Vlan ACL (VACL)

VLAN Access-List

(VACL)

 

 

 

Présentation


Comme je l’ai répété pleiiiiiins de fois :

1 Vlan = 1 Plage d’adresse réseau !

Ca c’est pour la partie Design. Mais comment s’assurer que votre Vlan supporte uniquement le réseau que vous avez défini ?

Imaginez que moi et mon pote on arrive sur votre réseau et qu’on a envie de se faire un petit Counter-stike en local 🙂 on a juste à se mettre sur un switch, faire en sorte d’être dans le même Vlan, choisir une plage d’adresse réseau au hasard et le tour est joué 😉

Vous ne pouvez pas nous bloquer avec des ACL sur l’interface VLAN car on va jamais interrogée, on ne fait pas partie du même réseau et on n’a pas besoin de sortir car on veut seulement communiquer entre nous. Donc on fait comment ??

On met en place des VACL !!!!!

Les VACL vont nous permettre de faire du filtrage au niveau 2.

 

Objectif


– Filtrer les flux interne au Vlan

 

Pourquoi ?


– 1 Vlan = 1 Subnet
– Les ACL appliqué sur les interfaces Vlans ne peuvent pas filtrer les flux interne à un Vlan

 

A quel endroit appliquer mes VACL ?


– Sur tout les Switchs de niveau 2 et 3 qui supporte le Vlan Concerné

 

 

Configuration


 

Etape 1 : Créer une ACL


(Voir l’article ACL)

 

Etape 2 : Créer une Class-Map


Switch(config)# vlan access-map [ map-name ] [ Numéro de séquence ]

map-name = Nom de l’access-map, à vous de trouvez !
Numéro de séquence = Comme pour une ACL, notre access-map va avoir un numéro de séquence.

Pour faire simple :

– Je regarde la séquence 1 = La trame ou le paquet est concerné ? Non
– Je regarde la séquence 2 = La trame ou le paquet est concerné ? Non
– Je regarde la séquence 3 = La trame ou le paquet est concerné ? Non
– Je regarde la séquence 4 = La trame ou le paquet est concerné ? Oui

J’arrête de regarder les autres séquences et je fais ce que l’access-list ou l’access-map me demande de faire.

 

Etape 3 : Appliquer l’ACL à la Class-Map


Switch(config-access-map)# match ip address [ ACL-name | ACL-number ]
Switch(config-access-map)# match mac address [ ACL-number ] 

 

Etape 4 : Choisir quoi faire de cette trame / paquet


Switch(config-access-map)# action [ drop | forward ]

Drop = Je met la trame à la poubelle
Forward = Je transmet la trame normalement

 

Etape 5 : Appliquer la Class-Map à un Vlan


 

Switch(config)# vlan filter [map-name] vlan-list [Numero de vlan]

 

Exemple


 

Le Vlan 10 porte le réseau 192.168.10.0 /24
Je veux que mon vlan ne supporte uniquement ce réseau

Switch(config)# ip access-list extended VLAN10
Switch(config-acl)# permit ip 192.168.10.0 0.0.0.255 any
Switch(config-acl)# exit

Switch(config)# vlan access-map MAP-VLAN10 10
Switch(config-access-map)# match ip address VLAN10
Switch(config-access-map)# action forward
Switch(config-access-map)# exit

Switch(config)# vlan access-map MAP-VLAN10 20
Switch(config-access-map)# action drop
Switch(config-access-map)# exit

Switch(config)# vlan filter MAP-VLAN10 vlan-list 10

 

En espérant que cet article vous as été utile ! Hésitez pas à me la faire savoir !!
Ce site possède d’autres articles réseaux, profitez en pour naviguer dans la barre de menu !

 

FingerInTheNet.com

 

Noël NICOLAS

Administrateur Réseau
10 ans d’expérience
CCNA Routing and Switching
Fondateur du site FingerInTheNet

Laisser un commentaire