เพื่อเพิ่มความปลอดภัย ฉันต้องการจำกัดการเข้าถึงสวิตช์ Cisco SG300-10^{(Cisco SG300-10)} ของฉัน เป็นที่อยู่ IP เพียงที่อยู่เดียวในซับเน็ตในเครื่องของฉัน หลังจากกำหนดค่าสวิตช์ใหม่ของฉัน^{(initially configuring my new switch)}เมื่อไม่กี่สัปดาห์ก่อน ฉันไม่พอใจที่รู้ว่าใครก็ตามที่เชื่อมต่อกับLANหรือWLAN ของฉัน สามารถไปที่หน้าเข้าสู่ระบบได้เพียงแค่รู้ที่อยู่ IP สำหรับอุปกรณ์

ฉันลงเอยด้วยการกลั่นกรองคู่มือ 500 หน้าเพื่อหาวิธีบล็อกที่อยู่ IP ทั้งหมด ยกเว้นที่ฉันต้องการสำหรับการเข้าถึงการจัดการ หลังจากทดสอบและโพสต์หลายรายการในฟอรัม ของ Cisco ฉันก็พบว่ามัน! ^(Cisco)ในบทความนี้ ฉันจะแนะนำขั้นตอนต่างๆ ในการกำหนดค่าโปรไฟล์การเข้าถึงและกฎโปรไฟล์สำหรับสวิตช์Cisco ของคุณ^(Cisco)

หมายเหตุ: วิธีการต่อไปนี้ที่ฉันจะอธิบายยังช่วยให้คุณสามารถจำกัดการเข้าถึงบริการที่เปิดใช้งานจำนวนเท่าใดก็ได้บนสวิตช์ของคุณ ตัวอย่างเช่น คุณสามารถจำกัดการเข้าถึง SSH, HTTP, HTTPS, Telnet หรือบริการทั้งหมดเหล่านี้ตามที่อยู่ IP ^{(Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. )}

สร้างโปรไฟล์^{(Create Management Access Profile)}และกฎ การเข้าถึงการจัดการ^(Rules)

ในการเริ่มต้นใช้งาน ให้เข้าสู่ระบบเว็บอินเทอร์เฟซสำหรับสวิตช์ของคุณและขยายความปลอดภัย^(Security)จากนั้นขยาย Mgmt Access Method ^{(Mgmt Access Method)}ไปข้างหน้าและคลิกที่โปรไฟล์การ^{(Access Profiles)}เข้าถึง

สิ่งแรกที่เราต้องทำคือสร้างโปรไฟล์การเข้าถึงใหม่ โดยค่าเริ่มต้น คุณควรเห็น เฉพาะ โปรไฟล์Console เท่านั้น ^{(Console Only)}นอกจากนี้ คุณจะสังเกตเห็นที่ด้านบนว่าไม่มี^(None)ถูกเลือกถัดจากโปรไฟล์การเข้าถึง^{( Active Access Profile)} ที่ใช้งาน อยู่ เมื่อเราสร้างโปรไฟล์และกฎเกณฑ์แล้ว เราจะต้องเลือกชื่อโปรไฟล์ที่นี่เพื่อเปิดใช้งาน

ตอนนี้ คลิกที่ ปุ่ม เพิ่ม^(Add)และสิ่งนี้ควรเปิดกล่องโต้ตอบซึ่งคุณจะสามารถตั้งชื่อโปรไฟล์ใหม่ของคุณ และเพิ่มกฎข้อแรกสำหรับโปรไฟล์ใหม่

ที่ด้านบน ตั้งชื่อโปรไฟล์ใหม่ของคุณ ฟิลด์อื่นๆ ทั้งหมดเกี่ยวข้องกับกฎข้อแรกที่จะเพิ่มในโปรไฟล์ใหม่ สำหรับRule Priorityคุณต้องเลือกค่าระหว่าง 1 ถึง 65535 วิธีการ ทำงานของ Ciscoคือใช้กฎที่มีลำดับความสำคัญต่ำสุดก่อน หากไม่ตรงกัน ระบบจะใช้กฎถัดไปที่มีลำดับความสำคัญต่ำสุด

