ciscoルータのフィルタリングについて

前へ 次へ
このQ&Aのポイント
  • cisco811の設定で困っています。ネットワークの通信制御をするために、access-listを使用していますが、応答がなくなる現象が発生しています。
  • access-list 104を設定しているが、急にpingへの応答がなくなり、telnetもできなくなる現象が起こる。
  • access-listを一度外すと問題が解消するが、なぜこのような現象が起こるのか分からない。
回答を見る
  • ベストアンサー

ciscoルータのフィルタリングについて

cisco811の設定で困っています。 以下のようなaccess-listをBRI0:1.1に適用しています。 access-list 104 permit icmp 192.9.217.0 0.0.0.255 192.9.214.0 0.0.0.255 access-list 104 permit tcp 192.9.217.0 0.0.0.255 192.9.214.0 0.0.0.255 eq telnet access-list 104 permit tcp 192.9.217.0 0.0.0.255 192.9.214.0 0.0.0.255 established 192.9.217.0/24のネットワークから192.9.214.0/24のネットワークへはpingとtelnet を許可するという設定です。最初はなんの問題もなくping,telnetできてるのですが 急にpingに応答がなくなったり、telnetできなくなります。その後はaccess-listを 外してやれば復旧するのですが・・ どうしてこのような現象になるのか、ご存知の方いらっしゃいましたら教えてください。 よろしくお願いします。

  • waii
  • お礼率20% (5/24)

質問者が選んだベストアンサー

  • ベストアンサー
回答No.1

かなーり、昔、ルータの設定で似たような経験をした記憶があります。 的外れかもしれませんが、私が陥ったケースを書きます。 単純なことなのですが、設定が双方向必要ということです。 大抵のプロトコルは、送信と受信を伴います。 受信パケットについてもアクセスを許可する設定がいるのではないかと思いました。

waii
質問者

お礼

回答ありがとうございました。 もう少し詳しく書いて質問しようと思います。 また見つけましたら、よろしくお願いします。

  1. カテゴリ
  2. インターネット・Webサービス
  3. インターネット接続・通信
  4. その他（インターネット接続・通信）

関連するQ&A

  • ciscoルータのaccess-listについて

    192.9.211.0/24のネットワークから192.9.214.0/24に telnet/pingできるようにしています。 最初はtelnet/pingできるのですが、途中から できなくなります。192.9.211.0からはFR網の 手前までアクセスできるのですがFR網の先はアクセス できなくなります。 access-listは問題ないと思うのですが、なぜ こうなるのでしょうか。おしえてください。 show confの抜粋です。 router#show conf ! version 12.2 ! enable password admin username admin password 0 admin ip subnet-zero ! isdn switch-type ntt isdn leased-line BRI0 128 ! interface Ethernet0 ip address 192.9.214.253 255.255.255.0 ! interface BRI0 no ip address encapsulation frame-relay no arp frame-relay ! interface BRI0.1 point-to-point ip address 192.168.1.1 255.255.255.0 ip access-group 106 in no arp frame-relay frame-relay interface-dlci 31 ! interface BRI0.2 point-to-point ip address 192.168.2.1 255.255.255.0 ip access-group 104 in no arp frame-relay frame-relay interface-dlci 30 ! router rip version 2 network 192.9.214.0 network 192.168.1.0 network 192.168.2.0 ip classless ! access-list 104 permit icmp 192.9.217.0 0.0.0.255 192.9.214.0 0.0.0.255 access-list 104 permit tcp 192.9.217.0 0.0.0.255 192.9.214.0 0.0.0.255 eq telnet access-list 104 permit tcp 192.9.217.0 0.0.0.255 192.9.214.0 0.0.0.255 established access-list 106 permit icmp 192.9.211.0 0.0.0.255 192.9.214.0 0.0.0.255 access-list 106 permit tcp 192.9.211.0 0.0.0.255 192.9.214.0 0.0.0.255 eq telnet access-list 106 permit tcp 192.9.211.0 0.0.0.255 192.9.214.0 0.0.0.255 established ! line vty 0 4 login local ! end

