Radi dodatne sigurnosti, želio sam ograničiti pristup svom Cisco SG300-10 prekidaču na samo jednu IP adresu u mojoj lokalnoj podmreži. Nakon što sam prije nekoliko tjedana prvobitno konfigurirao svoj novi prekidač^{(initially configuring my new switch)} , nisam bio sretan znajući da bi bilo tko spojen na moj LAN ili WLAN mogao doći do stranice za prijavu samo znajući IP adresu uređaja.

Na kraju sam pregledao priručnik od 500 stranica kako bih shvatio kako da blokiram sve IP adrese osim onih koje sam želio za pristup upravljanju. Nakon puno testiranja i nekoliko postova na Ciscovim^(Cisco) forumima, shvatio sam! U ovom članku provest ću vas kroz korake za konfiguriranje profila pristupa i pravila profila za vaš Cisco switch.

Napomena: Sljedeća metoda koju ću opisati također vam omogućuje da ograničite pristup bilo kojem broju omogućenih usluga na vašem prekidaču. Na primjer, možete ograničiti pristup SSH, HTTP, HTTPS, Telnet ili svim ovim uslugama putem IP adrese. ^{(Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. )}

Stvorite profil^{(Create Management Access Profile)} i pravila za pristup upravljanju^(Rules)

Za početak, prijavite se na web sučelje za svoj prekidač i proširite Sigurnost^(Security) , a zatim proširite Način pristupa Mgmt^{(Mgmt Access Method)} . Samo naprijed i kliknite na Pristup profilima^{(Access Profiles)} .

Prvo što trebamo učiniti je stvoriti novi pristupni profil. Prema zadanim postavkama, trebali biste vidjeti samo profil Samo konzola . ^{(Console Only)}Također, primijetit ćete pri vrhu da je uz Profil aktivnog pristupa odabrano ^{( Active Access Profile)}Ništa^(None) . Nakon što kreiramo svoj profil i pravila, morat ćemo odabrati naziv profila ovdje kako bismo ga aktivirali.

Sada kliknite na gumb Dodaj^(Add) i ovo bi trebalo otvoriti dijaloški okvir u kojem ćete moći imenovati svoj novi profil i dodati prvo pravilo za novi profil.

Na vrhu dajte naziv svom novom profilu. Sva ostala polja odnose se na prvo pravilo koje će biti dodano novom profilu. Za Prioritet pravila^{( Rule Priority)} morate odabrati vrijednost između 1 i 65535. Način na koji Cisco radi je da se prvo primjenjuje pravilo s najnižim prioritetom. Ako se ne podudara, primjenjuje se sljedeće pravilo s najnižim prioritetom.

U mom primjeru odabrao sam prioritet 1 jer želim da se ovo pravilo prvo obradi. Ovo će pravilo biti ono koje dopušta IP adresi kojoj želim dati pristup prekidaču. Pod Način upravljanja^{(Management Method)} možete odabrati određenu uslugu ili odabrati sve, što će ograničiti sve. U mom slučaju, izabrao sam sve jer ionako imam omogućene samo SSH i HTTPS i upravljam objema uslugama s jednog računala.^(HTTPS)

Imajte na umu da ako želite osigurati samo SSH i HTTPS , morat ćete stvoriti dva zasebna pravila. Radnja može biti samo ^(Action)Odbijanje^(Deny) ili Dopusti^(Permit) . Za svoj primjer, izabrao sam Dozvolu^(Permit) jer će to biti za dopušteni IP. Zatim^(Next) možete primijeniti pravilo na određeno sučelje na uređaju ili ga možete jednostavno ostaviti na Sve^(All) tako da se primjenjuje na sve portove.

U odjeljku Primjenjuje se na izvornu IP adresu^{(Applies to Source IP Address)} moramo odabrati Ovdje definirano korisnikom^{( User Defined)} , a zatim odabrati verziju 4^{(Version 4)} , osim ako ne radite u IPv6 okruženju u kojem slučaju biste odabrali verziju 6^{(Version 6)} . Sada upišite IP adresu kojoj će biti dopušten pristup i upišite mrežnu masku koja odgovara svim relevantnim bitovima koje treba pogledati.

