Configuration de la liste de contrôle d'accès MAC, IPv4 et IPv6 sur un point d'accès sans fil

Objectif

Une liste de contrôle d'accès (ACL) est une liste de filtres de trafic réseau et d'actions corrélées utilisées pour améliorer la sécurité. Il bloque les utilisateurs non autorisés et leur permet d'accéder à des ressources spécifiques. Une liste de contrôle d’accès contient les hôtes auxquels l’accès au périphérique réseau est autorisé ou refusé. Les listes de contrôle d'accès peuvent être définies de deux manières : par adresse IPv4 ou par adresse IPv6.

Cet article vous explique comment créer une liste de contrôle d'accès et configurer des listes de contrôle d'accès IPv4, IPv6 et MAC (Media Access Control) sur votre point d'accès sans fil (WAP) afin d'améliorer la sécurité du réseau.

Périphériques pertinents

• Série WAP100
• Série WAP300
• Série WAP500

Version du logiciel

• 1.0.6.2 - WAP121, WAP321
• 1.2.0.2 - WAP371, WAP551, WAP561
• 1.0.1.4 - WAP131, WAP351
• 1.0.0.16 - WAP150, WAP361

Créer une ACL

Remarque : les images utilisées pour cette configuration proviennent du WAP150.

Étape 1. Connectez-vous à l'utilitaire Web du point d'accès et choisissez ACL > ACL Rule.

Remarque : pour WAP121, WAP321, WAP371, WAP551 et WAP561 : connectez-vous à l'utilitaire Web du point d'accès et choisissez Client QoS > ACL.

Étape 2. Une fois la page ACL Configuration ouverte, entrez le nom de la liste de contrôle d'accès dans le champ ACL Name.

Étape 3. Sélectionnez un type de liste de contrôle d'accès dans la liste déroulante Type de liste de contrôle d'accès.

• IPv4 : adresse 32 bits (4 octets).
• IPv6 : successeur d'IPv4, il se compose d'une adresse 128 bits (8 octets).
• MAC : l'adresse MAC est l'adresse unique attribuée à une interface réseau.

Étape 4. Cliquez sur le bouton Add ACL.

Si vous avez choisi MAC, passez à Configure MAC-based ACL.

Si vous avez choisi IPv4, passez à Configurer l'ACL basée sur IPv4.

Si vous avez choisi IPv6, passez à Configurer l'ACL basée sur IPv6.

Vous devez maintenant avoir créé une liste de contrôle d’accès.

Configurer une liste de contrôle d’accès MAC

Étape 1. Sélectionnez la liste de contrôle d'accès dans la liste déroulante Nom de la liste de contrôle d'accès - Type de liste de contrôle d'accès à laquelle vous souhaitez ajouter des règles.

Remarque : dans l'image ci-dessous, ACL1 MAC a été choisi comme exemple.

Étape 2. Si une nouvelle règle doit être configurée pour la liste de contrôle d'accès choisie, choisissez New Rule dans la liste déroulante Rule. Sinon, choisissez l'une des règles actuelles dans la liste déroulante Règle.

Remarque : un maximum de 10 règles peut être créé pour une seule liste de contrôle d'accès.

Étape 3. Choisissez l'action pour la règle ACL dans la liste déroulante Action.

Remarque : dans cet exemple, une instruction Deny est créée.

• Deny : bloque tout le trafic qui répond aux critères de la règle pour entrer dans le WAP ou en sortir. Étant donné qu’il existe une règle deny-all implicite à la fin de chaque liste de contrôle d’accès, le trafic qui n’est pas explicitement autorisé est abandonné.
• Permit : autorise tout le trafic qui répond aux critères de la règle à entrer dans le WAP ou à en sortir. Le trafic qui ne répond pas aux critères est abandonné.

Remarque : les étapes 4 à 11 sont facultatives. Les filtres sélectionnés sont activés. Décochez la case du filtre que vous ne souhaitez pas qu'il s'applique à cette règle spécifique.

Étape 4. Cochez la case Match Every Packet pour faire correspondre la règle pour chaque trame ou paquet, quel que soit son contenu. Décochez cette case pour configurer l'un des critères de correspondance supplémentaires.

Conseil : si la case Correspondance de chaque paquet est déjà cochée, passez à l'étape 12.