  • ルータでのフィルタリング設定

    Ciscoのルータの設定をしていますが、うまくいかないのでおしえてください。 ネットワーク構成は、host１-ルータ-host２ですべてLANです。 やりたいことはtelnetだけ通過させるということです。 access-list 100 permit tcp any any eq telnet をポートに適用すればよいと思っていましたが、うまくいきません。 ほかに何かpermitしなければいけないのでしょうか？ ちなみにhost１からルータにtelnetし、そこからhost２にtelnetはできます。 しかし、host１からhost２に直接telnetしようとするとできません。 なぜでしょうか？ おしえてください。

  • Ciscoルータでフィルタリングの設定方法をおしえてください。

    このルータは２つのLANポートを持っています。入ってくるパケットにフィルタリングをかけたいですが、設定が うまくいきません。 やりたいことは２つのマシンでソケット接続をし、TCP/IPで送受をするだけです。ただし、使用しているポートは ４００７１、４００７４です。この状況で不要なパケットにフィルタリングをしたいのです。 Q１．Ciscoのルータでは、「access-list 101 permit tcp any any eq telnet」でaccess-listを作成し、ポートに 　　　適用することで、telnetのみ通過させるといった設定が可能ですが、この方法で上の40071と40074だけ 　　　通過させるという設定は可能でしょうか。 Q2.逆に不要なパケットの通過を拒否する設定（例：access-list 102 deny tcp any any eq ftp）をして、ポートに 　　適用しました。この方法だと必要なものだけ通過すると思ったのですが、１つでも拒否の設定にすると 　　pingを投げたらcoreを吐いてしまいます。どうしてでしょうか。 大変困っています。おわかりの方は教えてください。 もし、上の２つ以外でも結構なのでフィルタリングのよい方法があったらおしえてください。 ようは、ルータをはさんだ２つのマシン間でpingが通り、上の２つのポートは開けておく。 この条件を満たすフィルタリング方法をおしえてください。

  • cisco　アクセスリスト

    現在cisco1600シリーズのルータを使い アクセスリストの設定を行っています。 機材 ・PC１（192.168.0.1） ・PC２（10.0.0.1） ・ルータ 条件 １、pc1-pc2　FTPのみ許可 ２、pc2-pc1　pingのみ許可 ３、上位機以外すべて禁止 (config)access-list 100 permit tcp host 192.168.0.1 host 10.0.0.1 eq 21 (config)access-list 100 permit icmp host 10.0.0.1 host 192.168.0.1　echo (config-if)ip access-group 100 in 上記で大丈夫でしょうか？ その他質問なのですが、 １．アクセスグループを消すときは no ip access-group　100　in でいいのでしょうか。最後がoutになった場合はどうなるのでしょうか ２、pingのみ許可する場合はICMPのオプションのechoとecho reply はどちらにしたらいいのでしょうか ３、上記のように設定すれば、最後の三番目の条件の残りすべて禁止 は暗黙のdenyですべて禁止という設定になるのでしょうか？ まだ実際に検証ができないため、よろしくお願いいたします。

  • CiscoルーターACL

    A・・・192.168.11.0/24セグメント B・・・172.16.12.0/24セグメント 以下要件を満たしたいのですが、上手くいきません [要件] 1.192.168.11.49が、デフォルトゲートウェイであり、80番通信以外は許可したい。(管理画面が見えるため) 2.172.16.12.0から、192.168.11.0セグメントへの通信は、拒否したい(icmpはOK) 3.192.168.11.11から172.16.12.0端末への通信は全て許可する。(RDPとか、ファイルコピーしたいため) [作成したACL] access-list 100 deny tcp 172.16.12.0 0.0.0.255 host 192.168.11.49 eq 80 access-list 100 permit ip 172.16.12.0 0.0.0.255 host 192.168.11.49 access-list 100 deny ip 172.16.12.0 0.0.0.255 192.168.11.0 0.0.0.255 access-list 100 permit ip any any ip access-group 100 in [概略図] 192.168.11.0/24セグメント-------(fa0/0)ルーター(fa0/1)-------172.16.12.0/24セグメント fa0/1のinバウンドにACLを設定。 [質問] 2のicmpも現在通らないのですが、これはicmp許可すれば通るとおもうので問題ではないのですが、 3の条件が満たせません。 →私自身、192.から172にRDP通信を行ったとき、fa0/0にはACLを設定しておらず、192からのRDPがとおるので、172からの応答はinバウンドのACLに引っかからないと思っていたのですが、 access-list 100 deny ip 172.16.12.0 0.0.0.255 192.168.11.0 0.0.0.255 に　引っかかって通信が成功しません。 どなたか解決方法をご存知の方がいらっしゃいましたら ご教授のほう宜しくお願いします。