Na primjer, budući da je moja IP adresa 192.168.1.233, potrebno je ispitati cijelu IP adresu i stoga mi je potrebna mrežna maska ​​od 255.255.255.255. Ako želim da se pravilo primjenjuje na sve u cijeloj podmreži, koristio bih masku 255.255.255.0. To bi značilo da bi bilo tko s adresom 192.168.1.x bio dopušten. To nije ono što želim učiniti, očito, ali nadamo se da to objašnjava kako koristiti mrežnu masku. Imajte na umu da mrežna maska ​​nije maska ​​podmreže za vašu mrežu. Mrežna maska ​​jednostavno govori koje bi bitove Cisco trebao gledati pri primjeni pravila.

Kliknite Primijeni^(Apply) i sada biste trebali imati novi pristupni profil i pravilo! Kliknite^(Click) na Pravila profila^{( Profile Rules)} na lijevom izborniku i trebali biste vidjeti novo pravilo navedeno na vrhu.

Sada moramo dodati naše drugo pravilo. Da biste to učinili, kliknite na gumb Dodaj^(Add) prikazan ispod Tablice pravila profila^{(Profile Rule Table)} .

Drugo pravilo je stvarno jednostavno. Prvo, provjerite je li naziv Access profila^{(Access Profile Name)} isti onaj koji smo upravo stvorili. Sada samo dajemo pravilu prioritet 2 i odabiremo Odbij^(Deny) za radnju^(Action) . Provjerite je li sve ostalo postavljeno na Sve^(All) . To znači da će sve IP adrese biti blokirane. Međutim, budući da će naše prvo pravilo biti prvo obrađeno, ta će IP adresa biti dopuštena. Nakon što se pravilo podudara, ostala pravila se zanemaruju. Ako IP adresa ne odgovara prvom pravilu, doći će do ovog drugog pravila, gdje će se podudarati i biti blokirana. Lijepo!

Konačno, moramo aktivirati novi pristupni profil. Da biste to učinili, vratite se na Profili pristupa^{( Access Profiles)} i odaberite novi profil s padajućeg popisa na vrhu (pored Active Access Profile ). Obavezno kliknite Primijeni^(Apply) i trebali biste krenuti.

Zapamtite^(Remember) da je konfiguracija trenutno spremljena samo u konfiguraciji koja radi. Provjerite jeste li otišli na Administracija^{(Administration)} – Upravljanje datotekama^{( File Management)} – Copy/Save Configuration kako biste kopirali pokrenutu konfiguraciju u konfiguraciju za pokretanje.

Ako prekidaču želite dopustiti pristup više od jedne IP adrese, samo stvorite drugo pravilo poput prvog, ali mu dajte veći prioritet. Također ćete se morati pobrinuti da promijenite prioritet za pravilo zabrane^(Deny) tako da ono ima veći prioritet od svih pravila za dopuštenje . ^(Permit)Ako naiđete na bilo kakve probleme ili ne možete ovo pokrenuti, slobodno opišite u komentarima, a ja ću pokušati pomoći. Uživati!

Restrict Access to Cisco Switch Based on IP Address

For added security, I wanted to restrict acceѕs tо my Cisco SG300-10 switch to only one IP address in my local subnet. After initially configuring my new switch a few weeks backs, I wasn’t happy knowing that anyone connected to my LAN or WLAN could get to the login page by just knowing the IP address for the device.

I ended up sifting through the 500-page manual to figure out how to go about blocking all IP addresses except the ones that I wanted for management access. After a lot of testing and several posts to the Cisco forums, I figured it out! In this article, I’ll walk you through the steps to configure access profiles and profiles rules for your Cisco switch.

Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. 

Create Management Access Profile & Rules

To get started, log into the web interface for your switch and expand Security and then expand Mgmt Access Method. Go ahead and click on Access Profiles.

The first thing we need to do is create a new access profile. By default, you should only see the Console Only profile. Also, you’ll notice at the top that None is selected next to Active Access Profile. Once we have created our profile and rules, we’ll have to select the name of the profile here in order to activate it.

Now click on the Add button and this should bring up a dialog box where you’ll be able to name your new profile and also add the first rule for the new profile.

