate, non mi erano arrivate le notifiche di risposta...
Appena sta sera arrivo a casa (le mod le ho fatte su router di casa), se trovo un attimo di tempo, faccio vedere le differenze nelle ACL.
Cmq per esempio supponete che fate fare al router l'aggiornamento del ddns, normalmente dovete ovviamente mettere nelle acl l'apertura per la risposta dell'ip del server ddns. Beh, con questo ip inspect potete far sparire quella voce nell'acl, perchè l'ip inspect apre automaticamente il varco per i pacchetti di ritorno originati dal router (nel caso specifico essendo una richiesta http servira' l'ip inspect name nome_regola tcp router-traffic) .
Stessa storia se volete far fare al router da server dns, o per gli icmp.
Cmq sta sera posto un esempio...
Top
masterx81
Cisco enlightened user
Messaggi: 154
Iscritto il: mer 20 giu , 2007 11:20 am

Allora, l'ho fatto anche da me qua a lavoro. Praticamente questa era l'access list prima dell'ip inspect:

Codice: Seleziona tutto

access-list 100 remark *** ACL ANTI-SPOOFING ***
access-list 100 deny   ip host 0.0.0.0 any log
access-list 100 deny   ip host 255.255.255.255 any
access-list 100 deny   ip 127.0.0.0 0.255.255.255 any log
access-list 100 deny   ip 192.0.2.0 0.0.0.255 any log
access-list 100 deny   ip 224.0.0.0 31.255.255.255 any log
access-list 100 deny   ip 10.0.0.0 0.255.255.255 any log
access-list 100 deny   ip 172.16.0.0 0.15.255.255 any log
access-list 100 deny   ip 192.168.0.0 0.0.255.255 any log
access-list 100 remark *** ACL PER CONTROLLARE TRAFFICO DNS ***
access-list 100 permit udp host 151.99.125.2 eq domain any
access-list 100 permit udp host 151.99.0.100 eq domain any
access-list 100 permit udp host 212.216.112.112 eq domain any
access-list 100 remark *** ACL PER CONTROLLARE NO-IP ***
access-list 100 permit tcp host 204.16.252.79 eq www any
access-list 100 remark *** ACL PER CONTROLLARE TRAFFICO NTP ***
access-list 100 permit udp host 193.204.114.233 eq ntp any eq ntp
access-list 100 permit udp host 193.204.114.232 eq ntp any eq ntp
access-list 100 remark *** ACL PER APPLICAZIONI SERVER ***
access-list 100 permit tcp any any eq 3389
access-list 100 permit tcp any any eq ftp
access-list 100 permit tcp any any eq www
access-list 100 permit tcp any any eq 8080
access-list 100 permit tcp any any eq 143
access-list 100 permit tcp any any eq 443
access-list 100 remark *** ACL PER VPN ***
access-list 100 permit tcp any any eq 1723
access-list 100 permit udp any eq isakmp any eq isakmp
access-list 100 permit gre any any
access-list 100 remark *** ACL PER CONTROLLARE TRAFFICO ICMP ***
access-list 100 permit icmp any any echo-reply
access-list 100 permit icmp any any time-exceeded
access-list 100 permit icmp any any unreachable
access-list 100 permit icmp any any administratively-prohibited
access-list 100 permit icmp any any packet-too-big
access-list 100 permit icmp any any traceroute
access-list 100 deny   icmp any any
access-list 100 remark *** ACL PER BLOCCARE ACCESSI ***
access-list 100 deny   ip any any
Invece questa è l'acl dopo l'intervento:

Codice: Seleziona tutto

access-list 100 remark *** ACL ANTI-SPOOFING ***
access-list 100 deny   ip host 0.0.0.0 any log
access-list 100 deny   ip host 255.255.255.255 any
access-list 100 deny   ip 127.0.0.0 0.255.255.255 any log
access-list 100 deny   ip 192.0.2.0 0.0.0.255 any log
access-list 100 deny   ip 224.0.0.0 31.255.255.255 any log
access-list 100 deny   ip 10.0.0.0 0.255.255.255 any log
access-list 100 deny   ip 172.16.0.0 0.15.255.255 any log
access-list 100 deny   ip 192.168.0.0 0.0.255.255 any log
access-list 100 remark *** ACL PER APPLICAZIONI SERVER ***
access-list 100 permit tcp any any eq 3389
access-list 100 permit tcp any any eq ftp
access-list 100 permit tcp any any eq www
access-list 100 permit tcp any any eq 8080
access-list 100 permit tcp any any eq 143
access-list 100 permit tcp any any eq 443
access-list 100 remark *** ACL PER VPN ***
access-list 100 permit tcp any any eq 1723
access-list 100 permit udp any eq isakmp any eq isakmp
access-list 100 permit gre any any
access-list 100 remark *** ACL PER BLOCCARE ACCESSI ***
access-list 100 deny   ip any any
Molto piu', snella, vero? :-)

