Voor extra veiligheid wilde ik de toegang tot mijn Cisco SG300-10- switch beperken tot slechts één IP-adres in mijn lokale subnet. Nadat ik een paar weken geleden mijn nieuwe switch voor het eerst had geconfigureerd , was ik niet blij te weten dat iedereen die op mijn ^{(initially configuring my new switch)}LAN of WLAN was aangesloten, op de inlogpagina kon komen door alleen het IP-adres van het apparaat te kennen.

Uiteindelijk bladerde ik door de 500 pagina's tellende handleiding om erachter te komen hoe ik alle IP-adressen moest blokkeren, behalve degene die ik wilde voor managementtoegang. Na veel testen en verschillende berichten op de Cisco - forums, kwam ik erachter! In dit artikel zal ik u door de stappen leiden om toegangsprofielen en profielregels voor uw Cisco - switch te configureren.

Opmerking: met de volgende methode die ik ga beschrijven, kunt u ook de toegang tot een willekeurig aantal ingeschakelde services op uw switch beperken. U kunt bijvoorbeeld de toegang tot SSH, HTTP, HTTPS, Telnet of al deze services per IP-adres beperken. ^{(Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. )}

Profiel^{(Create Management Access Profile)} en regels voor beheertoegang maken^(Rules)

Log om te beginnen in op de webinterface van uw switch en vouw Beveiliging^(Security) uit en vouw vervolgens Mgmt Access Method uit . Ga je gang en klik op Toegangsprofielen^{(Access Profiles)} .

Het eerste dat we moeten doen, is een nieuw toegangsprofiel maken. Standaard zou u alleen het profiel Alleen console^{(Console Only)} moeten zien . U zult ook bovenaan zien dat Geen^(None) is geselecteerd naast Actief toegangsprofiel^{( Active Access Profile)} . Zodra we ons profiel en onze regels hebben aangemaakt, moeten we hier de naam van het profiel selecteren om het te activeren.

Klik nu op de knop Toevoegen^(Add) en er zou een dialoogvenster moeten verschijnen waarin u uw nieuwe profiel een naam kunt geven en ook de eerste regel voor het nieuwe profiel kunt toevoegen.

Geef je nieuwe profiel bovenaan een naam. Alle andere velden hebben betrekking op de eerste regel die aan het nieuwe profiel wordt toegevoegd. Voor Rule Priority moet je een waarde kiezen tussen 1 en 65535. De manier waarop Cisco werkt, is dat de regel met de laagste prioriteit eerst wordt toegepast. Als het niet overeenkomt, wordt de volgende regel met de laagste prioriteit toegepast.

In mijn voorbeeld heb ik prioriteit 1 gekozen omdat ik wil dat deze regel als eerste wordt verwerkt. Deze regel is degene die het IP-adres toestaat dat ik toegang wil geven tot de switch. Onder Beheermethode^{(Management Method)} kunt u een specifieke service kiezen of alles kiezen, waardoor alles wordt beperkt. In mijn geval heb ik alles gekozen omdat ik sowieso alleen SSH en HTTPS heb ingeschakeld en ik beide services vanaf één computer beheer.

Houd er rekening mee dat als u alleen SSH^(SSH) en HTTPS wilt beveiligen , u twee afzonderlijke regels moet maken. De actie^(Action) kan alleen Weigeren^(Deny) of Toestaan^(Permit) ​​zijn . Voor mijn voorbeeld heb ik Permit gekozen, omdat dit voor het toegestane IP-adres is. Vervolgens^(Next) kunt u de regel toepassen op een specifieke interface op het apparaat of u kunt deze gewoon op All laten staan , zodat deze op alle poorten van toepassing is.

Onder Van toepassing op bron-IP-adres^{(Applies to Source IP Address)} moeten we hier Door gebruiker gedefinieerd^{( User Defined)} kiezen en vervolgens Versie 4^{(Version 4)} kiezen , tenzij u in een IPv6 - omgeving werkt, in welk geval u Versie 6^{(Version 6)} zou kiezen . Typ nu het IP-adres dat toegang krijgt en typ een netwerkmasker dat overeenkomt met alle relevante bits die moeten worden bekeken.

