For at øge sikkerheden ønskede jeg at begrænse adgangen til min Cisco SG300-10- switch til kun én IP-adresse i mit lokale undernet. Efter at have konfigureret min nye switch for^{(initially configuring my new switch)} et par uger siden, var jeg ikke glad for at vide, at enhver, der var tilsluttet mit LAN eller WLAN , kunne komme til login-siden ved blot at kende enhedens IP-adresse.

Jeg endte med at gennemsøge den 500 sider lange manual for at finde ud af, hvordan man blokerer alle IP-adresser undtagen dem, som jeg ønskede til administrationsadgang. Efter en masse test og adskillige indlæg til Cisco - foraene fandt jeg ud af det! I denne artikel vil jeg lede dig gennem trinene til at konfigurere adgangsprofiler og profilregler for din Cisco- switch.

Bemærk: Den følgende metode, jeg vil beskrive, giver dig også mulighed for at begrænse adgangen til et hvilket som helst antal aktiverede tjenester på din switch. For eksempel kan du begrænse adgangen til SSH, HTTP, HTTPS, Telnet eller alle disse tjenester efter IP-adresse. ^{(Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. )}

Opret ledelsesadgangsprofil^{(Create Management Access Profile)} og regler^(Rules)

For at komme i gang skal du logge ind på webgrænsefladen til din switch og udvide Sikkerhed^(Security) og derefter udvide Mgmt Access Method . Gå videre og klik på Adgang til profiler^{(Access Profiles)} .

Det første, vi skal gøre, er at oprette en ny adgangsprofil. Som standard bør du kun se profilen Kun konsol . ^{(Console Only)}Du vil også bemærke øverst, at Ingen^(None) er valgt ud for Aktiv adgangsprofil^{( Active Access Profile)} . Når vi har oprettet vores profil og regler, skal vi vælge navnet på profilen her for at aktivere den.

Klik nu på knappen Tilføj^(Add) , og dette skulle vise en dialogboks, hvor du vil være i stand til at navngive din nye profil og også tilføje den første regel for den nye profil.

Giv din nye profil et navn øverst. Alle de andre felter vedrører den første regel, der vil blive tilføjet til den nye profil. For Regelprioritet^{( Rule Priority)} skal du vælge en værdi mellem 1 og 65535. Den måde Cisco fungerer på er, at reglen med den laveste prioritet anvendes først. Hvis det ikke stemmer overens, anvendes den næste regel med den laveste prioritet.

I mit eksempel valgte jeg en prioritet på 1 , fordi jeg ønsker, at denne regel skal behandles først. Denne regel vil være den, der tillader den IP-adresse, som jeg vil give adgang til switchen. Under Management Method , kan du enten vælge en specifik service eller vælge alle, hvilket vil begrænse alt. I mit tilfælde valgte jeg alt, fordi jeg alligevel kun har SSH og HTTPS aktiveret, og jeg administrerer begge tjenester fra én computer.

Bemærk, at hvis du kun vil sikre SSH og HTTPS , skal du oprette to separate regler. Handlingen kan kun være ^(Deny)Afvis^(Action) eller Tillad^(Permit) . For mit eksempel valgte jeg Tilladelse^(Permit) , da dette vil være for den tilladte IP. Dernæst^(Next) kan du anvende reglen til en specifik grænseflade på enheden, eller du kan bare lade den blive stående^(All) , så den gælder for alle porte.

Under Gælder for kilde-IP-adresse^{(Applies to Source IP Address)} skal vi vælge Brugerdefineret^{( User Defined)} her og derefter vælge Version 4 , medmindre du arbejder i et IPv6 - miljø, i hvilket tilfælde du ville vælge Version 6 . Indtast nu den IP-adresse, der vil få adgang, og indtast en netværksmaske, der matcher alle de relevante bits, der skal ses på.

