ACL y VLAN

[Franco Anorga]

Hola,

estoy probando un escenario en packet tracer donde tengo un switch 3560 y varios 2960 conectados al 3560. Hice conexiones troncales entre ellos, cree varias vlans, y configure vtp server en el 3560.

Configure los puertos de cada switch con sus vlans correspondientes. Tengo conexion entre los host de cada vlans y entre vlans. Todo perfecto hasta aca.

Ahora, quiero filtrar el trafico entre algunas vlans usando acl, pero no logro hacer que funcione. Les paso un ejemplo para ver que estoy haciendo mal:

access-list 120 deny ip 172.20.14.0 0.0.0.128 172.20.15.0 0.0.0.128

access-list 120 permit ip any any

interface vlan 20

ip access-group 120 in

lo que quiero hacer es filtrar el trafico de la red 172.20.14.0 a la 172.20.15.0

despues que la aplico sigo teniendo ping a esa red y a las demas.

cualquier ayudita, se lo agradezco

saludos

[hectsanc]

Hola Franco

Me parece que el problema lo tienes en el ACL.  Supongo que tienes 2 redes, 172.20.14.0/25 y 172.20.15.0/25, es correcto?  La máscara de subred para ambos casos supongo que es 255.255.255.128, correcto?  El wildcard en el ACL entonces debe ser 0.0.0.127.  Te explico, en un wildcard, un 0 binario significa que el valor de esa posición en la dirección IP debe coincidir, mientras que un 1 binario significa que no es necesario que coincida, es decir, que puede ser un 0 ó 1 en binario.  En tu ejemplo, la dirección IP 172.20.14.0 en binario es 10101100.00010100.00001110.00000000, mientras el wildcard que estas utilizando es 00000000.00000000.00000000.10000000.  Esto significa, que para que un paquete coincida en el ACL, debe tener una dirección IP como la que sigue: 10101100.00010100.00001110.x000000 que en decimal es 172.20.14.0 ó 172.20.14.128, sólamente esas 2 direcciones coindicen.  Con un wildcard 0.0.0.127 (en binario 00000000.00000000.00000000.01111111), la coincidencia será con las IP's que en binario sean 10101100.00010100.00001110.0xxxxxxx, que serán del rango desde la 172.20.14.0 hasta la 172.20.14.127.

Si los supuestos que tome no son ciertos (redes y máscaras) por favor avísanos.

Saludos,

Hector.

[Franco Anorga]

Le agradezco a los dos por su ayuda.

Hector estabas en lo cierto, cambie el wildcard y salio funcionando el filtro.

muchas gracias.

abrazos.