Omdat mijn IP-adres bijvoorbeeld 192.168.1.233 is, moet het hele IP-adres worden onderzocht en daarom heb ik een netwerkmasker van 255.255.255.255 nodig. Als ik wilde dat de regel van toepassing was op iedereen op het hele subnet, dan zou ik een masker van 255.255.255.0 gebruiken. Dat zou betekenen dat iedereen met een 192.168.1.x-adres zou worden toegestaan. Dat is natuurlijk niet wat ik wil doen, maar hopelijk verklaart dat hoe je het netwerkmasker moet gebruiken. Merk op dat het netwerkmasker niet het subnetmasker voor uw netwerk is. Het netwerkmasker zegt eenvoudig naar welke bits Cisco moet kijken bij het toepassen van de regel.

Klik op Toepassen^(Apply) en u zou nu een nieuw toegangsprofiel en nieuwe regel moeten hebben! Klik^(Click) op Profielregels^{( Profile Rules)} in het linkermenu en je zou de nieuwe regel bovenaan moeten zien staan.

Nu moeten we onze tweede regel toevoegen. Om dit te doen, klikt u op de knop Toevoegen^(Add) die wordt weergegeven onder de tabel met profielregels^{(Profile Rule Table)} .

De tweede regel is heel eenvoudig. Zorg er eerst voor dat de toegangsprofielnaam^{(Access Profile Name)} dezelfde is die we zojuist hebben gemaakt. Nu geven we de regel een prioriteit van 2 en kiezen voor Weigeren^(Deny) voor de actie^(Action) . Zorg ervoor dat al het andere is ingesteld op Alles^(All) . Dit betekent dat alle IP-adressen worden geblokkeerd. Aangezien onze eerste regel echter eerst wordt verwerkt, is dat IP-adres toegestaan. Zodra een regel overeenkomt, worden de andere regels genegeerd. Als een IP-adres niet overeenkomt met de eerste regel, komt het naar deze tweede regel, waar het overeenkomt en wordt geblokkeerd. Leuk!

Ten slotte moeten we het nieuwe toegangsprofiel activeren. Ga hiervoor terug naar Toegangsprofielen^{( Access Profiles)} en selecteer het nieuwe profiel in de vervolgkeuzelijst bovenaan (naast Actief toegangsprofiel^{(Active Access Profile)} ). Zorg ervoor dat je op Toepassen^(Apply) klikt en je zou goed moeten zijn om te gaan.

Onthoud^(Remember) dat de configuratie momenteel alleen wordt opgeslagen in de actieve configuratie. Zorg ervoor dat u naar Beheer^{(Administration)} - Bestandsbeheer^{( File Management)} - Copy/Save Configuration gaat om de actieve configuratie naar de opstartconfiguratie te kopiëren.

Als u meer dan één IP-adres toegang tot de switch wilt toestaan, maakt u gewoon een andere regel zoals de eerste, maar geeft u deze een hogere prioriteit. U moet er ook voor zorgen dat u de prioriteit voor de weigerregel^(Deny) wijzigt , zodat deze een hogere prioriteit heeft dan alle toestemmingsregels^(Permit) . Als je problemen tegenkomt of dit niet werkend krijgt, plaats dan gerust een bericht in de reacties en ik zal proberen te helpen. Genieten van!

Restrict Access to Cisco Switch Based on IP Address

Fоr added secυrity, I wanted to restrict access to my Cisco SG300-10 switch to only one IP address in my local subnet. After initially configuring my new switch a few weeks backs, I wasn’t happy knowing that anyone connected to my LAN or WLAN could get to the login page by just knowing the IP address for the device.

I ended up sifting through the 500-page manual to figure out how to go about blocking all IP addresses except the ones that I wanted for management access. After a lot of testing and several posts to the Cisco forums, I figured it out! In this article, I’ll walk you through the steps to configure access profiles and profiles rules for your Cisco switch.

Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. 

Create Management Access Profile & Rules

To get started, log into the web interface for your switch and expand Security and then expand Mgmt Access Method. Go ahead and click on Access Profiles.

The first thing we need to do is create a new access profile. By default, you should only see the Console Only profile. Also, you’ll notice at the top that None is selected next to Active Access Profile. Once we have created our profile and rules, we’ll have to select the name of the profile here in order to activate it.

Now click on the Add button and this should bring up a dialog box where you’ll be able to name your new profile and also add the first rule for the new profile.