ในตัวอย่างของฉัน ฉันเลือกลำดับความสำคัญเป็น1เนื่องจากฉันต้องการให้ดำเนินการกฎนี้ก่อน กฎนี้จะเป็นกฎที่อนุญาตให้ใช้ที่อยู่ IP ที่ฉันต้องการให้การเข้าถึงสวิตช์ ภายใต้วิธีการจัดการ^{(Management Method)}คุณสามารถเลือกบริการเฉพาะหรือเลือกทั้งหมด ซึ่งจะจำกัดทุกอย่าง ในกรณีของฉัน ฉันเลือกทั้งหมดเพราะฉัน เปิดใช้งาน SSHและHTTPS เท่านั้น และฉันจัดการทั้งสองบริการจากคอมพิวเตอร์เครื่องเดียว

โปรดทราบว่าหากคุณต้องการรักษาความปลอดภัยเฉพาะSSHและHTTPSคุณจะต้องสร้างกฎสองกฎแยกกัน การดำเนินการ^(Action)สามารถปฏิเสธ^(Deny)หรืออนุญาต^(Permit)เท่านั้น สำหรับตัวอย่างของฉัน ฉันเลือกPermitเนื่องจากจะเป็น IP ที่อนุญาต ถัดไป^(Next)คุณสามารถใช้กฎกับอินเทอร์เฟซเฉพาะบนอุปกรณ์ หรือปล่อยไว้ที่"ทั้งหมด"^(All)เพื่อให้กฎมีผลกับพอร์ตทั้งหมด

ภายใต้Applies to Source IP Addressเราต้องเลือกUser Definedที่นี่ จากนั้นเลือกเวอร์ชัน 4^{(Version 4)}เว้นแต่คุณจะทำงานใน สภาพแวดล้อม IPv6ซึ่งในกรณีนี้ คุณจะต้องเลือกเวอร์ชัน^{(Version 6)} 6 ตอนนี้พิมพ์ที่อยู่ IP ที่จะได้รับอนุญาตให้เข้าถึงและพิมพ์ในเน็ตเวิร์กมาสก์ที่ตรงกับบิตที่เกี่ยวข้องทั้งหมดที่จะดู

ตัวอย่างเช่น เนื่องจากที่อยู่ IP ของฉันคือ 192.168.1.233 จึงต้องตรวจสอบที่อยู่ IP ทั้งหมดและด้วยเหตุนี้ฉันจึงต้องใช้เน็ตเวิร์กมาสก์ 255.255.255.255 ถ้าฉันต้องการให้กฎมีผลกับทุกคนในเครือข่ายย่อยทั้งหมด ฉันจะใช้มาสก์ 255.255.255.0 นั่นหมายความว่าทุกคนที่มีที่อยู่ 192.168.1.x จะได้รับอนุญาต นั่นไม่ใช่สิ่งที่ฉันต้องการทำ แต่หวังว่าจะอธิบายวิธีใช้เน็ตเวิร์กมาสก์ได้ โปรดทราบว่าเน็ตเวิร์กมาสก์ไม่ใช่ซับเน็ตมาสก์สำหรับเครือข่ายของคุณ มาสก์เครือข่ายบอกว่าบิตใดที่Ciscoควรดูเมื่อใช้กฎ

คลิกสมัคร^(Apply)และตอนนี้คุณควรมีโปรไฟล์และกฎการเข้าถึงใหม่! คลิก^(Click)กฎของโปรไฟล์^{( Profile Rules)}ในเมนูด้านซ้าย และคุณจะเห็นกฎใหม่แสดงอยู่ที่ด้านบน

ตอนนี้เราต้องเพิ่มกฎข้อที่สองของเรา ในการดำเนินการนี้ ให้คลิก ปุ่ม เพิ่ม^(Add) ที่ แสดงอยู่ใต้ตารางกฎ^{(Profile Rule Table)}ของ โปรไฟล์

