Configurar a lista de controle de acesso MAC, IPv4 e IPv6 em um ponto de acesso sem fio

Objetivo

Uma lista de controle de acesso (ACL) é uma lista de filtros de tráfego de rede e ações correlacionadas usadas para melhorar a segurança. Bloqueia usuários não autorizados e permite que usuários autorizados acessem recursos específicos. Uma ACL contém os hosts com acesso permitido ou negado ao dispositivo de rede. As ACLs podem ser definidas de uma de duas maneiras: por endereço IPv4 ou por endereço IPv6.

Este artigo o orienta sobre como criar com êxito uma ACL e configurar ACLs baseadas em IPv4, IPv6 e Controle de Acesso ao Meio (MAC - Media Access Control) em seu ponto de acesso sem fio (WAP - Wireless Access Point) para melhorar a segurança da rede.

Dispositivos aplicáveis

• WAP100 Series
• WAP300 Series
• WAP500 Series

Versão de software

• 1.0.6.2 - WAP121, WAP321
• 1.2.0.2 - WAP371, WAP551, WAP561
• 1.0.1.4 - WAP131, WAP351
• 1.0.0.16 - WAP150, WAP361

Criar ACL

Note: As imagens usadas para essa configuração são do WAP150.

Etapa 1. Faça login no utilitário baseado na Web do ponto de acesso e escolha ACL > Regra de ACL.

Note: Para WAP121, WAP321, WAP371, WAP551 e WAP561: Faça login no utilitário baseado na Web do ponto de acesso e escolha Client QoS > ACL.

Etapa 2. Quando a página de configuração da ACL for aberta, insira o nome da ACL no campo ACL Name (Nome da ACL).

Etapa 3. Escolha um Tipo de ACL na lista suspensa Tipo de ACL.

• IPv4 — um endereço de 32 bits (4 bytes).
• IPv6 — Um sucessor do IPv4 consiste em um endereço de 128 bits (8 bytes).
• MAC — O endereço MAC é o endereço exclusivo atribuído a uma interface de rede.

Etapa 4. Clique no botão Adicionar ACL.

Se você escolheu MAC, pule para Configure MAC-based ACL.

Se você escolheu IPv4, pule para Configurar ACL baseada em IPv4.

Se você escolheu IPv6, pule para Configurar ACL baseada em IPv6.

Agora você deve ter criado uma ACL com êxito.

Configurar ACL baseada em MAC

Etapa 1. Escolha a ACL na lista suspensa Nome da ACL - Tipo de ACL à qual você gostaria de adicionar regras.

Note: Na imagem abaixo, ACL1 MAC foi escolhido como exemplo.

Etapa 2. Se uma nova regra tiver que ser configurada para a ACL escolhida, escolha Nova regra na lista suspensa Regra. Caso contrário, escolha uma das regras atuais na lista suspensa Regra.

Nota: Um máximo de 10 regras pode ser criado para uma única ACL.

Etapa 3. Escolha a ação para a regra da ACL na lista suspensa Ação.

Nota: Neste exemplo, uma instrução Negar é criada.

• Negar — Bloqueia todo o tráfego que atende aos critérios de regra para entrar ou sair do WAP. Como há uma regra deny-all implícita no final de cada ACL, o tráfego que não é explicitamente permitido é descartado.
• Permit (Permitir) — Permite que todo o tráfego que atende aos critérios de regra entre ou saia do WAP. O tráfego que não atende aos critérios é descartado.

Note: As etapas 4 a 11 são opcionais. Os filtros marcados estão ativados. Desmarque a caixa de seleção do filtro que você não deseja que ele aplique a esta regra específica.

Etapa 4. Marque a caixa de seleção Match Every Packet para corresponder à regra de cada quadro ou pacote, independentemente de seu conteúdo. Desmarque a caixa para configurar qualquer um dos critérios correspondentes adicionais.

Dica: Se Match Every Packet já estiver marcado, vá para a Etapa 12.

