Access list Switch CiscoRésolu/Fermé

Question

Salut,J'ai quelques petits problèmes au niveau des access list du switch Cisco 3750. En fait j'ai 2 switch : 1 2970 et 1 3750. Les deux sont connectés ensemble par une fibre optique (port en mode trunk). J'ai 3 vlan : vlan 1 (par défaut)--> adresse ip 172.16.15.1/24vlan 200 --> adresse ip 10.1.1.1/24vlan 203 --> adresse ip 10.1.2.1/24j'ai crée un access list de la façon suivante:access-list 101 permit ip 10.1.2.0 0.0.0.255 10.1.1.0 0.0.0.255access-list 101 deny   ip any anyj'ai ensuite configuré mon vlan 200 de la façon suivanteinterface vlan 200ip access-group 101 inCe que je voulais faire en fait avec cet access-list c'est permettre seulement au réseau 10.1.2.0/24 de pinguer le réseau 10.1.1.0/24. Mais je voulais que le réseau 10.1.1.0/24 puisse accéder à tout le monde.Le problème c'est que du réseau 10.1.1.0/24 (vlan 200) je ne peux pinguer nulle part. Lorsque j'effectue un ping d'un ordi appartenant au vlan 200 j'obtient la réponse :Réponse de 10.1.1.1 : Impossible de joindre le réseau de destinationEst-ce normal??Sinon depuis un ordi du vlan 203 (10.1.2.1/24) je peux pinguer le vlan 200 (10.1.1.1) mais pas un ordi connecté sur le vlan 200.Bon j'espère que mes explications seront suffisantes. Merci d'avance pour vos réponses... @+

brupala · Accepted Answer

vui, normal,quand on applique une acl à une interface vlan, il n'est pas facile de déterminer le sens exact des paquets (in/out)essaies:access-list 101 permit ip 10.1.2.0 0.0.0.255 10.1.1.0 0.0.0.255access-list 101 permit ip 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255access-list 101 deny ip any anyau fait,tu en es où dans ton accès internet ?-

Fofolito · Answer

Bon j'ai du me trompé dans la configuration, parce que maintenant, après avoir tout recommencé, ça marche. A mon avis c'est parce que je modifiais les access-lists après les avoir attribuer aux vlans.Cependant j'ai encore une toute petite question :Lorsqu'on tape les commandes :interface vlan Xip access-group 101 inOn précise bien que les régles d'accès s'appliquent en entrée?Pourtant il faut préciser dans la configuration de l'access-list les deux sens de transfert, exemple :access-list 101 permit ip 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255access-list 101 permit ip 10.1.2.0 0.0.0.255 10.1.1.0 0.0.0.255access-list 101 deny ip any anyPour moi la première ou la deuxième ligne est en trop, mais je suis forcée de contater que ce n'est pas le cas.Bon si vous avez une petite idée sur la question, laissez un message.Merci beaucoup... @+

brupala · Answer

comme je te disais plus haut,le sens in /out n'est pas facile à évaluer dans le cas d'un vlan.sur une interface physique ça va , c'est évident, mais sur un routageentre vlan, arrives tu bien à représenter à quel niveau va se poser lefiltre ?moi personnellement, non.De plus ,sur ce genre de switch, les filtres peuvent se positionner à 3 niveauxdifférents :-au niveau 2 sur une interface physique switchée (en entrée seulement).-au niveau 3 sur des interfaces routées ou virtuelles.- à l'intérieur d'un vlan  (vlan access-map)tout un programme quoi.voir:http://www.cisco.com/application/pdf/en/us/guest/products/ps5023/c2001/ccmigratio...chapitre 28.bonne lecture ;-)

Access list Switch Cisco

3 réponses

Newsletters