Étape 5. Dans la zone EtherType, sélectionnez une case d'option pour comparer les critères correspondants à la valeur de l'en-tête d'une trame Ethernet. Vous pouvez choisir l'une de ces options ou sélectionner Any (Tous) :

• Select From List : sélectionnez un protocole dans la liste déroulante. La liste comporte les options suivantes : appletalk, arp, IPv4, IPv6, ipx, netbios, pppoe.
• Match to Value : pour l'identificateur de protocole personnalisé, saisissez l'identificateur compris entre 0600 et FFFF.

Étape 6. Dans la zone Class Of Service, sélectionnez une case d'option pour saisir la priorité utilisateur 802.1p à comparer à une trame Ethernet. Vous pouvez choisir une priorité quelconque ou définie par l'utilisateur. Saisissez une priorité comprise entre 0 et 7 dans le champ Défini par l'utilisateur.

Étape 7. Dans la zone Source MAC, sélectionnez une case d'option pour comparer l'adresse MAC source à une trame Ethernet. Vous pouvez choisir Any ou User Defined et entrer l'adresse MAC source dans le champ fourni.

Étape 8. Entrez le masque d'adresse MAC source dans le champ Source MAC Mask qui spécifie les bits de l'adresse MAC source à comparer à une trame Ethernet.

Remarque : si le masque MAC utilise un bit 0, l'adresse est acceptée et si elle utilise un bit 1, l'adresse est ignorée.

Étape 9. Dans la zone Destination MAC, sélectionnez une case d'option pour comparer l'adresse MAC de destination à une trame Ethernet. Vous pouvez choisir Tout ou rien, choisir Défini par l'utilisateur et saisir l'adresse MAC de destination dans le champ prévu à cet effet.

Étape 10. Entrez le masque d’adresse MAC de destination dans le champ Destination MAC Mask qui spécifie les bits de l’adresse MAC de destination à comparer à une trame Ethernet.

Remarque : si le masque MAC utilise un bit 0, l'adresse est acceptée et si elle utilise un bit 1, l'adresse est ignorée.

Étape 11. Dans la zone VLAN ID, sélectionnez une case d'option pour comparer l'ID de VLAN à une trame Ethernet. Saisissez l'ID de VLAN compris entre 0 et 4095 dans le champ prévu à cet effet.

Étape 12. Cliquez sur Save.

Étape 13. (Facultatif) Pour supprimer la liste de contrôle d’accès configurée, cochez la case Delete ACL, puis cliquez sur Save.

Vous devez maintenant avoir correctement configuré la liste de contrôle d'accès MAC sur votre WAP.

Configurer une liste de contrôle d'accès IPv4

Étape 1. Dans la zone ACL Rule Configuration, configurez les paramètres de règle suivants :

ACL Name - ACL Type(Nom de la liste de contrôle d'accès) : sélectionnez la liste à configurer avec la nouvelle règle.

Remarque : dans l'image ci-dessous, IPv4_ACL-IPv4 a été choisi comme exemple.

Étape 2. Si une nouvelle règle doit être configurée pour la liste de contrôle d'accès choisie, choisissez New Rule dans la liste déroulante Rule. Sinon, choisissez l'une des règles actuelles dans la liste déroulante Règle.

Remarque : un maximum de 10 règles peut être créé pour une seule liste de contrôle d'accès.

Étape 3. Choisissez l'action pour la règle ACL dans la liste déroulante Action.

Remarque : dans cet exemple, une instruction Permit est créée.

• Deny : bloque tout le trafic qui répond aux critères de la règle pour entrer dans le WAP ou en sortir. Étant donné qu’il existe une règle deny-all implicite à la fin de chaque liste de contrôle d’accès, le trafic qui n’est pas explicitement autorisé est abandonné.
• Permit : autorise tout le trafic qui répond aux critères de la règle à entrer dans le WAP ou à en sortir. Le trafic qui ne répond pas aux critères est abandonné.

Remarque : les étapes 4 à 9 sont facultatives. Les filtres sélectionnés sont activés. Décochez la case du filtre si vous ne voulez pas qu'il s'applique à cette règle spécifique.

Étape 4. Cochez la case Match Every Packet pour faire correspondre la règle pour chaque trame ou paquet, quel que soit son contenu. Décochez cette case pour configurer l'un des critères de correspondance supplémentaires.

Conseil : la fonction Match Every Packet est activée par défaut. Si vous souhaitez conserver ce paramètre, passez à l'étape 11.

