Turvallisuuden lisäämiseksi halusin rajoittaa pääsyn Cisco SG300-10 -kytkimeeni vain yhteen IP-osoitteeseen paikallisessa aliverkossani. Kun konfiguroin uuden kytkimeni alun perin^{(initially configuring my new switch)} muutaman viikon takaperin, en ollut tyytyväinen, kun tiesin, että kuka tahansa lähiverkkooni^(LAN) tai WLAN -verkkoon liitetty pääsi kirjautumissivulle vain tietämällä laitteen IP-osoitteen.

Päädyin seulomaan 500-sivuisen oppaan läpi selvittääkseni, kuinka voin estää kaikki IP-osoitteet paitsi ne, jotka halusin hallintaan. Pitkän testauksen ja useiden Ciscon^(Cisco) foorumeilla tehtyjen viestien jälkeen tajusin sen! Tässä artikkelissa opastan sinut Cisco - kytkimen käyttöprofiilien ja profiilisääntöjen määrittämiseksi.

Huomautus: Seuraava menetelmä, jota aion kuvata, antaa sinun myös rajoittaa pääsyn mihin tahansa kytkimesi käytössä oleviin palveluihin. Voit esimerkiksi rajoittaa pääsyä SSH-, HTTP-, HTTPS-, Telnet- tai kaikkiin näihin palveluihin IP-osoitteen perusteella. ^{(Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. )}

Luo hallinnan käyttöoikeusprofiili^{(Create Management Access Profile)} ja säännöt^(Rules)

Aloita kirjautumalla kytkimesi verkkokäyttöliittymään ja laajentamalla Suojaus^(Security) ja sitten Mgmt Access Method . Siirry eteenpäin ja napsauta Käyttöprofiilit^{(Access Profiles)} .

Ensimmäinen asia, joka meidän on tehtävä, on luoda uusi käyttöoikeusprofiili. Oletuksena sinun pitäisi nähdä vain Vain konsoli^{(Console Only)} -profiili. Huomaat myös yläreunassa, että Active Access Profile -kohdan vieressä on Ei mitään^(None) . Kun olemme luoneet profiilimme ja sääntömme, meidän on valittava profiilin nimi täältä, jotta se voidaan aktivoida.

Napsauta nyt Lisää^(Add) - painiketta ja tämän pitäisi tuoda esiin valintaikkuna, jossa voit nimetä uuden profiilisi ja lisätä myös ensimmäisen säännön uudelle profiilille.

Anna uudelle profiilillesi nimi yläreunassa. Kaikki muut kentät liittyvät ensimmäiseen sääntöön, joka lisätään uuteen profiiliin. Säännön prioriteetti -asetukselle^{( Rule Priority)} on valittava arvo väliltä 1 - 65535. Cisco toimii siten, että alhaisimman prioriteetin sääntöä sovelletaan ensin. Jos se ei täsmää, sovelletaan seuraavaa sääntöä, jolla on alhaisin prioriteetti.

Esimerkissäni valitsin prioriteetiksi 1 , koska haluan, että tämä sääntö käsitellään ensin. Tämä sääntö sallii IP-osoitteen, jolle haluan antaa pääsyn kytkimelle. Hallintamenetelmässä voit^{(Management Method)} joko valita tietyn palvelun tai valita kaikki, mikä rajoittaa kaikkea. Minun tapauksessani valitsin kaikki, koska minulla on joka tapauksessa käytössä vain SSH ja HTTPS ja hallitsen molempia palveluita yhdestä tietokoneesta.

Huomaa, että jos haluat suojata vain SSH :n ja HTTPS :n , sinun on luotava kaksi erillistä sääntöä. Toiminto voi olla vain ^(Action)Estä^(Deny) tai Salli^(Permit) . Esimerkissäni valitsin Permit , koska tämä koskee sallittua IP-osoitetta. Seuraavaksi^(Next) voit soveltaa sääntöä tiettyyn laitteen käyttöliittymään tai jättää sen Kaikki^(All) -kohtaan , jotta se koskee kaikkia portteja.

Kohdassa Koskee lähde-IP-osoitetta^{(Applies to Source IP Address)} meidän on valittava tässä Käyttäjän määrittämä^{( User Defined)} ja sen jälkeen versio 4^{(Version 4)} , ellet työskentele IPv6 - ympäristössä, jolloin valitsisit version 6 . Kirjoita nyt IP-osoite, jolle pääsy sallitaan, ja kirjoita verkkomaski, joka vastaa kaikkia tarkasteltavia bittejä.

