Vlan ACL (VACL)
Auteur
Noël NICOLAS
Date
4 octobre 2017
Commentaires
1
Vlan = Virtual LAN
ACL = Access Control List
Cet article va permettre de gérer les flux de donnée au sein d’un Vlan.
Présentation
Comme je l’ai répété pleiiiiiins de fois :
1 Vlan = 1 Plage d’adresse réseau !
Mais comment s’assurer que notre Vlan supporte uniquement le réseau que nous avons défini ?
Mise en situation
Mon architecture :
– J’ai un Switch et deux clients.
– Je décide que le Vlan 10 sera mon Vlan Client.
– Le Vlan 10 supporte le réseau 192.168.10.0 /24
– Pour que mes clients puissent changer de ports comme ils le décident, je choisi de mettre tous mes ports dans le Vlan 10 :
(Nous sommes d’accord, une mauvaise décision à été prise de base au niveau sécurité)
SW_01(config)# interface range fa 0/1 - 24 SW_01(config-range)# description CLIENTS SW_01(config-range)# switchport mode access SW_01(config-range)# switchport access vlan 10
Imaginez que deux stagiaires ont envie de se faire un petit Counter-stike en local 🙂
Ils ont juste à :
– Se connecter au switch,
– Faire en sorte d’être dans le même Vlan,
– Choisir une plage d’adresse réseau au hasard et le tour est joué 😉
(Ils n’ont pas de gateway et ils ne peuvent pas discuter avec les autres, mais pour ce qu’ils veulent faire, cela n’a pas d’importance)
Nous ne pouvons pas les bloquer avec des ACL sur l’interface VLAN car ils ne vont jamais interrogée, ils ne font pas partie du même réseau. Donc on fait comment ??
On met en place des VACL !!!!!
Objectif
– Filtrer les flux internes au vlan
Pourquoi ?
– 1 Vlan = 1 Subnet
– Les ACL appliqués sur les interfaces Vlans ne peuvent pas filtrer les flux internes à un vlan
À quel endroit appliquer mes VACL ?
– Sur tous les Switchs de niveau 2 et 3 qui supporte le vlan concerné
Configuration
Le Vlan 10 porte le réseau 192.168.10.0 /24
Je veux que mon vlan ne supporte uniquement ce réseau
Switch(config)# ip access-list extended VLAN10 Switch(config-acl)# permit ip 192.168.10.0 0.0.0.255 any Switch(config-acl)# exit Switch(config)# vlan access-map MAP-VLAN10 10 Switch(config-access-map)# match ip address VLAN10 Switch(config-access-map)# action forward Switch(config-access-map)# exit Switch(config)# vlan access-map MAP-VLAN10 20 Switch(config-access-map)# action drop Switch(config-access-map)# exit Switch(config)# vlan filter MAP-VLAN10 vlan-list 10
Étape 1 : Créer une ACL
Pour mettre une ACL sur un Vlan, il faut tout d’abord créer cette access-list !!!
Switch(config)# ip access-list extended VLAN10 Switch(config-acl)# permit ip 192.168.10.0 0.0.0.255 any Switch(config-acl)# exit
Vous pouvez créer des access-list :
– Standard
– Étendue
– Numérotée
– Nomée
Pour plus de détails sur les ACL, je vous donne rendez-vous sur l’article sur les Access-list.
Étape 2 : Créer une Access-map
Envie d’en découvrir plus ?
Devenez membre Gold ou Platinium de FingerInTheNet et accédez à l’intégralité des cours et à des contenus exclusifs !
A votre rythme, Réponse prioritaire aux questions sur les cours
Contenus Exclusifs, accès aux articles avancés
Réductions sur les cours spéciaux ou personnalisés
Expert Réseau
11 ans d’expérience
CCNP Routing and Switching
Fondateur de FingerInTheNet
Les commentaires sont fermés.