At the top, give your new profile a name. All the other fields relate to the first rule that will be added to the new profile. For Rule Priority, you have to choose a value between 1 and 65535. The way Cisco works is that the rule with the lowest priority is applied first. If it doesn’t match, then the next rule with the lowest priority is applied.

In my example, I chose a priority of 1 because I want this rule to be processed first. This rule will be the one that allows the IP address that I want to give access to the switch. Under Management Method, you can either choose a specific service or choose all, which will restrict everything. In my case, I chose all because I only have SSH and HTTPS enabled anyway and I manage both services from one computer.

Note that if you want to secure only SSH and HTTPS, then you’ll need to create two separate rules. The Action can only be Deny or Permit. For my example, I chose Permit since this will be for the allowed IP. Next, you can apply the rule to a specific interface on the device or you can just leave it at All so that it applies to all ports.

Under Applies to Source IP Address, we have to choose User Defined here and then choose Version 4, unless you are working in an IPv6 environment in which case you would choose Version 6. Now type in the IP address that will be allowed access and type in a network mask that matches all the relevant bits to be looked at.

For example, since my IP address is 192.168.1.233, the whole IP address needs to be examined and hence I need a network mask of 255.255.255.255. If I wanted the rule to apply to everyone on the entire subnet, then I would use a mask of 255.255.255.0. That would mean anyone with a 192.168.1.x address would be permitted. That’s not what I want to do, obviously, but hopefully that explains how to use the network mask. Note that the network mask is not the subnet mask for your network. The network mask simply says which bits Cisco should look at when applying the rule.

Click Apply and you should now have a new access profile and rule! Click on Profile Rules in the left-hand menu and you should see the new rule listed at the top.

Now we need to add our second rule. To do this, click on the Add button shown under the Profile Rule Table.

The second rule is really simple. Firstly, make sure that the Access Profile Name is the same one we just created. Now, we just give the rule a priority of 2 and choose Deny for the Action. Make sure everything else is set to All. This means that all IP addresses will be blocked. However, since our first rule will be processed first, that IP address will be permitted. Once a rule is matched, the other rules are ignored. If an IP address doesn’t match the first rule, it’ll come to this second rule, where it will match and be blocked. Nice!

Finally, we have to activate the new access profile. To do that, go back to Access Profiles and select the new profile from the drop down list at the top (next to Active Access Profile). Make sure to click Apply and you should be good to go.

Remember that the configuration is currently only saved in the running config. Make sure you go to Administration – File Management – Copy/Save Configuration to copy the running config to the startup config.

If you want to allow more than one IP address access to the switch, just create another rule like the first one, but give it a higher priority. You’ll also have to make sure that you change the priority for the Deny rule so that it has a higher priority than all of the Permit rules. If you run into any problems or can’t get this to work, feel free to post in the comments and I’ll try to help. Enjoy!

Related posts

• Hoe u het IP-adres van uw wifi-printer kunt vinden op Windows en Mac

• SSH-toegang inschakelen voor Cisco SG300-switches

• Een statisch IP-adres instellen in Windows 11/10

• Hoe vind ik het IP-adres van mijn router?

• Een statisch IP-adres toewijzen aan een pc met Windows 11/10

• Toegang tot de opdrachtprompt in Windows voorkomen

• Toegang krijgen tot iMessage op Windows 10/11

• De oorspronkelijke locatie van een e-mail volgen via het IP-adres?

• Toegang krijgen tot uw wifi-routerinstellingen en deze wijzigen

• Een IP-adres van een draadloos toegangspunt vinden

• IP-adresconflict oplossen

• Handmatig een contactpersoon toevoegen aan een Windows Live Mail-adresboek

• Router versus switch versus hub versus modem versus toegangspunt versus gateway

• HDG legt uit: wat is een IP-adres en kan het me echt tot aan mijn deur traceren?

• Toegang krijgen tot Samsung Cloud en het meeste uit de service halen?

• Hoe u uw IP-adres kunt wijzigen op Windows 10 (en waarom u dat zou willen)

• Screenshots maken op Nintendo Switch

• Een dynamische schijf converteren naar een basisschijf?

• Nintendo Switch-controllers opladen

• Een statisch IP-adres toewijzen aan een printer of een willekeurig netwerkapparaat