กฎข้อที่สองนั้นง่ายมาก ประการแรก ตรวจสอบให้แน่ใจว่าชื่อโปรไฟล์การเข้าถึง^{(Access Profile Name)}เป็นชื่อเดียวกับที่เราเพิ่งสร้างขึ้น ตอนนี้ เราแค่ให้กฎมีลำดับความสำคัญเป็น2และเลือกปฏิเสธ^(Deny)สำหรับการดำเนิน^(Action)การ ตรวจสอบให้แน่ใจว่าตั้งค่าอย่างอื่น ทั้งหมด เป็นทั้งหมด ^(All)ซึ่งหมายความว่าที่อยู่ IP ทั้งหมดจะถูกบล็อก อย่างไรก็ตาม เนื่องจากกฎข้อแรกของเราจะได้รับการประมวลผลก่อน ที่อยู่ IP นั้นจะได้รับอนุญาต เมื่อกฎถูกจับคู่แล้ว กฎอื่นๆ จะถูกละเว้น หากที่อยู่ IP ไม่ตรงกับกฎข้อแรก ที่อยู่ IP นั้นจะมาที่กฎข้อที่สอง ซึ่งจะจับคู่และถูกบล็อก ดี!

สุดท้าย เราต้องเปิดใช้งานโปรไฟล์การเข้าถึงใหม่ ในการทำเช่นนั้น กลับไปที่Access Profilesและเลือกโปรไฟล์ใหม่จากรายการดรอปดาวน์ที่ด้านบน (ถัดจากActive Access Profile ) ตรวจสอบให้แน่ใจว่าได้คลิกสมัคร^(Apply)และคุณน่าจะไปได้ดี

โปรดจำไว้^(Remember)ว่า การกำหนดค่าจะถูกบันทึกในการกำหนดค่าที่ทำงานอยู่เท่านั้น ตรวจสอบให้แน่ใจว่าคุณไปที่การดูแลระบบ^{(Administration)} - การจัดการไฟล์^{( File Management)} - Copy/Save Configurationเพื่อคัดลอกการกำหนดค่าที่ทำงานอยู่ไปยังการกำหนดค่าเริ่มต้น

หากคุณต้องการอนุญาตให้มีการเข้าถึงสวิตช์มากกว่าหนึ่งที่อยู่ IP ให้สร้างกฎอื่นเช่นกฎแรก แต่ให้ลำดับความสำคัญสูงกว่า นอกจากนี้ คุณจะต้องตรวจสอบให้แน่ใจว่าคุณได้เปลี่ยนลำดับความสำคัญสำหรับ กฎการ ปฏิเสธ^(Deny)เพื่อให้มีลำดับความสำคัญสูงกว่ากฎ การ อนุญาต ทั้งหมด ^(Permit)หากคุณประสบปัญหาหรือใช้งานไม่ได้ โปรดโพสต์ในความคิดเห็นและเราจะพยายามช่วยเหลือ สนุก!

Restrict Access to Cisco Switch Based on IP Address

For added security, I wanted to restrict access to my Ciѕco SG300-10 switch tо only one IP address in my local subnеt. After initially configuring my new switch a few weeks backs, I wasn’t happy knowing that anyone connected to my LAN or WLAN could get to the login page by just knowing the IP address for the device.

I ended up sifting through the 500-page manual to figure out how to go about blocking all IP addresses except the ones that I wanted for management access. After a lot of testing and several posts to the Cisco forums, I figured it out! In this article, I’ll walk you through the steps to configure access profiles and profiles rules for your Cisco switch.

Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. 

Create Management Access Profile & Rules

To get started, log into the web interface for your switch and expand Security and then expand Mgmt Access Method. Go ahead and click on Access Profiles.

The first thing we need to do is create a new access profile. By default, you should only see the Console Only profile. Also, you’ll notice at the top that None is selected next to Active Access Profile. Once we have created our profile and rules, we’ll have to select the name of the profile here in order to activate it.

Now click on the Add button and this should bring up a dialog box where you’ll be able to name your new profile and also add the first rule for the new profile.

At the top, give your new profile a name. All the other fields relate to the first rule that will be added to the new profile. For Rule Priority, you have to choose a value between 1 and 65535. The way Cisco works is that the rule with the lowest priority is applied first. If it doesn’t match, then the next rule with the lowest priority is applied.

In my example, I chose a priority of 1 because I want this rule to be processed first. This rule will be the one that allows the IP address that I want to give access to the switch. Under Management Method, you can either choose a specific service or choose all, which will restrict everything. In my case, I chose all because I only have SSH and HTTPS enabled anyway and I manage both services from one computer.

