Ping vs ACL

Koulehmat

Cau,
rychly dotaz. Mam ACL pravidlo ktere zarezava komunikaci rekneme z VLAN10 na VLAN20, ale VLAN20 nijak nezamezuje pristup na VLAN10, tak ve chvili kdy zkusim z VLAN20 ping na 10 spadne mi do timeoutu protoze VLAN10 ma zakaznou komunikaci a nema jak odpovedet na reuqest. Chapu to spravne?

ekrajnak

Koulehmat ak sa pýtaš na ACL, predpokladám, že pracuješ s niečim iným ako Mikrotikom. A teda asi nemáš k dispozícii stavový filter (a odpoveď vyššie aplikovať nevieš). Ten by si mohol zapamätať tvoj ping request a následne povoliť opačným smerom odpoveď na neho. Pokým stavový filter k dispozícii nemáš, potrebuješ rozmýšľať stále o oboch smeroch.

zdeneksvarc

Ano.

Koulehmat

ekrajnak , mirek_k

Mikrouse mam jako router (ma vubec RoS ACL rules?), a ACLka nastavuju na switchy od TPlinku. Nevim jestli to z meho dotazu bylo jasne, ale samozrejmne mi nejde ciste jen o to jestli muzu zarizeni na druhe VLANe pingnout, ale zda se z te VLAN10 dostanu bez omezeni na druhou - treba kdyby na ni byl neajky virtual. Slo by to resit slozite s exception rules, ale byl bych radeji kdyby se proste dalo rict "ty na me nemuzes, ja na tebe jo". To co resim je jestli je pingnuti druheho zarizeni dostatecny test toho, ze mam ACLko spatne, nebo jestli je to ze nedostavam odpoved ocekavane chovani. Z odpovedi od zdeneksvarc bych rekl ze ne a ze si to musim overit jinak...

mirek_k

Mohlo by pomoci dropování jen packetů New.

iTomB

Koulehmat pokud mas ukoncene VLAN na mikrotiku, tak si to res tam normalne firewallem. Pocitam, ze VLAN maji jine IP.

martas

Koulehmat Firewall na Mikrotiku, VLAN20 -> VLAN10 accept pravidlo, VLAN10 -> VLAN20 deny pravidlo, a před to dát pravidlo, které povoluje již navázanou komunikaci. Takže pokud by bylo potřeba obousměrné komunikace, bude to fungovat, ale vytvoření spojení z VLAN10 do VLAN20 nepůjde.