Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrund

Konfigurieren

Konfiguration der HTTP-Service-Zugriffsklasse

IPv4-Beispiel

IPv6-Beispiel

Überprüfung

F: Nach dem Anwenden der Zugriffsliste erhalte ich eine 403-Antwort, keine Antwort. Warum ist das so?

Einleitung

In diesem Dokument wird beschrieben, wie Sie eine Zugriffsliste (ACL) auf einem Cisco IOS XE-Gerät konfigurieren, um den für die Webdienste bestimmten Datenverkehr zu filtern.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Dieses Dokument wurde für Enterprise-Geräte mit Cisco IOS® XE-Software geschrieben.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrund

Wenn HTTP-Webdienste aktiviert sein müssen, damit sie über eine Web-Benutzeroberfläche auf das IOS XE-Gerät oder für den Webauthentifizierungs-/Gastbenutzerzugriff zugreifen können, können Funktionen zur Datenverkehrsfilterung implementiert werden, um sicherzustellen, dass nur die erforderlichen IP-Adressen auf die WebUI zugreifen können und Gastbenutzer weiterhin an Bord des Netzwerks bleiben können.

Konfigurieren

Konfiguration der HTTP-Service-Zugriffsklasse

Die einfachste Methode zur Definition des Zugriffs ist die Unterstützung der IP Access Class auf dem HTTP-Webserver.  In diesem Konfigurationsbeispiel ist das ipv4-Subnetz 192.168.10.0/24 zulässig, das ipv6-Subnetz fd00::/64 ist zulässig, und alles andere wird abgelehnt.  Am Ende der Zugriffsliste gibt es eine implizite deny any, aber Sie können auch eine explizite deny any hinzufügen, wenn Sie möchten. Achten Sie beim Wireless LAN Controller C9800 darauf, den HTTP-/HTTPS-Zugriff auf die Wireless Management Interface (WMI) und den Out-of-Band-Management-/Service-Port zu berücksichtigen.

IPv4-Beispiel

Schritt 1: Konfigurieren einer Standard-ACL und Einschließen der vertrauenswürdigen Geräte/Subnetze, die über HTTP/HTTPS auf das Cisco IOS XE-Gerät zugreifen dürfen

ip access-list standard restrict_ipv4_webui

permit 192.168.10.0 0.0.0.255

Hinweis: Diese ACL darf nur vertrauenswürdige Subnetze enthalten, damit Web-Administratoren auf das IOS XE-Gerät zugreifen können. Das heißt, dass Gastsubnetze nicht in diese ACL eingeschlossen werden dürfen. Das Nichteinbeziehen von Gast-Subnetzen unterbricht nicht die Webauthentifizierung, den Gastzugriff oder die Webumleitung.

Schritt 2: Weisen Sie die Standard-ACL der HTTP-Webdienst-Zugriffsklasse zu.

ip http access-class ipv4 restrict_ipv4_webui

IPv6-Beispiel

Schritt 1: Konfigurieren einer IPv6-ACLinklusive der vertrauenswürdigen Geräte/Subnetze, die über HTTP/HTTPS auf das Cisco IOS XE-Gerät zugreifen dürfen

ipv6 access-list restrict_ipv6_webui

permit fd00::/64 any

Schritt 2: Weisen Sie die Standard-ACL der HTTP-Webdienstfunktion zu.

ip http access-class ipv6 restrict_ipv6_webui

Überprüfung

Überprüfen der IPv4-ACL-Einträge

show ip access-list restrict_ipv4_webui

Standard IP access list restrict_ipv4_webui

10 permit 192.168.10.0 0.0.0.255

Überprüfen der IPv6-ACL-Einträge

show ipv6 access restrict_ipv4_webui

IPv6 access list restrict_ipv6_webui

permit ipv6 FD00::/64 any sequence 10

F: Nach dem Anwenden der Zugriffsliste erhalte ich eine 403-Antwort, keine Antwort.  Warum ist das so?

A: Dieses Verhalten wird erwartet.  Die Zugriffsliste wurde entwickelt, um die Zugriffsrechte für den http/https-Prozess einzuschränken.  Eine 403-Antwort weist darauf hin, dass Ihnen der Zugriff auf diese Ressource untersagt ist, und stellt in diesem Szenario die richtige Antwort dar, da die Zugriffsliste auf den HTTP/HTTPS-Prozess und nicht auf eine Zugriffsliste auf Schnittstellenebene angewendet wird.  Wenn die Zugriffsliste auf eine Schnittstelle anstelle des HTTP/HTTPS-Prozesses angewendet wurde, ist keine Antwort angemessen.