Etapa 5. Na área EtherType, escolha um botão de opção para comparar os critérios correspondentes com o valor no cabeçalho de um quadro Ethernet. Você pode escolher uma destas opções ou qualquer uma delas:

• Selecionar na lista — Escolha um protocolo na lista suspensa. A lista tem as seguintes opções: appletalk, arp, IPv4, IPv6, ipx, netbios, pppoe.
• Corresponder a Valor — Para o identificador de protocolo personalizado, insira o identificador que varia de 0600 a FFFF.

Etapa 6. Na área Classe de serviço, escolha um botão de opção para inserir a prioridade de usuário 802.1p para comparar com um quadro Ethernet. Você pode escolher Qualquer prioridade ou uma prioridade definida pelo usuário. Insira a prioridade que varia de 0 a 7 no campo Definido pelo usuário.

Passo 7. Na área MAC de origem, escolha um botão de opção para comparar o endereço MAC de origem com um quadro Ethernet. Você pode escolher Qualquer ou escolher Definido pelo usuário e inserir o endereço MAC origem no campo fornecido.

Etapa 8. Insira a máscara do endereço MAC de origem no campo MAC Mask de origem que especifica quais bits no MAC de origem devem ser comparados a um quadro Ethernet.

Note: Se a máscara MAC usar um bit 0, o endereço será aceito e, se usar um bit, o endereço será ignorado.

Etapa 9. Na área MAC de destino, escolha um botão de opção para comparar o endereço MAC de destino com um quadro Ethernet. Você pode escolher Qualquer pessoa definida pelo usuário e inserir o endereço MAC de destino no campo fornecido.

Etapa 10. Insira a máscara de endereço MAC de destino no campo Máscara MAC de destino que especifica quais bits no MAC de destino comparar com um quadro Ethernet.

Note: Se a máscara MAC usar um bit 0, o endereço será aceito e, se usar um bit 1, o endereço será ignorado.

Etapa 11. Na área VLAN ID, escolha um botão de opção para comparar o ID da VLAN com um quadro Ethernet. Insira a ID da VLAN que varia de 0 a 4095 no campo fornecido.

Etapa 12. Click Save.

Etapa 13. (Opcional) Para excluir a ACL configurada, marque a caixa de seleção Excluir ACL e clique em Salvar.

Agora você deve ter configurado com êxito a ACL MAC em seu WAP.

Configurar ACL baseada em IPv4

Etapa 1. Na área de configuração da regra da ACL, configure estes parâmetros de regra:

Nome da ACL - Tipo de ACLscolha a ACL a ser configurada com a nova regra.

Note: Na imagem abaixo, IPv4_ACL-IPv4 foi escolhido como exemplo.

Etapa 2. Se uma nova regra tiver que ser configurada para a ACL escolhida, escolha Nova regra na lista suspensa Regra. Caso contrário, escolha uma das regras atuais na lista suspensa Regra.

Nota: Um máximo de 10 regras pode ser criado para uma única ACL.

Etapa 3. Escolha a ação para a regra da ACL na lista suspensa Ação.

Nota:Neste exemplo, uma instrução Permit é criada.

• Negar — Bloqueia todo o tráfego que atende aos critérios de regra para entrar ou sair do WAP. Como há uma regra deny-all implícita no final de cada ACL, o tráfego que não é explicitamente permitido é descartado.
• Permit (Permitir) — Permite que todo o tráfego que atende aos critérios de regra entre ou saia do WAP. O tráfego que não atende aos critérios é descartado.

Note: As etapas 4 a 9 são opcionais. Os filtros marcados estão ativados. Desmarque a caixa de seleção do filtro se não quiser que ele se aplique a esta regra específica.

Etapa 4. Marque a caixa de seleção Match Every Packet para corresponder à regra de cada quadro ou pacote, independentemente de seu conteúdo. Desmarque a caixa para configurar qualquer um dos critérios de correspondência adicionais.

Dica: Match Every Packet (Corresponder cada pacote) está ativado por padrão. Se desejar manter essa configuração, vá para a Etapa 11.

