Bonjour !  
 
je travaille actuellement sur un Switch cisco sur lequel je dois mettre des ACLs, mais je n'arrive pas à trouver de solutions satisfaisante.
 
L'idée est que le Switch propose une API de programmation accessible en https mais il n'est pas possible d'en restreindre l'accès autrement que par le login/password.
Nous voulons donc mettre des ACLs afin de sécuriser l'accès.
 
Nous voudrions donc autoriser TOUT le traffic quel qu'en soit sa nature et la source/destination SAUF le traffic ayant pour destination l'IP du switch et le port 443(https) qui serait restreint a une seule IP source (l'ip du serveur de management).
 
A votre avis, est-ce possible ? Si oui, comment s'y prendre ?  
 
Je ne voi pas comment organiser mes acls pour faire cela. (Surtout que je suis un peu une bille dans ce domaine ^^)
 
Merci d'avance pour vos réponses  

Salut,
 
des acl du style :
 
permit host "ip du serveur" host "ip du switch" eq 443
deny any host "ip du switch" eq 443
 
 
Tu as déjà essayé ça ?

Salut,  
 
Merci pour ta réponse !  
 
J'avais cru comprendre que les acls fonctionnaient de la manière suivante :
 
1. Recherche de correspondance (examen de chaque paquet)
2. Action (deny ou permit)
Ensuite ,
3. Si pas de correspondance, instruction suivante
4. Si aucune correspondance, l'instruction implicite est appliquée sachant qu'une instruction implicite rejette tout le trafic à la fin de chaque liste d'accès
 
Donc en toute logique, tous les autres types de trafic seraient bloqué, non ?  
Ou alors il faut rajouter un " permit any any" pour autoriser le reste du trafic et qu'il ne soit pas bloqué ? (mais auquel cas, ca n'annulerais pas les règles précédentes ? )  
 
J'avoue que je suis un peu perdu là

J'ai bossé sur les ACL dans mon réseau hier donc c'est encore frais dans ma tête, je viens de refaire le test pour ton cas à l'instant ( je suis motivé pour un vendredi à quelques minutes du week end   )
 
par exemple : je veux bloquer le bureau à distance sur les serveurs (port 3389)
 
j'ai mis comme acl sur le vlan en question
 
10 deny tcp any any eq 3389
20 permit tcp any any  
 
ça bloque bien le bureau à distance tout en laissant passer les requêtes DHCP et HTTP etc...  
 
Donc dans ton cas, je pense que tu peux appliquer  
10 permit tcp host "ip du serveur" host "ip du switch" eq 443
20 deny tcp any host "ip du switch" eq 443
30 permit tcp any any
 
Fais les tests, logiquement ça devrait être bon

Merci beaucoup pour les precisions  
 
Je n'ai malheureusement plus acces au switch pour aujourd'hui, mais je bosse demain, donc je testerais tout ça demain !  
 
Donc si je comprend bien, les protocoles sur lesquels ont ne définie aucune ACLs seront autorisés par default ?  
 
Je pensais qu'à partir du moment ou l'on en plaçait une, il fallait explicitement autoriser tout le reste (par exemple dans ce cas les paquets dhcp passent car aucune règle n'est définie sur l'udp ? )

Oui ton raisonnement est le bon, il faut que tu explicites tout le reste.
Si tu mets juste un "permit tcp any any eq 3389" tu vas autoriser le bureau à distance mais tout le reste sera rejeté.  
Il faut donc mettre en place une acl pour chaque type de requête que tu veux autoriser ou alors comme on l'a dit au dessus, tu mets un permit tcp any any à la fin de tes ACL.
 
 

Salut !  
 
Pour etre sur que tout le trafic soit bien autorisé, un permit ip any any ne serait pas plus adapté qu'un permit tcp any any ?

Si effectivement

En tout cas je te remercie ! tout fonctionne parfaitement maintenant !

Tout dépend de ce qui doit transiter sur son réseau.
En bloquant l'UDP, il bloque de fait tout ce qui l'utilise, comme par exemple les propagations et requêtes DNS, SNMP, la VoIP...
 
Rien n'empêche aussi de faire un permit tcp any any puis d'ajouter ce qu'il a besoin par la suite en UDP, sans débloquer tout l'UDP.
 
Important aussi, à voir s'il fait son drop en entrée ou en sortie

si, être explicite dans la dernière est une bonne pratique.

Il dit lui même dans le premier post : tout doit être autorisé sauf l'accès à l'admin du switch restreint au seul admin. Donc tout = ip.
(Au passage, icmp ça peut être pratique pour recevoir les messages d'erreur d'IP.)
Autorisation de l'admin vers le swtich
Refus de tout vers le switch
Autorisation de tout