  • Cisco 拡張ACLについて

    お世話になります。 現在、CiscoのACLを勉強しているのですが、どうしても以下の違いが分かりません。 1) access-list 170 permit tcp any any eq 1099 2) access-list 170 permit tcp any eq 1099 any 上記1)は理解できるのですが、なぜ2)が必要なのか、2)がどのような意味を成しているのか、なぜ必要なのかが理解できないのです。 2)は、送信元のポート番号が1099、送信先はanyという意味なのでしょうか？ お手数ですが、ご回答頂けると幸いです。

  • CISCO1605バックアップについて

    Ciscoルータ1605のバックアップについておしえてください。 アクセスリストを作成し、パケットのフィルタリングをしています。 TFTPを使用してバックアップしたいので、アクセスリストに以下を 追加しましたがうまくいきません。 access-list 101 permit udp any any eq tftp しかし、この行を追加したときはうまくバックアップできます。 access-list 101 permit udp any any Q１．tftp以外に何かを通過可にすればよいのでしょうか。 　　　もしかして、tcpのestablishedのような返答パケットがあるのでしょうか。 Q２．udpのプロトコルを１つずつアクセスリストに追加していき、 　　　全てのudpプロトコルを通過可にしたのみうまくいきませんでした。 　　　udpプロトコルすべて通過可＝permit udp any anyじゃないのでしょうか。 おしえてください。よろしくお願いします。

  • アクセスリストについて（ｆｔｐ通信）

    初めて質問させて頂きます。 今、FTPの通信で困っています。以下の内容の要件でアクセスリストを作成してFTPのGETの通信を行おうとしているのですが現状、要件通り に行かなくて困っています。 以下に、構成と作成したアクセスリストを提示しました。 どなたかわかる方がいらっしゃいましたらご指導お願いします。 できれば具体的にどこがいけないのかを教えて頂きたいです。 構成 送信元　　　　　　送信先 要件 10.90.11.20　　　 172.15.160.4　 FTPのGET 10.90.11.21　　　 172.15.160.4　 FTPのGET 10.90.11.22　　　 172.15.160.4　 FTPのGET 10.80.11.22　　　 172.15.160.4　 FTPのGET 【アクセスリスト】 interface vlan TEST ip access-group FTP_TUUSIN_IN in ip access-group FTP_TUUSIN_OUT out ip access-list extended FTP_TUUSIN_OUT permit icmp any any permit tcp host 10.90.11.22 eq ftp host 172.15.160.4 gt 1023 established permit tcp host 10.90.11.21 eq ftp host 172.15.160.4 gt 1023 established permit tcp host 10.90.11.20 eq ftp host 172.15.160.4 gt 1023 established permit tcp host 10.80.11.22 eq ftp host 172.15.160.4 gt 1023 established permit tcp host 10.90.11.22 eq ftp-data host 172.15.160.4 permit tcp host 10.90.11.21 eq ftp-data host 172.15.160.4 permit tcp host 10.90.11.20 eq ftp-data host 172.15.160.4 permit tcp host 10.80.11.22 eq ftp-data host 172.15.160.4 permit tcp host 10.90.11.22 eq ftp host 172.15.160.4 permit tcp host 10.90.11.21 eq ftp host 172.15.160.4 permit tcp host 10.90.11.20 eq ftp host 172.15.160.4 permit tcp host 10.80.11.22 eq ftp host 172.15.160.4 permit udp any host 224.0.0.2 eq 1985 deny ip any any log ip access-list extended FTP_TUUSIN_IN permit icmp any any permit tcp host 172.15.160.4 eq ftp host 10.90.11.22 gt 1023 established permit tcp host 172.15.160.4 eq ftp host 10.90.11.21 gt 1023 established permit tcp host 172.15.160.4 eq ftp host 10.90.11.20 gt 1023 established permit tcp host 172.15.160.4 eq ftp host 10.80.11.22 gt 1023 established permit tcp host 172.15.160.4 eq ftp-data host 10.90.11.22 permit tcp host 172.15.160.4 eq ftp-data host 10.90.11.21 permit tcp host 172.15.160.4 eq ftp-data host 10.90.11.20 permit tcp host 172.15.160.4 eq ftp-data host 10.80.11.22 permit tcp host 172.15.160.4 eq ftp host 10.90.11.22 permit tcp host 172.15.160.4 eq ftp host 10.90.11.21 permit tcp host 172.15.160.4 eq ftp host 10.90.11.20 permit tcp host 172.15.160.4 eq ftp host 10.80.11.21 permit udp any host 224.0.0.2 eq 1985 deny ip any any log

