För ökad säkerhet ville jag begränsa åtkomsten till min Cisco SG300-10- switch till endast en IP-adress i mitt lokala subnät. Efter att ha konfigurerat min nya switch för^{(initially configuring my new switch)} några veckor sedan, var jag inte nöjd med att veta att någon som var ansluten till mitt LAN eller WLAN kunde komma till inloggningssidan genom att bara veta enhetens IP-adress.

Det slutade med att jag sållade igenom manualen på 500 sidor för att ta reda på hur jag skulle gå tillväga för att blockera alla IP-adresser utom de jag ville ha för åtkomst till ledningen. Efter mycket testande och flera inlägg på Cisco- forumen kom jag på det! I den här artikeln går jag igenom stegen för att konfigurera åtkomstprofiler och profilregler för din Cisco- switch.

Obs: Följande metod jag ska beskriva låter dig också begränsa åtkomsten till valfritt antal aktiverade tjänster på din switch. Du kan till exempel begränsa åtkomsten till SSH, HTTP, HTTPS, Telnet eller alla dessa tjänster efter IP-adress. ^{(Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. )}

Skapa hanteringsåtkomstprofil^{(Create Management Access Profile)} och regler^(Rules)

För att komma igång, logga in på webbgränssnittet för din switch och expandera Säkerhet^(Security) och expandera sedan Mgmt Access Method . Gå vidare och klicka på Åtkomstprofiler^{(Access Profiles)} .

Det första vi behöver göra är att skapa en ny åtkomstprofil. Som standard bör du bara se profilen Endast konsol . ^{(Console Only)}Du kommer också att märka högst upp att Ingen^(None) är markerad bredvid Profil för aktiv åtkomst^{( Active Access Profile)} . När vi har skapat vår profil och våra regler måste vi välja namnet på profilen här för att aktivera den.

Klicka nu på knappen Lägg till^(Add) och detta bör ta upp en dialogruta där du kan namnge din nya profil och även lägga till den första regeln för den nya profilen.

Ge din nya profil ett namn högst upp. Alla andra fält hänför sig till den första regeln som kommer att läggas till i den nya profilen. För Regelprioritet^{( Rule Priority)} måste du välja ett värde mellan 1 och 65535. Ciscos^(Cisco) sätt att arbeta är att regeln med lägst prioritet tillämpas först. Om det inte stämmer överens tillämpas nästa regel med lägst prioritet.

I mitt exempel valde jag prioritet 1 eftersom jag vill att denna regel ska behandlas först. Denna regel kommer att vara den som tillåter IP-adressen som jag vill ge åtkomst till switchen. Under Hanteringsmetod^{(Management Method)} kan du antingen välja en specifik tjänst eller välja alla, vilket kommer att begränsa allt. I mitt fall valde jag allt eftersom jag ändå bara har SSH och HTTPS aktiverat och jag hanterar båda tjänsterna från en dator.

Observera att om du bara vill säkra SSH och HTTPS måste du skapa två separata regler. Åtgärden kan endast vara Neka^(Deny) eller Tillåta ^(Action). ^(Permit)Som mitt exempel valde jag Permit eftersom detta kommer att vara för den tillåtna IP-adressen. Därefter^(Next) kan du tillämpa regeln på ett specifikt gränssnitt på enheten eller så kan du bara lämna den alls^(All) så att den gäller för alla portar.

Under Gäller källans IP-adress^{(Applies to Source IP Address)} måste vi välja Användardefinierad^{( User Defined)} här och sedan välja Version 4 , såvida du inte arbetar i en IPv6- miljö i vilket fall du skulle välja Version 6 . Skriv nu in IP-adressen som kommer att tillåtas åtkomst och skriv in en nätverksmask som matchar alla relevanta bitar som ska tittas på.