Etapa 5. Na área Protocolo, escolha um botão de opção para comparar os critérios correspondentes com o valor no cabeçalho de um quadro Ethernet. Você pode escolher Qualquer ou selecionar na lista suspensa

• Selecionar na lista — Escolha um destes protocolos:

Etapa 6. Na área IP de origem, escolha um botão de opção para incluir o endereço IP da origem na condição de correspondência. Você pode escolher Any (Qualquer) ou User Defined (Definido pelo usuário) e inserir o endereço IP e a máscara curinga da origem nos respectivos campos.

• Endereço IP origem — insira um endereço IP para aplicar esse critério.
• Máscara Curinga — Insira a máscara curinga do endereço IP de destino. A máscara curinga determina quais bits são usados e quais bits são ignorados. Uma máscara curinga de 255.255.255.255 indica que nenhum bit é importante. Um curinga de 0.0.0.0 indica que todos os bits são importantes. Esse campo é obrigatório quando o Endereço IP de Origem é selecionado.

Note: Uma máscara curinga é basicamente o inverso de uma máscara de sub-rede. Por exemplo, para corresponder os critérios a um único endereço de host, use uma máscara curinga de 0.0.0.0. Para corresponder os critérios a uma sub-rede de 24 bits (por exemplo, 192.168.10.0/24), use uma máscara curinga de 0.0.0.255.

Passo 7. Na área Porta de origem, escolha um botão de opção para incluir uma porta de origem na condição de correspondência. Você pode escolher Anyto match para qualquer porta de origem ou pode escolher o seguinte:

• Selecionar da lista — Escolha uma porta de origem na lista suspensa Selecionar da lista. As opções são as seguintes:

• Corresponder à porta — Insira o número da porta que não está presente na lista. Os números de porta variam de 0 a 65535 no campo Match to Port para portas de origem não listadas. O intervalo inclui três tipos diferentes de portas. Os intervalos são descritos da seguinte forma

• Máscara — Insira a máscara de porta. A máscara determina quais bits são usados e quais bits são ignorados. Somente o dígito hexadecimal (0 - 0xFFFF) é permitido. 0 significa que o bit é importante e 1 significa que você deve ignorar esse bit.

Etapa 8. Na área IP de destino, escolha um botão de opção para incluir o endereço IP do destino na condição de correspondência. Você pode escolher Any (Qualquer) ou User Defined (Definido pelo usuário) e inserir o endereço IP e a máscara curinga do destino nos respectivos campos.

• Endereço IP de destino — Insira um endereço IP para aplicar esse critério.
• Máscara Curinga — Insira a máscara curinga do endereço IP de destino. A máscara curinga determina quais bits são usados e quais bits são ignorados. Uma máscara curinga de 255.255.255.255 indica que nenhum bit é importante. Um curinga de 0.0.0.0 indica que todos os bits são importantes. Esse campo é obrigatório quando o endereço IP de destino é selecionado.

Note: Uma máscara curinga é basicamente o inverso de uma máscara de sub-rede. Por exemplo, para corresponder os critérios a um único endereço de host, use uma máscara curinga de 0.0.0.0. Para corresponder os critérios a uma sub-rede de 24 bits (por exemplo, 192.168.10.0/24), use uma máscara curinga de 0.0.0.255.

Etapa 9. Na área Porta de destino, escolha um botão de opção para incluir uma porta de destino na condição de correspondência. Você pode escolher Qualquer para corresponder a qualquer porta de destino ou pode escolher o seguinte:

• Selecionar na lista — Escolha uma porta de destino na lista suspensa. As opções são as seguintes

• Corresponder à porta — Insira o número da porta que não está presente na lista. Os números de porta variam de 0 a 65535 no campo Match to Port para portas de origem não listadas. O intervalo inclui três tipos diferentes de portas. Os intervalos são descritos da seguinte forma:

• Máscara — Insira a máscara de porta. A máscara determina quais bits são usados e quais bits são ignorados. Somente o dígito hexadecimal (0-0xFFFF) é permitido. 0 significa que o bit é importante e 1 significa que você deve ignorar esse bit.

