Aus Sicherheitsgründen wollte ich den Zugriff auf meinen Cisco SG300-10- Switch auf nur eine IP-Adresse in meinem lokalen Subnetz beschränken. Nachdem ich meinen neuen Switch^{(initially configuring my new switch)} vor ein paar Wochen zum ersten Mal konfiguriert hatte, war ich nicht glücklich zu wissen, dass jeder, der mit meinem LAN oder WLAN verbunden war, auf die Anmeldeseite gelangen konnte, indem er nur die IP-Adresse des Geräts kannte.

Am Ende habe ich das 500-seitige Handbuch durchgesehen, um herauszufinden, wie ich alle IP-Adressen blockieren kann, mit Ausnahme derjenigen, die ich für den Verwaltungszugriff haben wollte. Nach vielen Tests und mehreren Beiträgen in den Cisco - Foren habe ich es herausgefunden! In diesem Artikel führe ich Sie durch die Schritte zum Konfigurieren von Zugriffsprofilen und Profilregeln für Ihren Cisco -Switch.

Hinweis: Mit der folgenden Methode, die ich beschreiben werde, können Sie auch den Zugriff auf eine beliebige Anzahl aktivierter Dienste auf Ihrem Switch einschränken. Beispielsweise können Sie den Zugriff auf SSH, HTTP, HTTPS, Telnet oder alle diese Dienste nach IP-Adresse einschränken. ^{(Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. )}

Erstellen Sie Verwaltungszugriffsprofile ^{(Create Management Access Profile)}und^(Rules) -regeln

Melden Sie sich zunächst bei der Webschnittstelle für Ihren Switch an und erweitern Sie Sicherheit^(Security) und erweitern Sie dann Mgmt Access Method . Fahren Sie fort und klicken Sie auf Zugangsprofile^{(Access Profiles)} .

Als erstes müssen wir ein neues Zugangsprofil erstellen. Standardmäßig sollten Sie nur das Profil „ Nur Konsole “ sehen. ^{(Console Only)}Außerdem werden Sie oben bemerken, dass neben Active Access Profile Keine^(None) ausgewählt ist . Nachdem wir unser Profil und unsere Regeln erstellt haben, müssen wir hier den Namen des Profils auswählen, um es zu aktivieren.

Klicken Sie nun auf die Schaltfläche Hinzufügen^(Add) und dies sollte ein Dialogfeld öffnen, in dem Sie Ihr neues Profil benennen und auch die erste Regel für das neue Profil hinzufügen können.

Geben Sie oben Ihrem neuen Profil einen Namen. Alle anderen Felder beziehen sich auf die erste Regel, die dem neuen Profil hinzugefügt wird. Für Rule Priority müssen Sie einen Wert zwischen 1 und 65535 wählen . Cisco arbeitet so, dass die Regel mit der niedrigsten Priorität zuerst angewendet wird. Wenn sie nicht übereinstimmt, wird die nächste Regel mit der niedrigsten Priorität angewendet.

In meinem Beispiel habe ich eine Priorität von 1 gewählt, weil ich möchte, dass diese Regel zuerst verarbeitet wird. Diese Regel ist diejenige, die der IP-Adresse, der ich Zugriff auf den Switch gewähren möchte, erlaubt. Unter Verwaltungsmethode^{(Management Method)} können Sie entweder einen bestimmten Dienst auswählen oder alle auswählen, wodurch alles eingeschränkt wird. In meinem Fall habe ich alle gewählt, weil ich sowieso nur SSH und HTTPS aktiviert habe und ich beide Dienste von einem Computer aus verwalte.

Beachten Sie, dass Sie zwei separate Regeln erstellen müssen , wenn Sie nur SSH und HTTPS sichern möchten . Die Aktion^(Action) kann nur Deny oder Permit sein . Für mein Beispiel habe ich Permit gewählt, da dies für die erlaubte IP gilt. Als Nächstes^(Next) können Sie die Regel auf eine bestimmte Schnittstelle auf dem Gerät anwenden oder sie einfach bei All belassen, damit sie für alle Ports gilt.

Unter Gilt für Quell-IP-Adresse^{(Applies to Source IP Address)} müssen wir hier Benutzerdefiniert^{( User Defined)} auswählen und dann Version 4 auswählen , es sei denn, Sie arbeiten in einer IPv6 -Umgebung, in diesem Fall würden Sie ^(IPv6)Version 6 wählen . Geben Sie nun die IP-Adresse ein, der der Zugriff gewährt werden soll, und geben Sie eine Netzwerkmaske ein, die mit allen relevanten zu betrachtenden Bits übereinstimmt.

