لمزيد من الأمان ، أردت تقييد الوصول إلى مفتاح Cisco SG300-10 الخاص بي على عنوان IP واحد فقط في شبكتي الفرعية المحلية. بعد تكوين مبدئي للمحول الجديد^{(initially configuring my new switch)} لبضعة أسابيع ، لم أكن سعيدًا بمعرفة أن أي شخص متصل بشبكة LAN أو WLAN الخاص بي يمكنه الوصول إلى صفحة تسجيل الدخول بمجرد معرفة عنوان IP للجهاز.

انتهى بي الأمر بالغربلة في الدليل المكون من 500 صفحة لمعرفة كيفية المضي قدمًا في حظر جميع عناوين IP باستثناء تلك التي أردت الوصول إليها للإدارة. بعد الكثير من الاختبارات والعديد من المشاركات في منتديات Cisco ، اكتشفت ذلك! في هذه المقالة ، سوف أطلعك على الخطوات لتكوين ملفات تعريف الوصول وقواعد ملفات التعريف لمحول Cisco الخاص بك .

ملاحظة: الطريقة التالية التي سأصفها تسمح لك أيضًا بتقييد الوصول إلى أي عدد من الخدمات الممكّنة على مفتاحك. على سبيل المثال ، يمكنك تقييد الوصول إلى SSH أو HTTP أو HTTPS أو Telnet أو كل هذه الخدمات عن طريق عنوان IP. ^{(Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. )}

^{(Create Management Access Profile)}إنشاء ملف تعريف الوصول للإدارة والقواعد^(Rules)

للبدء ، قم بتسجيل الدخول إلى واجهة الويب الخاصة بالمحول الخاص بك وقم بتوسيع الأمان^(Security) ثم قم بتوسيع طريقة الوصول Mgmt^{(Mgmt Access Method)} . انطلق وانقر على ملفات تعريف الوصول^{(Access Profiles)} .

أول شيء يتعين علينا القيام به هو إنشاء ملف تعريف وصول جديد. بشكل افتراضي ، يجب أن ترى فقط ملف تعريف وحدة التحكم فقط^{(Console Only)} . أيضًا ، ستلاحظ في الجزء العلوي أنه لم^(None) يتم تحديد أي شيء بجوار ملف تعريف الوصول النشط^{( Active Access Profile)} . بمجرد إنشاء ملف التعريف والقواعد الخاصة بنا ، سيتعين علينا تحديد اسم ملف التعريف هنا لتفعيله.

انقر الآن على الزر " إضافة^(Add) " وسيظهر لك مربع حوار حيث ستتمكن من تسمية ملف التعريف الجديد الخاص بك وإضافة القاعدة الأولى لملف التعريف الجديد.

في الجزء العلوي ، قم بتسمية ملف التعريف الجديد الخاص بك. تتعلق جميع الحقول الأخرى بالقاعدة الأولى التي سيتم إضافتها إلى ملف التعريف الجديد. بالنسبة إلى "أولوية القاعدة"^{( Rule Priority)} ، يجب عليك اختيار قيمة بين 1 و 65535. الطريقة التي تعمل بها Cisco هي تطبيق القاعدة ذات الأولوية الأقل أولاً. إذا لم تتطابق ، فسيتم تطبيق القاعدة التالية ذات الأولوية الأقل.

في المثال الخاص بي ، اخترت أولوية 1 لأنني أريد معالجة هذه القاعدة أولاً. ستكون هذه القاعدة هي التي تسمح بعنوان IP الذي أريد منحه حق الوصول إلى المحول. ضمن أسلوب الإدارة^{(Management Method)} ، يمكنك إما اختيار خدمة معينة أو اختيار الكل ، مما سيؤدي إلى تقييد كل شيء. في حالتي ، اخترت الكل لأنني أمتلك SSH و HTTPS فقط على أي حال وأنا أدير كلتا الخدمتين من جهاز كمبيوتر واحد.

لاحظ أنه إذا كنت تريد تأمين SSH و HTTPS فقط ، فستحتاج إلى إنشاء قاعدتين منفصلتين. لا يمكن أن يكون الإجراء^(Action) سوى الرفض^(Deny) أو التصريح^(Permit) . على سبيل المثال ، اخترت التصريح^(Permit) لأن هذا سيكون لعنوان IP المسموح به. بعد ذلك^(Next) ، يمكنك تطبيق القاعدة على واجهة معينة على الجهاز أو يمكنك تركها على الإطلاق^(All) بحيث تنطبق على جميع المنافذ.

ضمن ينطبق على عنوان IP المصدر^{(Applies to Source IP Address)} ، يتعين علينا اختيار معرف المستخدم^{( User Defined)} هنا ثم اختيار الإصدار 4^{(Version 4)} ، إلا إذا كنت تعمل في بيئة IPv6 وفي هذه الحالة ستختار الإصدار 6^{(Version 6)} . اكتب الآن عنوان IP الذي سيسمح له بالوصول واكتب قناع الشبكة الذي يطابق جميع البتات ذات الصلة التي سيتم النظر إليها.