For eksempel, da min IP-adresse er 192.168.1.233, skal hele IP-adressen undersøges, og jeg har derfor brug for en netværksmaske på 255.255.255.255. Hvis jeg ønskede, at reglen skulle gælde for alle på hele undernettet, ville jeg bruge en maske på 255.255.255.0. Det ville betyde, at alle med en 192.168.1.x-adresse ville være tilladt. Det er selvfølgelig ikke det, jeg vil gøre, men det forklarer forhåbentlig, hvordan man bruger netværksmasken. Bemærk, at netværksmasken ikke er undernetmasken for dit netværk. Netværksmasken siger blot, hvilke bits Cisco skal se på, når reglen anvendes.

Klik på Anvend^(Apply) , og du skulle nu have en ny adgangsprofil og regel! Klik^(Click) på Profilregler^{( Profile Rules)} i menuen til venstre, og du skulle se den nye regel øverst.

Nu skal vi tilføje vores anden regel. For at gøre dette skal du klikke på knappen Tilføj^(Add) under profilregeltabellen^{(Profile Rule Table)} .

Den anden regel er virkelig enkel. For det første skal du sørge for, at adgangsprofilnavnet^{(Access Profile Name)} er det samme, som vi lige har oprettet. Nu giver vi bare reglen en prioritet på 2 og vælger Afvis^(Deny) for handlingen^(Action) . Sørg for, at alt andet er indstillet til Alle^(All) . Det betyder, at alle IP-adresser vil blive blokeret. Men da vores første regel vil blive behandlet først, vil denne IP-adresse være tilladt. Når en regel er matchet, ignoreres de andre regler. Hvis en IP-adresse ikke matcher den første regel, kommer den til denne anden regel, hvor den matcher og bliver blokeret. Pæn!

Til sidst skal vi aktivere den nye adgangsprofil. For at gøre det skal du gå tilbage til Adgangsprofiler^{( Access Profiles)} og vælge den nye profil fra rullelisten øverst (ved siden af ​​Active Access Profile ). Sørg for at klikke på Anvend^(Apply) , og du burde være godt i gang.

Husk^(Remember) at konfigurationen i øjeblikket kun er gemt i den kørende konfiguration. Sørg for at gå til Administration – Filhåndtering^{( File Management)} – Copy/Save Configuration for at kopiere den kørende konfiguration til startkonfigurationen.

Hvis du vil tillade mere end én IP-adresse adgang til switchen, skal du bare oprette en anden regel som den første, men give den en højere prioritet. Du skal også sørge for, at du ændrer prioritet for Afvisningsreglen^(Deny) , så den har en højere prioritet end alle Tilladelsesreglerne^(Permit) . Hvis du støder på problemer eller ikke kan få dette til at virke, er du velkommen til at skrive i kommentarerne, så skal jeg prøve at hjælpe. God fornøjelse!

Restrict Access to Cisco Switch Based on IP Address

For added security, I wanted to restriсt access to my Cіsco SG300-10 switch to only one IP address in my local subnet. After initially configuring my new switch a few weeks backs, I wasn’t happy knowing that anyone connected to my LAN or WLAN could get to the login page by just knowing the IP address for the device.

I ended up sifting through the 500-page manual to figure out how to go about blocking all IP addresses except the ones that I wanted for management access. After a lot of testing and several posts to the Cisco forums, I figured it out! In this article, I’ll walk you through the steps to configure access profiles and profiles rules for your Cisco switch.

Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. 

Create Management Access Profile & Rules

To get started, log into the web interface for your switch and expand Security and then expand Mgmt Access Method. Go ahead and click on Access Profiles.

The first thing we need to do is create a new access profile. By default, you should only see the Console Only profile. Also, you’ll notice at the top that None is selected next to Active Access Profile. Once we have created our profile and rules, we’ll have to select the name of the profile here in order to activate it.

Now click on the Add button and this should bring up a dialog box where you’ll be able to name your new profile and also add the first rule for the new profile.

At the top, give your new profile a name. All the other fields relate to the first rule that will be added to the new profile. For Rule Priority, you have to choose a value between 1 and 65535. The way Cisco works is that the rule with the lowest priority is applied first. If it doesn’t match, then the next rule with the lowest priority is applied.