Esimerkiksi koska IP-osoitteeni on 192.168.1.233, koko IP-osoite on tutkittava ja siksi tarvitsen verkkomaskin 255.255.255.255. Jos haluaisin, että sääntö koskee kaikkia koko aliverkossa, käyttäisin maskia 255.255.255.0. Tämä tarkoittaisi, että kuka tahansa, jolla on 192.168.1.x-osoite, olisi sallittu. En tietenkään halua tehdä sitä, mutta toivottavasti se selittää kuinka verkkomaskia käytetään. Huomaa, että verkon peite ei ole verkkosi aliverkon peite. Verkkomaski kertoo yksinkertaisesti, mitä bittejä Ciscon^(Cisco) tulee tarkastella sääntöä soveltaessaan.

Napsauta Käytä^(Apply) , ja sinulla pitäisi nyt olla uusi käyttöoikeusprofiili ja sääntö! Napsauta^(Click) vasemmanpuoleisessa valikossa Profiilisäännöt ja sinun pitäisi nähdä uusi sääntö yläreunassa .^{( Profile Rules)}

Nyt meidän on lisättävä toinen sääntömme. Voit tehdä tämän napsauttamalla Lisää^(Add) - painiketta, joka näkyy Profiilisääntötaulukon^{(Profile Rule Table)} alla .

Toinen sääntö on todella yksinkertainen. Varmista ensin, että pääsyprofiilin nimi^{(Access Profile Name)} on sama, jonka juuri loimme. Nyt annamme säännölle prioriteetin 2 ^(Action)ja⁽²⁾ valitsemme toiminnolle Kieltä^(Deny) . Varmista, että kaikki muu on asetettu kohtaan Kaikki^(All) . Tämä tarkoittaa, että kaikki IP-osoitteet estetään. Koska ensimmäinen sääntömme kuitenkin käsitellään ensin, tämä IP-osoite sallitaan. Kun sääntö on sovitettu, muut säännöt ohitetaan. Jos IP-osoite ei vastaa ensimmäistä sääntöä, se siirtyy tähän toiseen sääntöön, jossa se vastaa ja estetään. Kiva!

Lopuksi meidän on aktivoitava uusi käyttöprofiili. Voit tehdä tämän palaamalla käyttöprofiileihin^{( Access Profiles)} ja valitsemalla uuden profiilin yläreunassa olevasta pudotusvalikosta ( Active Access Profile -kohdan vieressä ). Varmista, että napsautat Käytä^(Apply) , niin sinun pitäisi olla valmis.

Muista^(Remember) , että kokoonpano on tällä hetkellä tallennettu vain käynnissä olevaan kokoonpanoon. Varmista, että siirryt kohtaan Hallinta^{(Administration)} – Tiedostonhallinta^{( File Management)} – Copy/Save Configuration kopioidaksesi käynnissä olevan konfiguraation käynnistyskonfiguraatioon.

Jos haluat sallia useamman kuin yhden IP-osoitteen pääsyn kytkimeen, luo toinen sääntö, kuten ensimmäinen, mutta aseta sille korkeampi prioriteetti. Sinun on myös varmistettava, että muutat Kieltosäännön^(Deny) prioriteettia niin, että sillä on korkeampi prioriteetti kuin kaikilla lupasäännöillä^(Permit) . Jos kohtaat ongelmia tai et saa tätä toimimaan, kirjoita rohkeasti kommentteihin, niin yritän auttaa. Nauttia!

Restrict Access to Cisco Switch Based on IP Address

For added security, I wanted tо restrict access to my Ciѕco SG300-10 switch to only one IP address in my local subnet. After initially configuring my new switch a few weeks backs, I wasn’t happy knowing that anyone connected to my LAN or WLAN could get to the login page by just knowing the IP address for the device.

I ended up sifting through the 500-page manual to figure out how to go about blocking all IP addresses except the ones that I wanted for management access. After a lot of testing and several posts to the Cisco forums, I figured it out! In this article, I’ll walk you through the steps to configure access profiles and profiles rules for your Cisco switch.

Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. 

Create Management Access Profile & Rules

To get started, log into the web interface for your switch and expand Security and then expand Mgmt Access Method. Go ahead and click on Access Profiles.

The first thing we need to do is create a new access profile. By default, you should only see the Console Only profile. Also, you’ll notice at the top that None is selected next to Active Access Profile. Once we have created our profile and rules, we’ll have to select the name of the profile here in order to activate it.

Now click on the Add button and this should bring up a dialog box where you’ll be able to name your new profile and also add the first rule for the new profile.