على سبيل المثال ، نظرًا لأن عنوان IP الخاص بي هو 192.168.1.233 ، يجب فحص عنوان IP بالكامل ، وبالتالي أحتاج إلى قناع شبكة من 255.255.255.255.255.255.255. إذا كنت أرغب في تطبيق القاعدة على الجميع في الشبكة الفرعية بأكملها ، فسأستخدم قناعًا من 255.255.255.0. هذا يعني أنه سيتم السماح لأي شخص لديه عنوان 192.168.1.x. من الواضح أن هذا ليس ما أريد القيام به ، لكن آمل أن يشرح ذلك كيفية استخدام قناع الشبكة. لاحظ أن قناع الشبكة ليس قناع الشبكة الفرعية لشبكتك. يشير قناع الشبكة ببساطة إلى البتات التي يجب على Cisco النظر إليها عند تطبيق القاعدة.

انقر فوق تطبيق^(Apply) ويجب أن يكون لديك الآن ملف تعريف وصول جديد وقاعدة! انقر فوق^(Click) قواعد الملف الشخصي^{( Profile Rules)} في القائمة اليمنى وسترى القاعدة الجديدة مدرجة في الأعلى.

الآن علينا إضافة القاعدة الثانية. للقيام بذلك ، انقر فوق الزر " إضافة^(Add) " الموضح أسفل جدول قواعد الملف الشخصي^{(Profile Rule Table)} .

القاعدة الثانية بسيطة حقًا. أولاً ، تأكد من أن اسم ملف تعريف الوصول^{(Access Profile Name)} هو نفسه الذي أنشأناه للتو. الآن ، نعطي القاعدة أولوية 2 ونختار Deny for the Action . تأكد من تعيين كل شيء آخر على الكل^(All) . هذا يعني أنه سيتم حظر جميع عناوين IP. ومع ذلك ، نظرًا لأن قاعدتنا الأولى ستتم معالجتها أولاً ، فسيتم السماح بعنوان IP هذا. بمجرد مطابقة القاعدة ، يتم تجاهل القواعد الأخرى. إذا كان عنوان IP لا يتطابق مع القاعدة الأولى ، فسوف ينتقل إلى هذه القاعدة الثانية ، حيث سيتطابق ويتم حظره. لطيف!

أخيرًا ، يتعين علينا تنشيط ملف تعريف الوصول الجديد. للقيام بذلك ، ارجع إلى ملفات تعريف الوصول^{( Access Profiles)} وحدد ملف التعريف الجديد من القائمة المنسدلة في الأعلى (بجوار ملف تعريف الوصول النشط^{(Active Access Profile)} ). تأكد من النقر فوق تطبيق^(Apply) ويجب أن تكون على ما يرام.

تذكر^(Remember) أن التكوين محفوظ حاليًا فقط في ملف config قيد التشغيل. تأكد من الانتقال إلى الإدارة^{(Administration)} - إدارة الملفات^{( File Management)} - Copy/Save Configuration لنسخ التكوين الجاري تشغيله إلى تهيئة بدء التشغيل.

إذا كنت تريد السماح لأكثر من عنوان IP بالوصول إلى المحول ، فما عليك سوى إنشاء قاعدة أخرى مثل القاعدة الأولى ، ولكن أعطها أولوية أعلى. سيتعين عليك أيضًا التأكد من تغيير أولوية قاعدة الرفض^(Deny) بحيث يكون لها أولوية أعلى من جميع قواعد التصريح^(Permit) . إذا واجهت أي مشاكل أو لم تتمكن من تشغيل هذا ، فلا تتردد في النشر في التعليقات وسأحاول مساعدتك. يتمتع!

Restrict Access to Cisco Switch Based on IP Address

Fоr added security, I wanted to restrict access to my Cіsco SG300-10 switch to only one IP address in mу local subnet. After initially configuring my new switch a few weeks backs, I wasn’t happy knowing that anyone connected to my LAN or WLAN could get to the login page by just knowing the IP address for the device.

I ended up sifting through the 500-page manual to figure out how to go about blocking all IP addresses except the ones that I wanted for management access. After a lot of testing and several posts to the Cisco forums, I figured it out! In this article, I’ll walk you through the steps to configure access profiles and profiles rules for your Cisco switch.

Note: The following method I am going to describe also allows you to restrict access to any number of enabled services on your switch. For example, you can restrict access to SSH, HTTP, HTTPS, Telnet, or all of these services by IP address. 

Create Management Access Profile & Rules

To get started, log into the web interface for your switch and expand Security and then expand Mgmt Access Method. Go ahead and click on Access Profiles.