Étape 5. Dans la zone Protocol, sélectionnez une case d’option pour comparer les critères correspondants à la valeur de l’en-tête d’une trame Ethernet. Vous pouvez choisir Any (Tous) ou sélectionner dans la liste déroulante

• Select From List : sélectionnez l'un des protocoles suivants :

Étape 6. Dans la zone Source IP, sélectionnez une case d'option pour inclure l'adresse IP de la source dans la condition de correspondance. Vous pouvez sélectionner Any (Tous) ou User Defined (Défini par l'utilisateur), puis entrer l'adresse IP et le masque générique de la source dans les champs correspondants.

• Source IP Address : saisissez une adresse IP pour appliquer ce critère.
• Wild Card Mask : saisissez le masque générique de l'adresse IP de destination. Le masque générique détermine quels bits sont utilisés et quels bits sont ignorés. Un masque générique de 255.255.255.255 indique qu’aucun bit n’est important. Un caractère générique de 0.0.0.0 indique que tous les bits sont importants. Ce champ est obligatoire lorsque l'adresse IP source est sélectionnée.

Remarque : un masque générique est essentiellement l'inverse d'un masque de sous-réseau. Par exemple, pour faire correspondre les critères à une adresse hôte unique, utilisez le masque générique 0.0.0.0. Pour faire correspondre les critères à un sous-réseau 24 bits (par exemple, 192.168.10.0/24), utilisez le masque générique 0.0.0.255.

Étape 7. Dans la zone Port source, sélectionnez une case d'option pour inclure un port source dans la condition de correspondance. Vous pouvez choisir Tout pour correspondre à n'importe quel port source ou vous pouvez choisir ce qui suit :

• Select From List : choisissez un port source dans la liste déroulante Select From List. Les options sont les suivantes :

• Match to Port : saisissez le numéro de port qui ne figure pas dans la liste. Les numéros de port sont compris entre 0 et 65535 dans le champ Match to Port pour les ports source non répertoriés. La plage comprend trois types de ports différents. Les plages sont décrites comme suit

• Mask : saisissez le masque de port. Le masque détermine quels bits sont utilisés et quels bits sont ignorés. Seul le chiffre hexadécimal (0 à 0xFFFF) est autorisé. 0 signifie que le bit est important et 1 signifie que vous devez ignorer ce bit.

Étape 8. Dans la zone Destination IP, sélectionnez une case d'option pour inclure l'adresse IP de la destination dans la condition de correspondance. Vous pouvez sélectionner Any (Tous) ou User Defined (Défini par l'utilisateur), puis saisir l'adresse IP et le masque générique de la destination dans les champs correspondants.

• Destination IP Address : saisissez une adresse IP pour appliquer ce critère.
• Wild Card Mask : saisissez le masque générique de l'adresse IP de destination. Le masque générique détermine quels bits sont utilisés et quels bits sont ignorés. Un masque générique de 255.255.255.255 indique qu’aucun bit n’est important. Un caractère générique de 0.0.0.0 indique que tous les bits sont importants. Ce champ est obligatoire lorsque l'adresse IP de destination est sélectionnée.

Remarque : un masque générique est essentiellement l'inverse d'un masque de sous-réseau. Par exemple, pour faire correspondre les critères à une adresse hôte unique, utilisez le masque générique 0.0.0.0. Pour faire correspondre les critères à un sous-réseau 24 bits (par exemple, 192.168.10.0/24), utilisez le masque générique 0.0.0.255.

Étape 9. Dans la zone Port de destination, sélectionnez une case d'option pour inclure un port de destination dans la condition de correspondance. Vous pouvez choisir Tout pour correspondre à n'importe quel port de destination ou vous pouvez choisir ce qui suit :

• Select From List : sélectionnez un port de destination dans la liste déroulante. Les options sont les suivantes

• Match to Port : saisissez le numéro de port qui ne figure pas dans la liste. Les numéros de port sont compris entre 0 et 65535 dans le champ Match to Port pour les ports sources non répertoriés. La plage comprend trois types de ports différents. Les plages sont décrites comme suit :

• Mask : saisissez le masque de port. Le masque détermine quels bits sont utilisés et quels bits sont ignorés. Seul le chiffre hexadécimal (0-0xFFFF) est autorisé. 0 signifie que le bit est important et 1 signifie que vous devez ignorer ce bit.