Note that if you want to secure only SSH and HTTPS, then you’ll need to create two separate rules. The Action can only be Deny or Permit. For my example, I chose Permit since this will be for the allowed IP. Next, you can apply the rule to a specific interface on the device or you can just leave it at All so that it applies to all ports.

Under Applies to Source IP Address, we have to choose User Defined here and then choose Version 4, unless you are working in an IPv6 environment in which case you would choose Version 6. Now type in the IP address that will be allowed access and type in a network mask that matches all the relevant bits to be looked at.

For example, since my IP address is 192.168.1.233, the whole IP address needs to be examined and hence I need a network mask of 255.255.255.255. If I wanted the rule to apply to everyone on the entire subnet, then I would use a mask of 255.255.255.0. That would mean anyone with a 192.168.1.x address would be permitted. That’s not what I want to do, obviously, but hopefully that explains how to use the network mask. Note that the network mask is not the subnet mask for your network. The network mask simply says which bits Cisco should look at when applying the rule.

Click Apply and you should now have a new access profile and rule! Click on Profile Rules in the left-hand menu and you should see the new rule listed at the top.

Now we need to add our second rule. To do this, click on the Add button shown under the Profile Rule Table.

The second rule is really simple. Firstly, make sure that the Access Profile Name is the same one we just created. Now, we just give the rule a priority of 2 and choose Deny for the Action. Make sure everything else is set to All. This means that all IP addresses will be blocked. However, since our first rule will be processed first, that IP address will be permitted. Once a rule is matched, the other rules are ignored. If an IP address doesn’t match the first rule, it’ll come to this second rule, where it will match and be blocked. Nice!

Finally, we have to activate the new access profile. To do that, go back to Access Profiles and select the new profile from the drop down list at the top (next to Active Access Profile). Make sure to click Apply and you should be good to go.

Remember that the configuration is currently only saved in the running config. Make sure you go to Administration – File Management – Copy/Save Configuration to copy the running config to the startup config.

If you want to allow more than one IP address access to the switch, just create another rule like the first one, but give it a higher priority. You’ll also have to make sure that you change the priority for the Deny rule so that it has a higher priority than all of the Permit rules. If you run into any problems or can’t get this to work, feel free to post in the comments and I’ll try to help. Enjoy!

Related posts

• วิธีค้นหาที่อยู่ IP ของเครื่องพิมพ์ WiFi ของคุณบน Windows และ Mac

• วิธีเปิดใช้งานการเข้าถึง SSH สำหรับสวิตช์ Cisco SG300

• วิธีการตั้งค่าคงที่ IP Address ใน Windows 10

• วิธีการหา My Router ของ IP Address?

• วิธีกำหนดที่อยู่ IP แบบคงที่ให้กับพีซีที่ใช้ Windows 11/10

• วิธีค้นหาที่อยู่ IP ของจุดเชื่อมต่อไร้สาย

• เปิด Notepad ในฐานะผู้ดูแลระบบเพื่อหลีกเลี่ยง "การเข้าถึงถูกปฏิเสธ"

• วิธีติดตามตำแหน่งเดิมของอีเมลผ่านที่อยู่ IP ของอีเมล

• วิธีเข้าถึงพาร์ติชั่นลินุกซ์ใน Windows

• วิธีเข้าถึง iMessage บน Windows 10/11

• วิธีซ่อนที่อยู่ IP ของคุณบน Android

• เปลี่ยนที่อยู่ IP และเซิร์ฟเวอร์ DNS โดยใช้ Command Prompt

• วิธีตั้งค่าที่อยู่บ้านของคุณใน Google Maps

• วิธีชาร์จคอนโทรลเลอร์ Nintendo Switch

• วิธีเข้าถึงและเปลี่ยนการตั้งค่าเราเตอร์ WiFi ของคุณ

• ห้าสิ่งที่คุณควรทำหลังจากเสียบสวิตช์ Cisco ใหม่ของคุณ

• วิธีแก้ไขข้อผิดพลาด “ไม่พบที่อยู่ IP ของเซิร์ฟเวอร์” ใน Google Chrome

• Router vs Switch vs Hub vs Modem vs Access Point vs Gateway

• วิธีถ่ายภาพหน้าจอบน Nintendo Switch

• เพิ่มผู้ติดต่อในสมุดที่อยู่เมล Windows Live ด้วยตนเอง