Till exempel, eftersom min IP-adress är 192.168.1.233, måste hela IP-adressen undersökas och därför behöver jag en nätverksmask på 255.255.255.255. Om jag ville att regeln skulle gälla för alla på hela undernätet skulle jag använda en mask på 255.255.255.0. Det skulle innebära att alla med en 192.168.1.x-adress skulle tillåtas. Det är naturligtvis inte det jag vill göra, men förhoppningsvis förklarar det hur man använder nätverksmasken. Observera att nätverksmasken inte är subnätmasken för ditt nätverk. Nätverksmasken säger helt enkelt vilka bitar Cisco ska titta på när regeln tillämpas.

Klicka på Använd^(Apply) och du bör nu ha en ny åtkomstprofil och regel! Klicka^(Click) på Profilregler^{( Profile Rules)} i menyn till vänster och du bör se den nya regeln listad överst.

Nu måste vi lägga till vår andra regel. För att göra detta klickar du på knappen Lägg till^(Add) som visas under profilregeltabellen^{(Profile Rule Table)} .

Den andra regeln är väldigt enkel. Se först till att namnet på åtkomstprofilen^{(Access Profile Name)} är detsamma som vi nyss skapade. Nu ger vi bara regeln prioritet 2 och väljer Neka^(Deny) för åtgärden^(Action) . Se till att allt annat är inställt på Alla^(All) . Det betyder att alla IP-adresser kommer att blockeras. Men eftersom vår första regel kommer att behandlas först, kommer den IP-adressen att tillåtas. När en regel har matchats ignoreras de andra reglerna. Om en IP-adress inte matchar den första regeln kommer den till denna andra regel, där den matchar och blockeras. Trevlig!

Slutligen måste vi aktivera den nya åtkomstprofilen. För att göra det, gå tillbaka till Access Profiler^{( Access Profiles)} och välj den nya profilen från rullgardinsmenyn högst upp (bredvid Active Access Profile ). Se till att klicka på Apply och du bör vara igång.

Kom ihåg^(Remember) att konfigurationen för närvarande endast sparas i den pågående konfigurationen. Se till att du går till Administration – Filhantering^{( File Management)} – Copy/Save Configuration för att kopiera den körande konfigurationen till startkonfigurationen.

Om du vill tillåta mer än en IP-adress åtkomst till switchen, skapa bara en annan regel som den första, men ge den högre prioritet. Du måste också se till att du ändrar prioritet för Neka-^(Deny) regeln så att den har högre prioritet än alla Permit- regler. Om du stöter på några problem eller inte kan få det här att fungera, skriv gärna i kommentarerna så ska jag försöka hjälpa till. Njut av!

Restrict Access to Cisco Switch Based on IP Address

For added security, I wanted to restrict access to my Cisco SG300-10 switch to only оne IP аddress in my local subnet. After initially configuring my new switch a few weeks backs, I wasn’t happy knowing that anyone connected to my LAN or WLAN could get to the login page by just knowing the IP address for the device.

I ended up sifting through the 500-page manual to figure out how to go about blocking all IP addresses except the ones that I wanted for management access. After a lot of testing and several posts to the Cisco forums, I figured it out! In this article, I’ll walk you through the steps to configure access profiles and profiles rules for your Cisco switch.

Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. 

Create Management Access Profile & Rules

To get started, log into the web interface for your switch and expand Security and then expand Mgmt Access Method. Go ahead and click on Access Profiles.

The first thing we need to do is create a new access profile. By default, you should only see the Console Only profile. Also, you’ll notice at the top that None is selected next to Active Access Profile. Once we have created our profile and rules, we’ll have to select the name of the profile here in order to activate it.

Now click on the Add button and this should bring up a dialog box where you’ll be able to name your new profile and also add the first rule for the new profile.

At the top, give your new profile a name. All the other fields relate to the first rule that will be added to the new profile. For Rule Priority, you have to choose a value between 1 and 65535. The way Cisco works is that the rule with the lowest priority is applied first. If it doesn’t match, then the next rule with the lowest priority is applied.