At the top, give your new profile a name. All the other fields relate to the first rule that will be added to the new profile. For Rule Priority, you have to choose a value between 1 and 65535. The way Cisco works is that the rule with the lowest priority is applied first. If it doesn’t match, then the next rule with the lowest priority is applied.

In my example, I chose a priority of 1 because I want this rule to be processed first. This rule will be the one that allows the IP address that I want to give access to the switch. Under Management Method, you can either choose a specific service or choose all, which will restrict everything. In my case, I chose all because I only have SSH and HTTPS enabled anyway and I manage both services from one computer.

Note that if you want to secure only SSH and HTTPS, then you’ll need to create two separate rules. The Action can only be Deny or Permit. For my example, I chose Permit since this will be for the allowed IP. Next, you can apply the rule to a specific interface on the device or you can just leave it at All so that it applies to all ports.

Under Applies to Source IP Address, we have to choose User Defined here and then choose Version 4, unless you are working in an IPv6 environment in which case you would choose Version 6. Now type in the IP address that will be allowed access and type in a network mask that matches all the relevant bits to be looked at.

For example, since my IP address is 192.168.1.233, the whole IP address needs to be examined and hence I need a network mask of 255.255.255.255. If I wanted the rule to apply to everyone on the entire subnet, then I would use a mask of 255.255.255.0. That would mean anyone with a 192.168.1.x address would be permitted. That’s not what I want to do, obviously, but hopefully that explains how to use the network mask. Note that the network mask is not the subnet mask for your network. The network mask simply says which bits Cisco should look at when applying the rule.

Click Apply and you should now have a new access profile and rule! Click on Profile Rules in the left-hand menu and you should see the new rule listed at the top.

Now we need to add our second rule. To do this, click on the Add button shown under the Profile Rule Table.

The second rule is really simple. Firstly, make sure that the Access Profile Name is the same one we just created. Now, we just give the rule a priority of 2 and choose Deny for the Action. Make sure everything else is set to All. This means that all IP addresses will be blocked. However, since our first rule will be processed first, that IP address will be permitted. Once a rule is matched, the other rules are ignored. If an IP address doesn’t match the first rule, it’ll come to this second rule, where it will match and be blocked. Nice!

Finally, we have to activate the new access profile. To do that, go back to Access Profiles and select the new profile from the drop down list at the top (next to Active Access Profile). Make sure to click Apply and you should be good to go.

Remember that the configuration is currently only saved in the running config. Make sure you go to Administration – File Management – Copy/Save Configuration to copy the running config to the startup config.

If you want to allow more than one IP address access to the switch, just create another rule like the first one, but give it a higher priority. You’ll also have to make sure that you change the priority for the Deny rule so that it has a higher priority than all of the Permit rules. If you run into any problems or can’t get this to work, feel free to post in the comments and I’ll try to help. Enjoy!

Related posts

• Kako pronaći IP adresu vašeg WiFi pisača na Windowsima i Macu

• Kako omogućiti SSH pristup za Cisco SG300 prekidače

• Kako postaviti statičku IP adresu u sustavu Windows 11/10

• Kako pronaći IP adresu mog rutera?

• Kako dodijeliti statičku IP adresu računalu sa sustavom Windows 11/10

• Kako napraviti vlastito prijenosno računalo

• HDG objašnjava: Što je namjenska IP adresa i trebam li je dobiti?

• Kako napuniti Nintendo Switch kontrolere

• Kako popraviti sukob IP adresa

• Isključite kontrolu korisničkog računa (UAC) za određenu aplikaciju

• Spriječite pristup naredbenom retku u sustavu Windows

• Kako pristupiti Linux particijama u sustavu Windows

• Router vs Switch vs Hub vs Modem vs Access Point vs Gateway

• Kako pronaći IP adresu bežične pristupne točke

• Kako postaviti kućnu adresu na Google kartama

• Kako pristupiti i promijeniti postavke vašeg WiFi usmjerivača

• Kako preuzeti izvanmrežni (samostalni) instalacijski program za Google Chrome

• Što je 192.168.0.1 i zašto je to zadana IP adresa za većinu usmjerivača?

• Instaliranje dodataka GIMP: Vodič s uputama

• Kako osloboditi i obnoviti IP adresu