Приобрел роутер CISCO 1800. Я хочу разрешить только определенный домен. Он сгруппирован, поэтому я не знаю, что это за IP-адрес.
ОБНОВИТЬ
Вот что мне нужно. В маршрутизаторах cisco я могу установить ACL для разрешения определенного IP. Я настраиваю это для компании, используя это руководство:
http://www.cisco.com/en/US/products/sw/secursw/ps1018/products_tech_note09186a00800a5b9a.shtml
Для IP я установил что-то вроде:
список доступа acl_permit разрешение ip 192.168.32.0 0.0.7.255
Однако для некоторых сайтов, которые я не хочу блокировать, мне нужно разрешить определенные домены. Поэтому я не хочу вводить IP-адрес в команду. Как мне это сделать? Любые идеи?
Я предполагаю, что под доменом вы имеете в виду домен Windows? Я не знаю ничего, что делает это, возможно, это возможно с помощью ACL, полученных из атрибутов радиуса, со скриптом, который генерирует эти ACL радиуса на основе свойств домена. При этом я не думаю, что это было бы хорошей идеей. В моем понимании это было бы слишком большой интеграцией по соображениям безопасности и практическим соображениям.
Если вы имеете в виду старые добрые DNS, сеть на самом деле так не работает. Клиенты, получающие доступ, говорят, что веб-страница разрешает IP-адрес перед отправкой веб-запроса. Таким образом, запросы не отправляются в домен, когда достигают маршрутизатора, а скорее IP (я игнорирую заголовки HTTP и тому подобное, но это будет еще более запутанным).
Обычно вы хотите создавать свои списки ACL на основе портов UDP / TCP и IP-адресов по большей части. Я рекомендую вам прочитать вводную книгу Cisco, которая охватывает не только саму Cisco, но и принципы работы основных сетей. Возможно, хорошая книга могла бы быть Sybex CCNA. Администрирование маршрутизаторов с этими основами обычно довольно опасно.
Вероятно, вам лучше внедрить WCCP в фильтрующий прокси, чем пытаться (ab) использовать механизм ACL. ACL работают на уровне 3 (или уровне 2, если они ACL уровня MAC) и не имеют понятия «доменное имя». На маршрутизаторах более высокого уровня ACL компилируются в конфигурацию ASIC и будут выполняться на программируемом оборудовании, а не интерпретироваться. Принуждение высокопроизводительного маршрутизатора к частому поиску DNS (чтобы каждый пакет был точным на 100%) полностью убил бы производительность.