In my example, I chose a priority of 1 because I want this rule to be processed first. This rule will be the one that allows the IP address that I want to give access to the switch. Under Management Method, you can either choose a specific service or choose all, which will restrict everything. In my case, I chose all because I only have SSH and HTTPS enabled anyway and I manage both services from one computer.

Note that if you want to secure only SSH and HTTPS, then you’ll need to create two separate rules. The Action can only be Deny or Permit. For my example, I chose Permit since this will be for the allowed IP. Next, you can apply the rule to a specific interface on the device or you can just leave it at All so that it applies to all ports.

Under Applies to Source IP Address, we have to choose User Defined here and then choose Version 4, unless you are working in an IPv6 environment in which case you would choose Version 6. Now type in the IP address that will be allowed access and type in a network mask that matches all the relevant bits to be looked at.

For example, since my IP address is 192.168.1.233, the whole IP address needs to be examined and hence I need a network mask of 255.255.255.255. If I wanted the rule to apply to everyone on the entire subnet, then I would use a mask of 255.255.255.0. That would mean anyone with a 192.168.1.x address would be permitted. That’s not what I want to do, obviously, but hopefully that explains how to use the network mask. Note that the network mask is not the subnet mask for your network. The network mask simply says which bits Cisco should look at when applying the rule.

Click Apply and you should now have a new access profile and rule! Click on Profile Rules in the left-hand menu and you should see the new rule listed at the top.

Now we need to add our second rule. To do this, click on the Add button shown under the Profile Rule Table.

The second rule is really simple. Firstly, make sure that the Access Profile Name is the same one we just created. Now, we just give the rule a priority of 2 and choose Deny for the Action. Make sure everything else is set to All. This means that all IP addresses will be blocked. However, since our first rule will be processed first, that IP address will be permitted. Once a rule is matched, the other rules are ignored. If an IP address doesn’t match the first rule, it’ll come to this second rule, where it will match and be blocked. Nice!

Finally, we have to activate the new access profile. To do that, go back to Access Profiles and select the new profile from the drop down list at the top (next to Active Access Profile). Make sure to click Apply and you should be good to go.

Remember that the configuration is currently only saved in the running config. Make sure you go to Administration – File Management – Copy/Save Configuration to copy the running config to the startup config.

If you want to allow more than one IP address access to the switch, just create another rule like the first one, but give it a higher priority. You’ll also have to make sure that you change the priority for the Deny rule so that it has a higher priority than all of the Permit rules. If you run into any problems or can’t get this to work, feel free to post in the comments and I’ll try to help. Enjoy!

Related posts

• Hur man hittar IP-adressen för din WiFi-skrivare på Windows och Mac

• Hur man aktiverar SSH-åtkomst för Cisco SG300-switchar

• Hur man ställer in en statisk IP-adress i Windows 11/10

• Hur hittar jag min routers IP-adress?

• Hur man tilldelar en statisk IP-adress till en Windows 11/10-dator

• Så här ändrar du din IP-adress i Windows 10 (och varför du vill)

• Förhindra åtkomst till kommandotolken i Windows

• Så här hittar du routerns IP-adress i Windows 10 - IP-adresssökning

• Hur man släpper och förnyar en IP-adress

• Så här åtgärdar du felet "Server IP-adress kunde inte hittas" i Google Chrome

• Hur man bygger din egen bärbara dator

• Hur man kommer åt Linux-partitioner i Windows

• Hur man laddar ner Google Chrome Offline (fristående) installationsprogram

• 8 av de bästa tekniska idéerna för att klara av självisolering

• Router vs Switch vs Hub vs Modem vs Access Point vs Gateway

• Hur du döljer din IP-adress på Android

• Så här ställer du in din hemadress i Google Maps

• Hur man åtgärdar IP-adresskonflikt

• Hur man spårar den ursprungliga platsen för ett e-postmeddelande via dess IP-adress

• Hur du kommer åt och ändrar din WiFi-routerinställningar