Da meine IP-Adresse beispielsweise 192.168.1.233 lautet, muss die gesamte IP-Adresse untersucht werden, und daher benötige ich eine Netzwerkmaske von 255.255.255.255. Wenn ich wollte, dass die Regel für alle im gesamten Subnetz gilt, würde ich eine Maske von 255.255.255.0 verwenden. Das würde bedeuten, dass jeder mit einer 192.168.1.x-Adresse zugelassen wäre. Das ist natürlich nicht das, was ich tun möchte, aber hoffentlich erklärt das, wie man die Netzwerkmaske verwendet. Beachten Sie, dass die Netzwerkmaske nicht die Subnetzmaske für Ihr Netzwerk ist. Die Netzwerkmaske sagt einfach, welche Bits Cisco beim Anwenden der Regel betrachten soll.

Klicken Sie auf Übernehmen^(Apply) und Sie sollten jetzt ein neues Zugangsprofil und eine neue Regel haben! Klicken Sie^(Click) im linken Menü auf Profilregeln und Sie sollten die neue Regel oben aufgelistet sehen.^{( Profile Rules)}

Jetzt müssen wir unsere zweite Regel hinzufügen. Klicken Sie dazu auf die unter der Profilregeltabelle^{(Profile Rule Table)} angezeigte Schaltfläche Hinzufügen^(Add) .

Die zweite Regel ist wirklich einfach. Stellen Sie zunächst sicher, dass der Zugriffsprofilname^{(Access Profile Name)} derselbe ist, den wir gerade erstellt haben. Jetzt geben wir der Regel einfach eine Priorität von 2 und wählen Deny für die Aktion^(Action) . Stellen Sie sicher, dass alles andere auf All eingestellt ist . Das bedeutet, dass alle IP-Adressen gesperrt werden. Da jedoch unsere erste Regel zuerst verarbeitet wird, wird diese IP-Adresse zugelassen. Sobald eine Regel zutrifft, werden die anderen Regeln ignoriert. Wenn eine IP-Adresse nicht mit der ersten Regel übereinstimmt, kommt sie zu dieser zweiten Regel, wo sie übereinstimmt und blockiert wird. Hübsch!

Abschließend müssen wir das neue Zugangsprofil aktivieren. Gehen Sie dazu zurück zu Zugriffsprofile^{( Access Profiles)} und wählen Sie das neue Profil aus der Dropdown-Liste oben (neben Active Access Profile ). Stellen Sie sicher, dass Sie auf Übernehmen klicken, und^(Apply) Sie sollten bereit sein.

Denken Sie daran^(Remember) , dass die Konfiguration derzeit nur in der laufenden Konfiguration gespeichert wird. Stellen Sie sicher, dass Sie zu Administration – Dateiverwaltung^{( File Management)} – Copy/Save Configuration gehen, um die laufende Konfiguration in die Startkonfiguration zu kopieren.

Wenn Sie mehr als einer IP-Adresse den Zugriff auf den Switch erlauben möchten, erstellen Sie einfach eine weitere Regel wie die erste, aber geben Sie ihr eine höhere Priorität. Sie müssen auch sicherstellen, dass Sie die Priorität für die Deny- Regel so ändern, dass sie eine höhere Priorität als alle Permit- Regeln hat. Wenn Sie auf Probleme stoßen oder dies nicht zum Laufen bringen können, können Sie dies gerne in den Kommentaren posten, und ich werde versuchen, Ihnen zu helfen. Genießen!

Restrict Access to Cisco Switch Based on IP Address

For added security, I wanted to restrict access to my Cisco SG300-10 switch to only one IP address in my local subnet. Αfter initially configuring my new switch a few weeks backs, I wasn’t happy knowing that anyone connected to my LAN or WLAN could get to the login page by just knowing the IP address for the device.

I ended up sifting through the 500-page manual to figure out how to go about blocking all IP addresses except the ones that I wanted for management access. After a lot of testing and several posts to the Cisco forums, I figured it out! In this article, I’ll walk you through the steps to configure access profiles and profiles rules for your Cisco switch.

Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. 

Create Management Access Profile & Rules

To get started, log into the web interface for your switch and expand Security and then expand Mgmt Access Method. Go ahead and click on Access Profiles.

The first thing we need to do is create a new access profile. By default, you should only see the Console Only profile. Also, you’ll notice at the top that None is selected next to Active Access Profile. Once we have created our profile and rules, we’ll have to select the name of the profile here in order to activate it.

