[Cisco] Access-list en router als dhcp client

[Bor]

Ik ben bezig met het dichttimmeren van een 1605-R mbv extended access-lists. De router in kwestie krijgt zijn ip adres via dhcp op zijn externe interface (e1). Ik loop echter tegen problemen aan met de access-list voor de dhcp client toegang tot de server.

Ik heb het volgende gedaan (eerdere access-lists die niet met dhcp te maken hebben weggelaten / fictief ip adres):

code:

access-list 101 permit udp 211.211.211.211 0.0.0.0 eq 68 any eq 67 
access-list 101 deny ip any any

<int e1>
ip access-group 101 in

Het probleem doet zich denk ik voor bij het starten van de dhcp requests:

code:

Discover
Offer
Request
Acknowledge

Bij de dhcp_discover wordt een layer 2 (mac) broadcast verstuurd als ik het goed heb. Het lijkt er op dat deze word gedenied door de regel deny ip any any.

Een "show ip int e1" levert dan op "ip address will be negotiated". Zodra ik de access-group los maak werkt het weer.

Wie helpt?

[ Voor 6% gewijzigd door Bor op 24-03-2004 11:06 ]

[Verwijderd]

Eh je antwoordt op een broadcast is een broadcast terug en dus meestal naar 255.255.255.255.

Probeer maar eens

permit udp any any eq bootpc


maar waar gebruik je tftp voor dan ? (udp 69)

[ Voor 15% gewijzigd door Verwijderd op 24-03-2004 11:04 ]

[Bor]

Verwijderd schreef op 24 maart 2004 @ 11:03:

maar waar gebruik je tftp voor dan ? (udp 69)

Sorry, typfout, moet 68 zijn (was in de router wel goed).

[Verwijderd]

Bor_de_Wollef schreef op 24 maart 2004 @ 11:06:
[...]


Sorry, typfout, moet 68 zijn (was in de router wel goed).

Ook die heb je niet nodig op je in access-list of wil je dhcp server worden voor je regio.

[Bor]

Nee, dat is niet de bedoeling maar het dhcp client verkeer gaat toch:

Client 68 <-> Server 67

?

[Verwijderd]

Bor_de_Wollef schreef op 24 maart 2004 @ 11:20:
Nee, dat is niet de bedoeling maar het dhcp client verkeer gaat toch:

Client 68 <-> Server 67

?

Je hebt gelijk 68 = bootpc, 67=bootps ,

Dat had ik ff niet goed gelezen.

maar de acl lijn die ik gaf klopt nog wel.

[ Voor 10% gewijzigd door Verwijderd op 24-03-2004 11:48 ]

[Bor]

Thanks, inderdaad, door de any ipv alleen 68 toe te staan wordt de broadcast ook meegenomen. Bedankt voor de hulp. We zijn snel tot de oplossing gekomen

[Verwijderd]

Bor_de_Wollef schreef op 24 maart 2004 @ 11:52:
Thanks, inderdaad, door de any ipv alleen 68 toe te staan wordt de broadcast ook meegenomen. Bedankt voor de hulp. We zijn snel tot de oplossing gekomen

K , ben blij dat ik je kon helpen.