[Cisco] MAC address whitelist

[Ducktape]

Ik probeer op een Cisco 2851 een mac address whitelist te maken. Zover ik dit weet kan dit op 2 manieren. Via NAC (en dan een RADIUS of win 2k8 NAP server). Of via een lijst ACL in de router. De laatste leek mij het beste omdat je dan niet meer afhankelijk bent van een server maar dat alles op de router plaatsvindt. Ik heb nu de interface GigabitEthernet0/0 in bridge-group 1 geplaatst en interface BVI1 aangemaakt. IP adressen overzetten enz enz. Werkt allemaal goed.
Om nu een whitelist te maken heb ik op de GigabitEthernet0/0 een ACL gezet: bridge-group 1 input-address-list 700.
Vervolgens heb ik de ACL 700 gemaakt:

access-list 700 permit 1111.2222.3333 0000.0000.0000
access-list 700 deny 0000.0000.0000 ffff.ffff.ffff

Gevolg: niemand kan het internet op, zelfs niet het permit mac-address. Achter de router (NAT) zit alleen maar een paar switches, dus mac-addressen zijn ongewijzigd.
Ook de router zelf is niet meer in staat om nog enig ping resultaat uit te poepen.
Wat is er nog mis?

Hier een samenvatting van de running config:

Current configuration : 13182 bytes
!
no ip source-route
!
ip dhcp pool LAN
   network 192.168.0.0 255.255.255.0
   default-router 192.168.0.1
   dns-server 212.142.28.66 212.142.28.130
   option 150 ip 192.168.0.1
!
bridge irb
!
interface Null0
 no ip unreachables
!
interface GigabitEthernet0/0
 description WAN$ETH-WAN$
 ip dhcp client update dns server none
 no ip address
 ip virtual-reassembly
 duplex auto
 speed auto
 bridge-group 1
 bridge-group 1 input-address-list 700
 bridge-group 1 spanning-disabled
!
interface GigabitEthernet0/1
 description $FW_INSIDE$int g
 ip address 192.168.0.1 255.255.255.0
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip flow ingress
 ip nat inside
 ip virtual-reassembly
 duplex auto
 speed auto
 no mop enabled
 h323-gateway voip interface
 h323-gateway voip bind srcaddr 192.168.0.1
!
interface BVI1
 description $FW_OUTSIDE$
 ip address dhcp
 no ip redirects
 no ip unreachables
 no ip proxy-arp
 ip flow ingress
 ip nat outside
 ip virtual-reassembly
!
!
access-list 1 permit 192.168.0.0 0.0.0.255
access-list 700 permit 1111.2222.3333   0000.0000.0000
access-list 700 deny 0000.0000.0000   ffff.ffff.ffff
!
bridge 1 protocol ieee
bridge 1 route ip
bridge 1 address 001d.608f.6519 discard
!
end

[_nethack]

Probeer het eens met 'any' in plaats van 0000.0000.0000.
Weet niet exact hoe IOS omgaat met MAC adressen in access lists (geen ervaring mee, alleen met tcp) maar kan me voorstellen dat ie nu alleen maar verkeer naar 0000.0000.0000 doorlaat, en geen verkeer naar het MAC adres van je router. (Hij zal het MAC adres van je router niet eens kunnen vinden, aangezien broadcasts (naar ffff.ffff.ffff) ook niet worden doorgelaten.)

Overigens,
je hebt het over het permit mac adres wat niet meer internet op kan. Het adres in de access-list is toch niet van een PC aan de binnenkant van je lan? aangezien je de access-list op de buitenkant probeert te plaatsen...
Enige wat je dus in die access-list kan/moet gebruiken zijn adressen aan de buitenkant.

[ Voor 27% gewijzigd door _nethack op 04-01-2009 13:15 ]

[Ducktape]

_nethack schreef op zondag 04 januari 2009 @ 13:12:
Probeer het eens met 'any' in plaats van 0000.0000.0000.
Weet niet exact hoe IOS omgaat met MAC adressen in access lists (geen ervaring mee, alleen met tcp) maar kan me voorstellen dat ie nu alleen maar verkeer naar 0000.0000.0000 doorlaat, en geen verkeer naar het MAC adres van je router. (Hij zal het MAC adres van je router niet eens kunnen vinden, aangezien broadcasts (naar ffff.ffff.ffff) ook niet worden doorgelaten.)

Overigens,
je hebt het over het permit mac adres wat niet meer internet op kan. Het adres in de access-list is toch niet van een PC aan de binnenkant van je lan? aangezien je de access-list op de buitenkant probeert te plaatsen...
Enige wat je dus in die access-list kan/moet gebruiken zijn adressen aan de buitenkant.

Die 0000.0000.0000 is het address mask van het mac-address.
Het mac-address is van een PC aan de LAN (gig 0/1) interface. het is een input-addres-list op de uitgaande (WAN) interface. Of zou ik de bridge op de LAN interface moeten zetten ipv de WAN en dan de ACL op de LAN interface?

[Tags NL]

Je hebt aan extended acces-list aangemaakt en die moet zo dicht mogelijk bij de desbetreffende machine/poort worden geplaatst, standard access-lists zet je zo ver mogelijk naar voren in je netwerk (Als ik het zo goed herhaal uit mijn CCNA training )

[Leon T]

Je hebt hem nu zo neergezet dat verkeer dat binnenkomt op de WAN interface afkomstig moet zijn van het genoemde mac adres. Je hebt nu twee opties:
1)Je laat hem op de WAN interface staan, maar maakt hem outbound ipv inbound
2)Je zet hem inbound op de LAN interface

Optie 2 is het mooiste :-)

[Ducktape]

Leon T schreef op zondag 04 januari 2009 @ 22:01:
Je hebt hem nu zo neergezet dat verkeer dat binnenkomt op de WAN interface afkomstig moet zijn van het genoemde mac adres. Je hebt nu twee opties:
1)Je laat hem op de WAN interface staan, maar maakt hem outbound ipv inbound
2)Je zet hem inbound op de LAN interface

Optie 2 is het mooiste :-)

Inbound op de LAN blokkeerd dan ook telnet en mogelijk dhcp enz enz. Daar heb ik weinig zin in. Ik zal eens outbound testen.

edit: bridge-group 1 output-address-list 700 op int gigabitethernet 0/0 (WAN) blokkeerd alles...

[ Voor 8% gewijzigd door Ducktape op 05-01-2009 14:08 ]