At the top, give your new profile a name. All the other fields relate to the first rule that will be added to the new profile. For Rule Priority, you have to choose a value between 1 and 65535. The way Cisco works is that the rule with the lowest priority is applied first. If it doesn’t match, then the next rule with the lowest priority is applied.

In my example, I chose a priority of 1 because I want this rule to be processed first. This rule will be the one that allows the IP address that I want to give access to the switch. Under Management Method, you can either choose a specific service or choose all, which will restrict everything. In my case, I chose all because I only have SSH and HTTPS enabled anyway and I manage both services from one computer.

Note that if you want to secure only SSH and HTTPS, then you’ll need to create two separate rules. The Action can only be Deny or Permit. For my example, I chose Permit since this will be for the allowed IP. Next, you can apply the rule to a specific interface on the device or you can just leave it at All so that it applies to all ports.

Under Applies to Source IP Address, we have to choose User Defined here and then choose Version 4, unless you are working in an IPv6 environment in which case you would choose Version 6. Now type in the IP address that will be allowed access and type in a network mask that matches all the relevant bits to be looked at.

For example, since my IP address is 192.168.1.233, the whole IP address needs to be examined and hence I need a network mask of 255.255.255.255. If I wanted the rule to apply to everyone on the entire subnet, then I would use a mask of 255.255.255.0. That would mean anyone with a 192.168.1.x address would be permitted. That’s not what I want to do, obviously, but hopefully that explains how to use the network mask. Note that the network mask is not the subnet mask for your network. The network mask simply says which bits Cisco should look at when applying the rule.

Click Apply and you should now have a new access profile and rule! Click on Profile Rules in the left-hand menu and you should see the new rule listed at the top.

Now we need to add our second rule. To do this, click on the Add button shown under the Profile Rule Table.

The second rule is really simple. Firstly, make sure that the Access Profile Name is the same one we just created. Now, we just give the rule a priority of 2 and choose Deny for the Action. Make sure everything else is set to All. This means that all IP addresses will be blocked. However, since our first rule will be processed first, that IP address will be permitted. Once a rule is matched, the other rules are ignored. If an IP address doesn’t match the first rule, it’ll come to this second rule, where it will match and be blocked. Nice!

Finally, we have to activate the new access profile. To do that, go back to Access Profiles and select the new profile from the drop down list at the top (next to Active Access Profile). Make sure to click Apply and you should be good to go.

Remember that the configuration is currently only saved in the running config. Make sure you go to Administration – File Management – Copy/Save Configuration to copy the running config to the startup config.

If you want to allow more than one IP address access to the switch, just create another rule like the first one, but give it a higher priority. You’ll also have to make sure that you change the priority for the Deny rule so that it has a higher priority than all of the Permit rules. If you run into any problems or can’t get this to work, feel free to post in the comments and I’ll try to help. Enjoy!

Related posts

• Kuinka löytää WiFi-tulostimesi IP-osoite Windowsissa ja Macissa

• SSH-käytön ottaminen käyttöön Cisco SG300 -kytkimille

• Staattisen IP-osoitteen asettaminen Windows 11/10:ssä

• Kuinka löydän reitittimeni IP-osoitteen?

• Staattisen IP-osoitteen määrittäminen Windows 11/10 -tietokoneelle

• Kuinka piilottaa IP-osoitteesi Androidissa

• Kuinka seurata sähköpostin alkuperäistä sijaintia sen IP-osoitteen kautta

• Määritä staattinen IP-osoite tulostimelle tai mille tahansa verkkolaitteelle

• Ota käyttöön julkisen avaimen todennus SSH:lle Cisco SG300 -kytkimissä

• Kuinka vapauttaa ja uusia IP-osoite

• Lukitun tiedoston avaaminen, kun toinen ohjelma käyttää sitä

• Kuinka löytää MAC-osoite iPhonessa (iOS) ja Android-laitteissa

• Kotiosoitteen asettaminen Google Mapsissa

• Kuinka käyttää Samsung Cloudia ja saada kaikki irti palvelusta

• Luo pikanäppäin avataksesi turvallisesti Poista laite -valintaikkunan

• HDG selittää: Mikä on omistettu IP-osoite ja pitäisikö minun hankkia sellainen?

• Kuinka korjata "Palvelimen IP-osoitetta ei löytynyt" -virhe Google Chromessa

• IP-osoiteristiriidan korjaaminen

• Kuinka muuntaa dynaamisen levyn peruslevyksi

• Lisää yhteystieto manuaalisesti Windows Liven sähköpostiosoitekirjaan