• IP DSCP Select From List : établit une correspondance entre les paquets en fonction de leurs valeurs DSCP (Differentiated Services Code Point), AS (Assured Forwarding), CS (Class of Service) ou EF (Expeded Forwarding).
• IP DSCP Match to Value : établit une correspondance entre les paquets en fonction d'une valeur DSCP personnalisée. Si cette option est sélectionnée, entrez une valeur comprise entre 0 et 63 dans ce champ.
• IP Precedence : fait correspondre les paquets en fonction de leur valeur de priorité IP. Si cette option est sélectionnée, entrez une valeur de priorité IP comprise entre 0 et 7.
• IP TOS Bits : spécifie une valeur pour utiliser les bits TOS des paquets dans l'en-tête IP comme critères de correspondance.
• Le champ TOS IP d'un paquet est défini comme l'ensemble des huit bits de l'octet Type de service dans l'en-tête IP. La valeur des bits TOS IP est un nombre hexadécimal à deux chiffres compris entre 0 et ff. Les trois bits de poids fort représentent la valeur de priorité IP. Les six bits de poids fort représentent la valeur DSCP IP.
• IP TOS Mask : saisissez une valeur IP TOS Mask pour identifier les positions binaires dans la valeur IP TOS Bits qui sont utilisées pour la comparaison avec le champ IP TOS dans un paquet.
• La valeur du masque TOS IP est un nombre hexadécimal à deux chiffres compris entre 0 et FF, représentant un masque inversé (c'est-à-dire un masque générique). Les bits de valeur zéro dans le masque TOS IP indiquent les positions binaires dans la valeur des bits TOS IP qui sont utilisés pour la comparaison avec le champ TOS IP d'un paquet. Par exemple, pour vérifier une valeur TOS IP dont les bits 7 et 5 sont définis et le bit 1 est effacé, où le bit 7 est le plus significatif, utilisez une valeur de bits TOS IP de 0 et un masque TOS IP de 00.

Configurer une liste de contrôle d'accès IPv6

• Deny : bloque tout le trafic qui répond aux critères de la règle pour entrer dans le WAP ou en sortir. Étant donné qu’il existe une règle deny-all implicite à la fin de chaque liste de contrôle d’accès, le trafic qui n’est pas explicitement autorisé est abandonné.
• Permit : autorise tout le trafic qui répond aux critères de la règle à entrer dans le WAP ou à en sortir. Le trafic qui ne répond pas aux critères est abandonné.

• Select From List : sélectionnez l'un des protocoles suivants :

• Match to Value : saisissez un ID de protocole IANA standard compris entre 0 et 255. Choisissez cette méthode pour identifier un protocole qui ne figure pas dans la liste Sélectionner dans la liste.

• Source IPv6 Address : saisissez une adresse IPv6 pour appliquer ce critère.
• Source IPv6 Prefix Length — Saisissez la longueur de préfixe de l'adresse IPv6 source.

• Select From List : choisissez un port source dans la liste déroulante Select From List. Les options sont les suivantes :

• Match to Port : saisissez le numéro de port qui ne figure pas dans la liste. Les numéros de port sont compris entre 0 et 65535 dans le champ Match to Port pour les ports sources non répertoriés. La plage comprend trois types de ports différents. Les plages sont décrites comme suit :

• Mask : saisissez le masque de port. Le masque détermine quels bits sont utilisés et quels bits sont ignorés. Seul le chiffre hexadécimal (0 – 0xFFFF) est autorisé. 0 signifie que le bit est important et 1 signifie que vous devez ignorer ce bit.

• Destination IPv6 Address : saisissez une adresse IPv6 pour appliquer ces critères.
• Destination IPv6 Prefix Length — Saisissez la longueur de préfixe de l'adresse IPv6 de destination.

• Select From List : choisissez un port de destination dans la liste déroulante Select From List. Les options sont FTP, FTP data, HTTP, SNMP, SMTP, TFTP, Telnet, WWW.
• Match to Port : saisissez le numéro de port qui ne figure pas dans la liste. Les numéros de port sont compris entre 0 et 65535 dans le champ Match to Port pour les ports sources non répertoriés. La plage comprend trois types de ports différents. Les plages sont décrites comme suit :

• Mask : saisissez le masque de port. Le masque détermine quels bits sont utilisés et quels bits sont ignorés. Seul le chiffre hexadécimal (0-0xFFFF) est autorisé. 0 signifie que le bit est important et 1 signifie que vous devez ignorer ce bit.

• Sélectionner dans la liste : choisissez l'une de ces valeurs : DSCP Assured Forwarding (AF), Class of Service (CS) ou Expeided Forwarding (EF).
• Match to Value : saisissez une valeur DSCP personnalisée comprise entre 0 et 63.

Historique de révision

Révision	Date de publication	Commentaires
1.0	12-Dec-2018	Première publication