Eu tenho um Cisco Router 1941 Series e quero fazer algumas alterações na lista de acesso no roteador. Eu soube que terei que excluir uma da lista e, em seguida, adicionar novamente tudo com as minhas adicionais incluídas, ao mesmo tempo em que declarei as que foram negadas. Ao remover, correu bem, mas, ao adicionar, trava após a primeira declaração. E sempre que tento colar o código de uma vez, ele também fica travado.
Tentei copiar o arquivo para tftp, fazer algumas edições e depois trazê-lo de volta. Recebi alguns erros com o lado de assinatura de certificado fazendo algumas reclamações. Como posso resolver o problema com a ACL?
[Editar]
No momento, é isso que eu tenho,
interface GigabitEthernet0/0
description ### WAN INTERFACE ###
ip address xxx.xxx.xxx.xxx 255.xxx.xxx.xxx
ip flow ingress
ip nat outside
ip virtual-reassembly
duplex full
speed 100
no cdp enable
!
interface GigabitEthernet0/1
description ### LAN INTERFACE ###
no ip address
ip flow ingress
ip virtual-reassembly
duplex auto
speed auto
!
interface GigabitEthernet0/1.1
description ### 1st FLR NETWORK ###
encapsulation dot1Q 1 native
ip address 192.168.1.1 255.255.255.0
ip access-group 110 in
ip accounting output-packets
ip flow ingress
ip nat inside
ip virtual-reassembly
!
interface GigabitEthernet0/1.2
description ### GROUND FLR NETWORK ###
encapsulation dot1Q 2
ip address 192.168.2.1 255.255.255.0
ip access-group 110 in
ip accounting output-packets
ip flow ingress
ip nat inside
ip virtual-reassembly
!
ip forward-protocol nd
!
ip http server
ip http access-class 23
ip http authentication local
ip http secure-server
ip http timeout-policy idle 60 life 86400 requests 10000
ip flow-export source GigabitEthernet0/1
ip flow-export version 9
ip flow-export destination 192.168.1.120 9996
ip flow-top-talkers
top 10
sort-by bytes
!
ip nat source static 192.168.1.19 interface Loopback100
ip nat inside source list NAT interface GigabitEthernet0/0 overload
ip route 0.0.0.0 0.0.0.0 xxx.vvv.vvv.vvv
!
ip access-list standard NAT
permit 192.168.1.0 0.0.0.255
permit 192.168.2.0 0.0.0.255
!
access-list 110 permit ip 192.168.1.0 0.0.0.255 host 192.168.2.44
access-list 110 permit ip host 192.168.2.44 192.168.1.0 0.0.0.255
access-list 110 permit ip 192.168.2.0 0.0.0.255 host 192.168.1.18
access-list 110 permit ip host 192.168.1.18 192.168.2.0 0.0.0.255
access-list 110 deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
access-list 110 permit udp any any
access-list 110 permit ip any any
E eu gostaria de adicionar outros a ele ... assim ...
access-list 110 permit ip 192.168.2.0 0.0.0.255 host 192.168.1.120
access-list 110 permit ip host 192.168.1.120 192.168.2.0 0.0.0.255
access-list 110 permit ip 192.168.2.0 0.0.0.255 host 192.168.1.222
access-list 110 permit ip host 192.168.1.222 192.168.2.0 0.0.0.255
Respostas:
O motivo pelo qual seu roteador trava é porque você está editando a ACL através da mesma interface à qual é aplicada. Geralmente o que acontece é que você acaba se bloqueando acidentalmente.
Observe que faço uma sugestão para reorganizar suas ACLs na parte inferior desta resposta, embora a maioria das pessoas esteja interessada nesta primeira seção (a maneira mais fácil de alterar as ACLs).
A maneira mais fácil de alterar as Cisco IOS ACLs
As imagens mais recentes do Cisco IOS (como a imagem no Cisco 1941) oferecem suporte à numeração de linhas da lista de acesso IP , o que significa que você pode modificar sua ACL sem removê-la ...
Usarei o exemplo da sua ACL 110 original, embora, como mencionei, você realmente deva considerar reorganizar suas ACLs em duas ACLs diferentes.
Etapa 1, ACL 110 já no roteador :
Anote os números de linha que a Cisco adicionou automaticamente ao ACL 110. Lembre-se de que você precisa adicionar as entradas ACL antes da linha 50, devido à declaração de negação.
Etapa 2, modifique o ACL 110 no local com novas entradas, começando após a linha 40 :
Etapa 3, renumere a ACL automaticamente :
Os números de linha automáticos são bons, porque a Cisco também oferece uma maneira de renumerar a config ...
Maneira original de alterar as Cisco IOS ACLs
Originalmente, a maneira mais segura de alterar sua ACL era removendo-a das interfaces em questão (isso evitava problemas se você estivesse alterando a ACL pela mesma interface à qual foi aplicada).
Use esta técnica se o seu IOS não suportar a numeração de linhas da lista de acesso IP :
Agora você pode adicionar as novas linhas da ACL, mas faça isso antes que as outras permitam qualquer entrada ...
Por fim, aplique novamente a ACL ao comutador ...
Reorganização da ACL
Você realmente deve considerar o uso de duas ACLs diferentes para Gigabit0 / 1.1 e GigabitEthernet0 / 1.2 ... isso é uma suposição do que você está tentando fazer, mas não está claro se estou interpretando as coisas corretamente ...
fonte
Provavelmente, ele trava porque, ao colar "a primeira declaração é posta em prática, e a declaração implícita de negação a seguir pode causar problemas de acesso imediato".
Dicas úteis para criar listas de acesso IP ¹
• Crie a lista de acesso antes de aplicá-la a uma interface. Uma interface com uma lista de acesso vazia aplicada a ela permite todo o tráfego.
• Outro motivo para configurar uma lista de acesso antes de aplicá-la é porque, se você aplicou uma lista de acesso inexistente a uma interface e, em seguida, prossiga para configurar a lista de acesso, a primeira instrução é efetivada e a instrução implícita de negação a seguir pode causar a você problemas de acesso imediato.
¹ fonte Cisco
fonte
As ACLs devem ser sintonizadas após a implementação para salvar os ciclos do processador. O roteador precisa processar cada linha de uma ACL até obter uma correspondência em uma das condições, ou sempre corresponderá ao 'negar qualquer' implícito no final de todas as ACLS. Use um comando show para ver os hits em cada instrução da ACL. Reordene as instruções para que as linhas mais atingidas sejam mais altas na ACL. Use o bloco de notas para reescrever sua ACL.
fonte