Vty / Telnet på en 2500 / 2600 cicso

Du skal have endnu en Access List og lægge den ind under det Serial Interface

eks. access-list 51 deny any any

Jeg fandt noget på http://www.insecure.org/news/P55-10.txt
------------------
  !
  interface Ethernet0
  ip access-group e0-in in
  !
  ip access-list extended e0-in
  permit tcp host mgmt_ip host 192.168.0.1 eq 23

Men alså, hvordan skal det se ud, hvis jeg skal deny alt telnet, lige undetagen ipen som ethernet har ?
-----------------
  interface serial 0/0
  access-list 50 deny any any
  !
  !
  interface Ethernet0
  ip access-group e0-in in
  !
  ip access-list extended e0-in
  permit tcp host 192.168.0.10 host 192.168.0.1 eq 23

hvis det kun er telnet du skal fjerne og lade alm trafik komme igennem så skal du lave deny på port 23 som telnet bruger

okay, ja self, lidt fail af mig det er :-) 
 
!
  interface serial 0/0
  ip access-group s0-in in
  ip access-list extended s0-in
  deny tcp host 192.168.0.10 host 192.168.0.0 eq 23
  !
  !
  interface Ethernet0
  ip access-group e0-in in
  !
  ip access-list extended e0-in
  permit tcp host 192.168.0.10 host 192.168.0.1 eq 23
 
Eller hvad ? jeg er pænt meget newbie på dette område med access lister :)

Det ser meget rigtigt ud.... er du CCNA eller sådan noget....

ACP

Du er godt klar over, at med dit første oplæg med "access-class 50 in" på line vty 0 4 er det stadig kun fra din egen ip-adresse, at du kan nå den serielle port?
Du behøver altså ikke at bekymre dig for, at man kan telnette til din serielle adresse udefra internettet.
Jeg ser ikke nogen grund til at bekymre dig om at du kan telnette til det serielle interface.

ja det er jeg klar over.
Jeg ved godt det virker fint bare med den først, men jeg skal løse en opgave, hvor i man skal kunne gører overståene.
Dog virker det ikke helt, da den kører et filter efter hvad jeg kan se, alså jeg kan ikke pinge routeren mere men står svar tilbage at den ikke kan nå målet. Og nej jeg er ikke CCNA endnu :)

Din inbound access-list på s0 interfacet kommer kun i brug, når pakken kommer ind via det interface. Den er altså overflødig i dette tilfælde.
Grunden til at du kan telnette, men ikke pinge er, at der altid ligger en "deny ip any any" i bunden af en access-list.
Hvis det eneste du ønsker at begrænse fra lansiden er telnet til det serielle interface, kan den simpleste access-list se således ud (hvis dit serielle interface har adressen 192.168.1.1):
access-list 150 deny tcp any host 192.168.1.1 eq 23
access-list 150 permit ip any any
For at forhindre telnet adgang til det serielle interface fra brugere "udefra", vil din access-class på "line vty 0 4" dække, men du kan selvfølgelig også bare apply'e access-list 150 som indgående på det serielle interface.

Hva' så, Tornerose. Er du faldet i søvn?