Bloquear sitio web con NBAR en enrutador Cisco

Cuando crea listas de acceso o directivas de calidad de servicio (QoS), normalmente utiliza información de capa 1, 2, 3 y 4 para que coincida con ciertos criterios. NBAR (Reconocimiento de aplicaciones basado en red) agrega inteligencia de capa de aplicaciones a nuestro enrutador Cisco IOS, lo que significa que podemos emparejar y filtrar en función de ciertas aplicaciones.

Digamos que quieres bloquear un determinado sitio web como Youtube.com. Normalmente, buscaría las direcciones IP que utiliza youtube y bloquearía a las que usan una lista de acceso o quizás las vigilaría / moldearía en sus políticas de calidad de servicio. Usando NBAR podemos hacer coincidir las direcciones del sitio web en lugar de las direcciones IP. Esto hace la vida mucho más fácil. Veamos un ejemplo en el que usamos NBAR para bloquear un sitio web (youtube, por ejemplo):

R1(config)#class-map match-any BLOCKEDR1(config-cmap)#match protocol http host "*youtube.com*"R1(config-cmap)#exit

Primero crearé un mapa de clases llamado «BLOQUEADO» y usaré el protocolo match para usar NBAR. Como puedes ver, concuerdo en el nombre de host «youtube.com». El * significa «cualquier carácter». Efectivamente, esto bloqueará todos los subdominios de youtube.com, por ejemplo «subdomain.youtube.com» también será bloqueado. Ahora necesitamos crear un mapa de políticas:

R1(config)#policy-map DROP R1(config-pmap)#class BLOCKEDR1(config-pmap-c)#dropR1(config-pmap-c)#exit

El mapa de políticas anterior coincide con nuestro mapa de clases BLOQUEADO y, cuando coincida, el tráfico se eliminará. Por último, pero no menos importante, necesitamos aplicar el mapa de políticas a la interfaz:

R1(config)#interface fastEthernet 0/1 R1(config-if)#service-policy output DROP

Aplicaré el mapa de políticas a la interfaz que está conectada a Internet. Ahora, cada vez que alguien intenta llegar youtube.com su tráfico caerá. Puede verificar esto en su enrutador utilizando el siguiente comando:

R1#show policy-map interface fastEthernet 0/1 FastEthernet0/1 Service-policy output: DROP Class-map: BLOCKED (match-any) 1 packets, 500 bytes 5 minute offered rate 0 bps, drop rate 0 bps Match: protocol http host "*youtube.com*" 1 packets, 500 bytes 5 minute rate 0 bps drop Class-map: class-default (match-any) 6101 packets, 340841 bytes 5 minute offered rate 10000 bps, drop rate 0 bps Match: any 

Arriba se ve que tenemos una coincidencia para nuestro mapa de clases BLOQUEADO. Al parecer, alguien trató de llegar youtube.com. El mapa de clases por defecto coincide con el resto del tráfico y está permitido.