Questa è la mia attuale config dell'ip inspect

Codice: Seleziona tutto

ip inspect max-incomplete low 250
ip inspect max-incomplete high 300
ip inspect one-minute low 300
ip inspect one-minute high 400
ip inspect hashtable-size 2048
ip inspect tcp synwait-time 20
ip inspect tcp max-incomplete host 300 block-time 60
ip inspect name inspection-out tcp router-traffic
ip inspect name inspection-out udp router-traffic
ip inspect name inspection-out ftp
ip inspect name inspection-out https
ip inspect name inspection-out dns
ip inspect name inspection-out ntp
ip inspect name inspection-out icmp router-traffic
ip inspect name inspection-out bittorrent
ip inspect name inspection-out edonkey
ip inspect name inspection-out http java-list 50
ip inspect name inspection-out imap
ip inspect name inspection-out irc
ip inspect name inspection-out l2tp
ip inspect name inspection-out pptp
ip inspect name inspection-out pop3
ip inspect name inspection-out smtp
ip inspect name inspection-out telnet
ip inspect name inspection-in http
ip inspect name inspection-in https
ip inspect name inspection-in imap
ip inspect name inspection-in ftp

Codice: Seleziona tutto

interface ATM0.1 point-to-point
 ip inspect inspection-in in
 ip inspect inspection-out out

Codice: Seleziona tutto

access-list 50 remark Permette java nel CBAC
access-list 50 permit any
Top
alfnetx
Cisco fan
Messaggi: 55
Iscritto il: ven 28 nov , 2008 3:35 pm

Davvero una gran cosa :D

Grazie Masterx. Stasera metterò a "dieta" le acl con i tuoi suggerimenti:D
Top
nat
Cisco fan
Messaggi: 70
Iscritto il: dom 25 nov , 2007 2:18 pm
Località: ABRUZZO

Ciao a tutti,riapro il topic di masterx81 per chiarirmi alcuni dubbi (se qualcuno lo farà), in merito alla config. dopo l’intervento infatti vedo che manca l’acl per controllare il traffico icmp in ingresso,se non sbaglio “ip inspect name nome_regola icmp router-traffic” è x il traffico in uscita,quindi andrebbe rimesso come acl?..............saluti.
Top
masterx81
Cisco enlightened user
Messaggi: 154
Iscritto il: mer 20 giu , 2007 11:20 am

In ingresso il cbac non fa passare nulla che prima non sia uscito, se per esempio tu fai un ping verso fuori, il cbac sente il passaggio del pacchetto, e aspetta la risposta lasciando aperta la porta del firewall, cos' che la risposta del ping puo' passare...
Pero' ora mi è venuto un dubbio...
Cosa succede se ad esempio tu mandi un pacchetto tcp, ed il router dopo di te ti manda indietro un icmp dicendoti che il pacchetto era troppo grosso??
Il cbac dubito faccia una acl dinamica per gestire questo comportamento...
Top
Avatar utente
Wizard
Intergalactic subspace network admin
Messaggi: 3441
Iscritto il: ven 03 feb , 2006 10:04 am
Località: Emilia Romagna
Contatta:
Contatta Wizard

Cosa succede se ad esempio tu mandi un pacchetto tcp, ed il router dopo di te ti manda indietro un icmp dicendoti che il pacchetto era troppo grosso??
Bella domadna...
Infatti io icmp echo, packet-too-big, traceroute etc li aprirei cmq in entrata
Il futuro è fatto di persone che hanno delle intuizioni e visioni .....sono quelle persone che fanno la differenza...... quelle dotate di un TERZO OCCHIO....
Top
masterx81
Cisco enlightened user
Messaggi: 154
Iscritto il: mer 20 giu , 2007 11:20 am

Beh, il traceroute dovrebbe funzionare perchè sono dei ping con ttl decrescente (da quello che mi ricordo...), quindi vedendo i pacchetti uscire li aspetta al rientro...
Forse è solo il packet too big il problema...
Cmq i ping ed i traceroute funzionano senza specificare le voci nelle acl...
Top
Avatar utente
Wizard
Intergalactic subspace network admin
Messaggi: 3441
Iscritto il: ven 03 feb , 2006 10:04 am
Località: Emilia Romagna
Contatta:
Contatta Wizard

Cmq i ping ed i traceroute funzionano senza specificare le voci nelle acl...
Da dentro verso fuori ok ma se io voglio pingare la int esterna del router?!
Il futuro è fatto di persone che hanno delle intuizioni e visioni .....sono quelle persone che fanno la differenza...... quelle dotate di un TERZO OCCHIO....
Top
masterx81
Cisco enlightened user
Messaggi: 154
Iscritto il: mer 20 giu , 2007 11:20 am

Wizard ha scritto:
Cmq i ping ed i traceroute funzionano senza specificare le voci nelle acl...
Da dentro verso fuori ok ma se io voglio pingare la int esterna del router?!
Beh, si, in quel caso bisogna aprire :-)
Cmq io preferisco essere invisibile ai ping che vengono da fuori...
Top
Rispondi

Torna a “Configurazioni”