The first thing we need to do is create a new access profile. By default, you should only see the Console Only profile. Also, you’ll notice at the top that None is selected next to Active Access Profile. Once we have created our profile and rules, we’ll have to select the name of the profile here in order to activate it.

Now click on the Add button and this should bring up a dialog box where you’ll be able to name your new profile and also add the first rule for the new profile.

At the top, give your new profile a name. All the other fields relate to the first rule that will be added to the new profile. For Rule Priority, you have to choose a value between 1 and 65535. The way Cisco works is that the rule with the lowest priority is applied first. If it doesn’t match, then the next rule with the lowest priority is applied.

In my example, I chose a priority of 1 because I want this rule to be processed first. This rule will be the one that allows the IP address that I want to give access to the switch. Under Management Method, you can either choose a specific service or choose all, which will restrict everything. In my case, I chose all because I only have SSH and HTTPS enabled anyway and I manage both services from one computer.

Note that if you want to secure only SSH and HTTPS, then you’ll need to create two separate rules. The Action can only be Deny or Permit. For my example, I chose Permit since this will be for the allowed IP. Next, you can apply the rule to a specific interface on the device or you can just leave it at All so that it applies to all ports.

Under Applies to Source IP Address, we have to choose User Defined here and then choose Version 4, unless you are working in an IPv6 environment in which case you would choose Version 6. Now type in the IP address that will be allowed access and type in a network mask that matches all the relevant bits to be looked at.

For example, since my IP address is 192.168.1.233, the whole IP address needs to be examined and hence I need a network mask of 255.255.255.255. If I wanted the rule to apply to everyone on the entire subnet, then I would use a mask of 255.255.255.0. That would mean anyone with a 192.168.1.x address would be permitted. That’s not what I want to do, obviously, but hopefully that explains how to use the network mask. Note that the network mask is not the subnet mask for your network. The network mask simply says which bits Cisco should look at when applying the rule.

Click Apply and you should now have a new access profile and rule! Click on Profile Rules in the left-hand menu and you should see the new rule listed at the top.

Now we need to add our second rule. To do this, click on the Add button shown under the Profile Rule Table.

The second rule is really simple. Firstly, make sure that the Access Profile Name is the same one we just created. Now, we just give the rule a priority of 2 and choose Deny for the Action. Make sure everything else is set to All. This means that all IP addresses will be blocked. However, since our first rule will be processed first, that IP address will be permitted. Once a rule is matched, the other rules are ignored. If an IP address doesn’t match the first rule, it’ll come to this second rule, where it will match and be blocked. Nice!

Finally, we have to activate the new access profile. To do that, go back to Access Profiles and select the new profile from the drop down list at the top (next to Active Access Profile). Make sure to click Apply and you should be good to go.

Remember that the configuration is currently only saved in the running config. Make sure you go to Administration – File Management – Copy/Save Configuration to copy the running config to the startup config.

If you want to allow more than one IP address access to the switch, just create another rule like the first one, but give it a higher priority. You’ll also have to make sure that you change the priority for the Deny rule so that it has a higher priority than all of the Permit rules. If you run into any problems or can’t get this to work, feel free to post in the comments and I’ll try to help. Enjoy!

Related posts

• كيفية البحث عن عنوان IP الخاص بطابعة WiFi على نظامي التشغيل Windows و Mac

• كيفية تمكين وصول SSH لمحولات Cisco SG300

• كيفية تعيين ثابت IP Address في Windows 10

• كيفية العثور على My Router's IP Address؟

• كيفية تعيين عنوان IP ثابت لجهاز كمبيوتر يعمل بنظام Windows 11/10

• كيفية تحديث Raspberry Pi

• خمسة أشياء يجب عليك فعلها بعد توصيل محول Cisco الجديد

• قم بإنشاء اختصار لوحة المفاتيح للوصول إلى مربع حوار إزالة الأجهزة بأمان

• مراجعة الكتاب - دليل How-To Geek لنظام التشغيل Windows 8

• كيفية تتبع الموقع الأصلي للبريد الإلكتروني عبر عنوان IP الخاص به

• راوتر مقابل سويتش مقابل هب ومودم وأكسس بوينت وبوابة

• كيفية إصلاح خطأ "فشل الحصول على عنوان IP" على Android

• تثبيت ملحقات GIMP: دليل إرشادي

• 5 من أفضل تطبيقات IP Address Hider لنظام Android 2022

• كيفية العثور على Router IP address على Windows 10 - IP Address Lookup

• كيفية الوصول إلى iMessage على Windows 10/11

• ما هو عنوان IP الخاص بي على Raspberry Pi؟

• كيفية نقل Google Authenticator إلى هاتف جديد دون فقد الوصول

• كيفية إصلاح خطأ "تعذر العثور على عنوان IP للخادم" في Google Chrome

• كيفية إصلاح تعارض عنوان IP