  • CiscoスイッチのVLANにFTPとNTPを許可したい(ftp通信のアクセスリストについて)

    FTPとNTPの通信について困っているので教えてください。 下記内容で、アクセスリストを作成し、FTPとNTPの通信を許可したいのですが、うまく行かず困っております。 どなたかお分かりになる方がいらっしゃいましたら、ご教授お願い致します。 -------------------------------------------------- ●構成 〔any〕- 〔スイッチVlan3〕-〔サーバ〕 　　　　　　　　　　　　　interface3 ●ACL access-list 101 permit tcp any any eq ftp access-list 101 permit tcp any any eq ftp-data access-list 101 permit udp any eq ntp any eq ntp access-list 101 permit tcp any any eq 443 access-list 101 permit udp any any access-list 101 permit tcp any any established ●VLANにACLを適用 interface vlan 3 ip access-group 101 in ----------------------------------------------------- ポートが開放されているかどうかの確認方法を知らないため、httpsで確認出来るよう443を追加しました。 しかし、httpsは通信出来るのですがFTPにおいては、どうやらこれではうまく通信出来ないようなのです。 具体的に間違っているところを教えていただけると幸いです。 どうぞよろしくお願いします。

  • Ciscoルータ（1710）でPINGが打てません。127.0.0.1

    Ciscoルータ（1710）でPINGが打てません。127.0.0.1や同じセグメント内のホストに対しても不可です。ルーティングテーブルやARPテーブルには認識されています。 このルータのF0配下にPCを接続していますが、そこから、このルータや公開NTPサーバへのPINGは正常に応答が返されます。 何が問題なのかが解らず閉口してます。runningコンフィグを張りますのでアドバイスをお願いします。 version 12.3 service timestamps debug datetime msec service timestamps log datetime msec service password-encryption ! hostname *** ! boot-start-marker boot-end-marker ! enable secret 5 **** ! username *** privilege 15 password 7 ****** no aaa new-model ip subnet-zero ! ! ip cef ip inspect name FW_RULE tcp ip inspect name FW_RULE udp ip inspect name FW_RULE icmp ip ips po max-events 100 no ftp-server write-enable ! interface Ethernet0 ip address 192.168.0.252 255.255.255.0 ip access-group 110 in ip nat outside ip virtual-reassembly half-duplex no cdp enable ! interface FastEthernet0 ip address 192.168.1.252 255.255.255.0 ip access-group 100 in ip nat inside ip inspect FW_RULE in ip virtual-reassembly speed auto no cdp enable ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.0.254 ip http server ip http authentication local ip http secure-server ! ip nat inside source list 1 interface Ethernet0 overload ! ! access-list 100 permit tcp 192.168.1.0 0.0.0.255 any eq www access-list 100 permit udp 192.168.1.0 0.0.0.255 any access-list 100 permit icmp 192.168.1.0 0.0.0.255 any access-list 110 deny ip any any no cdp run ! ! control-plane ! ! line con 0 password 7 **** login line aux 0 line vty 0 4 privilege level 15 login local transport input telnet ssh ! end

注目のQ&A

カテゴリ

専門家に質問してみよう

職業から探して質問する

あなたにピッタリな商品が見つかる！ OKWAVEセレクト

質問する