In my example, I chose a priority of 1 because I want this rule to be processed first. This rule will be the one that allows the IP address that I want to give access to the switch. Under Management Method, you can either choose a specific service or choose all, which will restrict everything. In my case, I chose all because I only have SSH and HTTPS enabled anyway and I manage both services from one computer.

Note that if you want to secure only SSH and HTTPS, then you’ll need to create two separate rules. The Action can only be Deny or Permit. For my example, I chose Permit since this will be for the allowed IP. Next, you can apply the rule to a specific interface on the device or you can just leave it at All so that it applies to all ports.

Under Applies to Source IP Address, we have to choose User Defined here and then choose Version 4, unless you are working in an IPv6 environment in which case you would choose Version 6. Now type in the IP address that will be allowed access and type in a network mask that matches all the relevant bits to be looked at.

For example, since my IP address is 192.168.1.233, the whole IP address needs to be examined and hence I need a network mask of 255.255.255.255. If I wanted the rule to apply to everyone on the entire subnet, then I would use a mask of 255.255.255.0. That would mean anyone with a 192.168.1.x address would be permitted. That’s not what I want to do, obviously, but hopefully that explains how to use the network mask. Note that the network mask is not the subnet mask for your network. The network mask simply says which bits Cisco should look at when applying the rule.

Click Apply and you should now have a new access profile and rule! Click on Profile Rules in the left-hand menu and you should see the new rule listed at the top.

Now we need to add our second rule. To do this, click on the Add button shown under the Profile Rule Table.

The second rule is really simple. Firstly, make sure that the Access Profile Name is the same one we just created. Now, we just give the rule a priority of 2 and choose Deny for the Action. Make sure everything else is set to All. This means that all IP addresses will be blocked. However, since our first rule will be processed first, that IP address will be permitted. Once a rule is matched, the other rules are ignored. If an IP address doesn’t match the first rule, it’ll come to this second rule, where it will match and be blocked. Nice!

Finally, we have to activate the new access profile. To do that, go back to Access Profiles and select the new profile from the drop down list at the top (next to Active Access Profile). Make sure to click Apply and you should be good to go.

Remember that the configuration is currently only saved in the running config. Make sure you go to Administration – File Management – Copy/Save Configuration to copy the running config to the startup config.

If you want to allow more than one IP address access to the switch, just create another rule like the first one, but give it a higher priority. You’ll also have to make sure that you change the priority for the Deny rule so that it has a higher priority than all of the Permit rules. If you run into any problems or can’t get this to work, feel free to post in the comments and I’ll try to help. Enjoy!

Related posts

• Sådan finder du IP-adressen på din WiFi-printer på Windows og Mac

• Sådan aktiverer du SSH-adgang til Cisco SG300-switche

• Sådan indstilles en statisk IP-adresse i Windows 11/10

• Hvordan finder jeg min routers IP-adresse?

• Sådan tildeler du en statisk IP-adresse til en Windows 11/10 pc

• Sådan konverteres en dynamisk disk til en grundlæggende disk

• Sådan får du adgang til Linux-partitioner i Windows

• Sådan oplader du Nintendo Switch-controllere

• Skift IP-adresse og DNS-servere ved hjælp af kommandoprompten

• HDG forklarer: Hvad er en IP-adresse, og kan den virkelig spore mig til min dør?

• Forhindre adgang til kommandoprompten i Windows

• Føj manuelt en kontakt til en Windows Live Mail-adressebog

• Sådan opdateres Raspberry Pi

• Sådan downloader du Google Chrome Offline (Standalone) Installer

• HDG forklarer: Hvad er en dedikeret IP-adresse, og skal jeg få en?

• Sådan tager du skærmbilleder på Nintendo Switch

• Sådan spores den oprindelige placering af en e-mail via dens IP-adresse

• Sådan får du adgang til og ændrer indstillingerne for din WiFi-router

• Sådan skjuler du din IP-adresse på Android

• Hvad er min Raspberry Pi's IP-adresse?