4.5.1.2: Solución de problemas de ACL de IPv6: escenario 1

Este escenario de solución de problemas de las ACL de IPv6 utiliza la topología que se muestra en la Figura 1.

Figura 1: Topología de una ACL de IPv6 para el escenario 1

R1 está configurada con una ACL de IPv6 para denegar el acceso FTP desde la red :10 a la red :11. Sin embargo, después de configurar la ACL, la PC1 todavía puede conectarse al servidor FTP que se ejecuta en la PC2. Al consultar el resultado del comando access-list show ipv6 en el Ejemplo 1, se muestran las coincidencias para la declaración de permiso, pero no se muestran las declaraciones de negación.

Ejemplo 1: Verifique las declaraciones de la ACL de IPv6

R1# show ipv6 access-list IPv6 access list NO-FTP-TO-11     deny tcp any 2001:DB8:CAFE:11::/64 eq ftp sequence 10     deny tcp any 2001:DB8:CAFE:11::/64 eq ftp-data sequence 20     permit ipv6 any any (11 matches) sequence 30 R1#

Solución: Los ACE en las ACL no muestran ningún problema en el orden o en los criterios de las reglas. El siguiente paso es ver cómo se aplica la ACL en la interfaz utilizando ipv6 traffic-filter. ¿La ACL se aplicó utilizando el nombre correcto, la interfaz correcta y la dirección correcta? Para revisar errores de configuración de interfaz, visualice la configuración en ejecución, como se muestra en el Ejemplo. 2.

Ejemplo 2: Verifique la configuración de la interfaz de la ACL de IPv6

R1# show running-config | begin interface G interface GigabitEthernet0/0  no ip address  ipv6 traffic-filter NO-FTP-TO-11 out  duplex auto  speed auto  ipv6 address FE80::1 link-local  ipv6 address 2001:DB8:1:10::1/64  ipv6 eigrp 1 <resultado omitido> R1#

La ACL se aplicó con el nombre correcto, pero con una dirección incorrecta. La dirección in o out se toma desde la perspectiva del router, lo cual significa que la ACL actualmente se aplica al tráfico antes de que se reenvíe desde la interfaz G0/0 e ingrese en la red :10. Para corregir el problema, elimine ipv6 traffic-filter NO-FTP-TO-11 out y reemplácelo con ipv6 traffic-filter NO-FTP-TO-11 in, como se muestra en el Ejemplo 3.

Ejemplo 3: Comandos para corregir una ACL de IPv6 mal aplicada

R1(config)# interface g0/0 R1(config-if)# no ipv6 traffic-filter NO-FTP-TO-11 out R1(config-if)# ipv6 traffic-filter NO-FTP-TO-11 in R1(config-if)# end R1#

Ahora los intentos de PC1 para acceder al servidor FTP se rechazan, como se muestra en el Ejemplo 4.

Ejemplo 4: Verifique que la ACL ahora esté bloqueando el acceso al servidor FTP

R1# show ipv6 access-list IPv6 access list NO-FTP-TO-11     deny tcp any 2001:DB8:CAFE:11::/64 eq ftp (37 matches) sequence 10     deny tcp any 2001:DB8:CAFE:11::/64 eq ftp-data sequence 20     permit ipv6 any any (11 matches) sequence 30