16. maj 2003 - 20:03Der er
5 kommentarer og 1 løsning
Få Cisco/IOS ACL til at (silent) droppe pakker
Hej.. Jeg har i min Cisco router (IOS) nogle ACL'er til ingående traffik. Problemet er at når man portscanner den (udefra) med NMAP så får man "Filtered" på alle de porte som min ACL Deny'er... jeg ville meget hellere ha at NMAP slet ikke kunne se at de svarede på de pågældende porte.
Kan man gøre et eller andet smart ??
(jeg har overvejet bare at lukke for udgående ICMP, da den vel sender en ICMP msg. tilbage om at porten er filtreret... men jeg ville nu altså stadig gerne kunne pinge box'en osv..)
I dette særtema ser vi på, hvordan cloud og AI bliver fundamentet for virksomhedernes digitale forretning, og hvordan de nye muligheder for automatisering og forretningsværdi kan udnyttes uden at miste overblik, sikkerhed og menneskelig kontrol.
Du kan lave følgende access-liste som udgående på dit "outside"-interface: access-list 100 permit icmp any any echo access-list 100 permit icmp any any echo-reply access-list 100 deny icmp any any access-list 100 permit ip any any (eller hvad du nu har i forvejen).
Det tillader dig at pinge og blive pinget, og du vil stadig kunne få den håndfuld icmp-typer, der har værdi.
Hmm, efter at have checket lidt nærmere tror jeg at icmp unreachable pakkerne går udenom access lister, på samme måde, som du heller ikke kan styre arp pakker. Prøv at skrive "no ip unreachables" på dit interface. Jeg er ikke sikker på, hvilken hardware og IOS det virker på og jeg er heller ikke helt sikker på, om det skal på dit dialer interface eller dit atm-interface. Jeg vil skyde på, at det skal på dialer-interfacet, da atm-interfacet formodentlig ikke betragter pakken helt oppe på ip niveau.
hmm, nu har jeg prøvet at sætte "no ip unreachables" både på dialer og atm interface. Og jeg får desværre stadig "filtered" ved NMAP scan. Så den er åbenbart total ligeglad med at jeg har bedt den om ikke at sende unreachables....
Har du prøvet at sniffe på din nmap maskine, for at se, om det forandrer de icmp-pakker, du modtager?
Synes godt om
Ny brugerNybegynder
Din løsning...
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
