ACL Cisco básica

Hoy explicaré un pequeño ejemplo de Access List en un Switch Cisco 3750 de nivel 3, en que un servidor (192.111.222.10) pueda acceder a unas impresoras por el protocolo tcp de una vlan (192.111.14.102, 192.111.14.104 y 192.111.14.105) a unos pc de otra vlan, por tcp y udp.

Así afinamos un poco más nuestra seguridad.

La configuración de las Vlan serán las siguientes:

interface Vlan14
description IMPRESORASTEST
ip address 192.111.14.1 255.255.255.0
no ip redirects
no ip unreachables
no ip proxy-arp
!

interface Vlan12
description PCSTEST
ip address 192.111.14.1 255.255.255.0
no ip redirects
no ip unreachables
no ip proxy-arp
!


interface Vlan222
description PROVEEDOR
ip address 192.111.222.1 255.255.255.0
ip access-group PERMIT_PROVEEDOR in
no ip redirects
no ip unreachables
no ip proxy-arp
!

Explicaré esta última que engloba las anteriores con algún comando más:

Nombre de la Vlan: Vlan222
Le damos una descripción: PROVEEDOR
Donde definimos el rango con el que trabajar: 192.111.222.X 
La puerta de enlace que va a tener:  192.111.222.1  
Que se aplicará a toda la información de entrada:  in
El añadir la línea "ip access-group PERMIT_PROVEEDOR in" hace que se aplique a esta vlan la ACL.


Ahora vamos a crear la Access List.

Pondrémos el "remark" para añadir comentarios y hacer más visual los comandos.

ip access-list extended PERMIT_PROVEEDOR
 remark PROVEEDOR_VPN
 permit tcp host 192.111.222.10 host 172.77.1.180 established


Damos acceso al proveedor a través de una VPN, 172.77.1.180 ip que le asigna nuestro Firewall, hasta el servidor dentro de nuestra red (192.111.222.10).

 remark PC_ACCESO_PROVEEDOR
 permit tcp host 192.111.222.10 host 192.111.12.10
 permit tcp host 192.111.222.10 host 192.111.12.11
 permit udp host 192.111.222.10 host 192.111.12.10
 permit udp host 192.111.222.10 host 192.111.12.11
 remark PROVEEDOR_ACCESO_PRN
 permit tcp host 192.111.222.10 host 192.111.14.102
 permit tcp host 192.111.222.10 host 192.111.14.103
 permit tcp host 192.111.222.10 host 192.111.14.105
 deny   ip any any
!

Hay que tener presente que no hemos activado el protocolo icmp, así que no podremos hacer ping para verificar que está correcto, bastará con imprimir o compartir carpetas entre host para ver que todo funciona. 

Es importante configurar la Vlan a nivel 2 por cada Switch por el que deba comunicarse nuestro hosts contra el que tengamos de gateway de Vlans (nuestra puerta de enlace).

¿Donde está bloqueado mi usuario?

Voy a comentar un programa que viene con la descarga del EventComMT de Microsoft.  No necesita instalación.

http://www.microsoft.com/en-us/download/details.aspx?id=18465

Ya expliqué algunas utilidades que se le puede dar a este software el en post:

http://gonsystem.blogspot.com.es/2011/05/visor-de-sucesos-eventos-eventcombmt.html

Aparece otro binario cuando descomprimimos este software de Microsoft que se llama LockoutStatus, este nos permite ver de todos nuestros DC en que situación está el estado de un usuario:

Ejecutamos el programa y vamos a la opción de "File" marcamos "Select Target..." y ponemos un nombre de usuario a buscar, en este caso "arodriguez"

El nombre de nuestro dominio debe estar como figura en la pantalla:

Yo tengo unos cuantos servidores repartidos por varias empresas con lo que sale un resultado como el siguiente:

Donde estas columnas nos pueden ser muy útiles:

Si lo hacemos con el usuario famoso "invitado" que viene con la instalación de Windows, en este caso nos comentaría lo siguiente:

GoN

Conectar cable consola a Switch o Router Cisco.

Voy a explicar algo muy básico que muchas veces se da por hecho que lo sabemos todos, pero no está demás recordarlo para el que no lo tengan tan claro o ayudar a que nunca lo haya hecho antes. Se trata de como acceder a un Switch o Router Cisco por primera vez con el cable de consola. En este caso es un Switch 2960.

Lo explicaré usando dos programas diferentes con Hyperterminal y con Putty.

El cable de consola Cisco sería similar a este:

Con Hyperterminal:

Abrimos el famoso hyperterminal de nuestras Windows:

Ponemos un nombre donde guardar la nueva configuración:

En mi caso usaré el COM1, depende del PC

La configuración de conexión será la siguiente:

Nos saldrá la siguiente pantalla:

Si le cuesta aparecer el texto de conexión mejor dar un par de "enters". Si el Switch no está configurado veremos una pantalla como la anterior. Si no ya pasaría a pedirnos credenciales.

Con Putty:

Esta opción es igual de buena para Windows como para Linux:

GoN