Now click on the Add button and this should bring up a dialog box where you’ll be able to name your new profile and also add the first rule for the new profile.

At the top, give your new profile a name. All the other fields relate to the first rule that will be added to the new profile. For Rule Priority, you have to choose a value between 1 and 65535. The way Cisco works is that the rule with the lowest priority is applied first. If it doesn’t match, then the next rule with the lowest priority is applied.

In my example, I chose a priority of 1 because I want this rule to be processed first. This rule will be the one that allows the IP address that I want to give access to the switch. Under Management Method, you can either choose a specific service or choose all, which will restrict everything. In my case, I chose all because I only have SSH and HTTPS enabled anyway and I manage both services from one computer.

Note that if you want to secure only SSH and HTTPS, then you’ll need to create two separate rules. The Action can only be Deny or Permit. For my example, I chose Permit since this will be for the allowed IP. Next, you can apply the rule to a specific interface on the device or you can just leave it at All so that it applies to all ports.

Under Applies to Source IP Address, we have to choose User Defined here and then choose Version 4, unless you are working in an IPv6 environment in which case you would choose Version 6. Now type in the IP address that will be allowed access and type in a network mask that matches all the relevant bits to be looked at.

For example, since my IP address is 192.168.1.233, the whole IP address needs to be examined and hence I need a network mask of 255.255.255.255. If I wanted the rule to apply to everyone on the entire subnet, then I would use a mask of 255.255.255.0. That would mean anyone with a 192.168.1.x address would be permitted. That’s not what I want to do, obviously, but hopefully that explains how to use the network mask. Note that the network mask is not the subnet mask for your network. The network mask simply says which bits Cisco should look at when applying the rule.

Click Apply and you should now have a new access profile and rule! Click on Profile Rules in the left-hand menu and you should see the new rule listed at the top.

Now we need to add our second rule. To do this, click on the Add button shown under the Profile Rule Table.

The second rule is really simple. Firstly, make sure that the Access Profile Name is the same one we just created. Now, we just give the rule a priority of 2 and choose Deny for the Action. Make sure everything else is set to All. This means that all IP addresses will be blocked. However, since our first rule will be processed first, that IP address will be permitted. Once a rule is matched, the other rules are ignored. If an IP address doesn’t match the first rule, it’ll come to this second rule, where it will match and be blocked. Nice!

Finally, we have to activate the new access profile. To do that, go back to Access Profiles and select the new profile from the drop down list at the top (next to Active Access Profile). Make sure to click Apply and you should be good to go.

Remember that the configuration is currently only saved in the running config. Make sure you go to Administration – File Management – Copy/Save Configuration to copy the running config to the startup config.

If you want to allow more than one IP address access to the switch, just create another rule like the first one, but give it a higher priority. You’ll also have to make sure that you change the priority for the Deny rule so that it has a higher priority than all of the Permit rules. If you run into any problems or can’t get this to work, feel free to post in the comments and I’ll try to help. Enjoy!

Related posts

• So finden Sie die IP-Adresse Ihres WLAN-Druckers unter Windows und Mac

• So aktivieren Sie den SSH-Zugriff für Cisco SG300-Switches

• So legen Sie eine statische IP-Adresse in Windows 11/10 fest

• Wie finde ich die IP-Adresse meines Routers?

• So weisen Sie einem Windows 11/10-PC eine statische IP-Adresse zu

• So öffnen Sie eine gesperrte Datei, wenn sie von einem anderen Programm verwendet wird

• HDG erklärt: Was ist eine dedizierte IP-Adresse und sollte ich eine bekommen?

• So finden Sie die IP-Adresse eines Wireless Access Points

• Was ist 192.168.0.1 und warum ist es die Standard-IP-Adresse für die meisten Router?

• So greifen Sie auf die Samsung Cloud zu und holen das Beste aus dem Dienst heraus

• Zugriff auf die Eingabeaufforderung in Windows verhindern

• So laden Sie das Offline-Installationsprogramm für Google Chrome (Standalone) herunter

• So geben Sie eine IP-Adresse frei und erneuern sie

• So verbinden Sie einen Nintendo Switch mit einem PC

• Erstellen Sie eine Tastenkombination für den Zugriff auf den Dialog „Hardware sicher entfernen“.

• So machen Sie Screenshots auf Nintendo Switch

• So beheben Sie einen IP-Adresskonflikt

• So konvertieren Sie einen dynamischen Datenträger in einen Basisdatenträger

• So greifen Sie auf Ihre WLAN-Router-Einstellungen zu und ändern sie

• So laden Sie Nintendo Switch-Controller auf