• IP DSCP Select From List — Corresponde aos pacotes com base nos valores Differentiated Services Code Point (DSCP) Assured Forwarding (AS), Class of Service (CS) ou Expedited Forwarding (EF).
• IP DSCP Match to Value — Corresponde aos pacotes com base em um valor de DSCP personalizado. Se selecionado, insira um valor de 0 a 63 neste campo.
• Precedência de IP — Corresponde aos pacotes com base em seu valor de precedência de IP. Se escolhido, insira um valor de precedência de IP de 0 a 7.
• Bits IP TOS — Especifica um valor para usar os bits TOS dos pacotes no cabeçalho IP como critérios de correspondência.
• O campo IP TOS em um pacote é definido como todos os oito bits do octeto do tipo de serviço no cabeçalho IP. O valor dos bits de TOS de IP é um número hexadecimal de dois dígitos de 00 a ff. Os três bits de ordem superior representam o valor de precedência de IP. Os seis bits de ordem superior representam o valor de IP DSCP.
• Máscara TOS IP — Insira um valor de Máscara TOS IP para identificar as posições de bits no valor dos Bits TOS IP que são usados para comparação com o campo TOS IP em um pacote.
• O valor da Máscara de TOS de IP é um número hexadecimal de dois dígitos de 00 a FF, representando uma máscara invertida (ou seja, curinga). Os bits de valor zero na Máscara de TOS IP denotam as posições de bits no valor de Bits de TOS IP que são usados para comparação com o campo TOS de IP de um pacote. Por exemplo, para verificar se há um valor de IP TOS com os bits 7 e 5 definidos e o bit 1 claros, onde o bit 7 é mais significativo, use um valor de Bits IP TOS de 0 e uma Máscara IP TOS de 0.

Configurar ACL baseada em IPv6

• Negar — Bloqueia todo o tráfego que atende aos critérios de regra para entrar ou sair do WAP. Como há uma regra deny-all implícita no final de cada ACL, o tráfego que não é explicitamente permitido é descartado.
• Permit (Permitir) — Permite que todo o tráfego que atende aos critérios de regra entre ou saia do WAP. O tráfego que não atende aos critérios é descartado.

• Selecionar na lista — Escolha um destes protocolos:

• Corresponder ao valor — Insira uma ID de protocolo padrão atribuída à IANA de 0 a 255. Escolha esse método para identificar um protocolo não listado por nome na lista Selecionar da.

• Endereço IPv6 origem — Insira um endereço IPv6 para aplicar esse critério.
• Tamanho do prefixo IPv6 origem — Insira o comprimento do prefixo do endereço IPv6 origem.

• Selecionar na lista — Escolha uma porta de origem na lista suspensa Selecionar da lista. As opções são as seguintes:

• Corresponder à porta — Insira o número da porta que não está presente na lista. Os números de porta variam de 0 a 65535 no campo Match to Port para portas de origem não listadas. O intervalo inclui três tipos diferentes de portas. Os intervalos são descritos da seguinte forma:

• Máscara — Insira a máscara de porta. A máscara determina quais bits são usados e quais bits são ignorados. Somente o dígito hexadecimal (0 ⠀ “ 0xFFFF) é permitido. 0 significa que o bit é importante e 1 significa que você deve ignorar esse bit.

• Endereço IPv6 de destino — insira um endereço IPv6 para aplicar esse critério.
• Tamanho do prefixo IPv6 de destino — Insira o comprimento do prefixo do endereço IPv6 de destino.

• Selecionar da lista — Escolha uma porta de destino na lista suspensa Selecionar da lista. As opções são FTP, dados FTP, HTTP, SNMP, SMTP, TFTP, Telnet, WWW.
• Corresponder à porta — Insira o número da porta que não está presente na lista. Os números de porta variam de 0 a 65535 no campo Match to Port para portas de origem não listadas. O intervalo inclui três tipos diferentes de portas. Os intervalos são descritos da seguinte forma:

• Máscara — Insira a máscara de porta. A máscara determina quais bits são usados e quais bits são ignorados. Somente o dígito hexadecimal (0-0xFFFF) é permitido. 0 significa que o bit é importante e 1 significa que você deve ignorar esse bit.

• Selecionar na lista — Escolha um destes valores: DSCP Assured Forwarding (AF), Class of Service (CS) ou Expedited Forwarding (EF).
• Corresponder ao valor — insira um valor de DSCP personalizado que varia de 0 a 63.