Respuesta: No tengo idea.
Aclaracion: A nadie le importa. (Salvo a Cristian claro...)
Los object-group agrupan objectos similares permitiendo manejarlos como un solo objeto. Esto hace mucho mas ordenado el codigo y mas simple el debug.
De esta manera si, por ejemplo, tengo un grupo de PCs agrupadas en un object group al cual les doy salida irrestricta a internet, cuando necesite dar salida a otra PC simplemente la agrego al grupo y hereda todos sus permisos.
Se pueden crear los siguientes tipos de object-group:
*Protocol
*Network
*Service
*ICMP type
El set de comandos para object-group es:
object-group grp_id
object-group description description_text
group-object object_grp_name
object-group icmp-type grp_id
icmp-object icmp_type
object-group network grp_id
network-object host host_addr
network-object net_addr netmask
object-group protocol grp_id
protocol-object protocol
object-group service grp_id {tcp|udp|tcp-udp}
port-object eq service
port-object range begin_service end_service
Por ejemplo, para permitir a determinadas IPs salir libremente a internet se pueden agrupar en un object-group y permitir la salida de este sin necesidad de permitirlas una a una en una ACL.
(config)#object-group network my_obj (config-network)#description IPs con Salida Libre (config-network)#network-object host 192.168.1.14 (config-network)#network-object host 192.168.1.15 (config-network)#network-object host 192.168.1.18 (config-network)#network-object 192.168.2.0 255.255.255.0 (config-network)#exit (config)#access-list acl_free permit ip object-group my_obj any (config)#access-group acl_free in interface outside
Los object-group de tipo ICMP se usan para especificar tipos de ICMP en una ACL
(config)#object-group icmp-type icmp_allowed (config-icmp-type)#icmp-object echo (config-icmp-type)#icmp-object time-exceeded (config-icmp-type)#exit (config)#access-list acl_icmp permit icmp any any object-group icmp_allowed
Para crear grupos de servicio que incluyan DNS (TCP/UDP), LDAP (TCP), and RADIUS (UDP) pueden configurar lo siguiente:
hostname(config)# object-group service services1 tcp-udp hostname(config-service)# description DNS Group hostname(config-service)# port-object eq domain hostname(config)# object-group service services2 udp hostname(config-service)# description RADIUS Group hostname(config-service)# port-object eq radius hostname(config-service)# port-object eq radius-acct hostname(config)# object-group service services3 tcp hostname(config-service)# description LDAP Group hostname(config-service)# port-object eq ldap
Tambien se pueden agrupar objet-groups para por ejemplo permisos compartidos por distintas areas de una empresa.
hostname(config)# object-group network Area-Marketing hostname(config-network)# network-object host 192.168.1.5 hostname(config-network)# network-object host 192.168.1.9 hostname(config-network)# network-object host 192.168.1.89 hostname(config)# object-group network Area-Pagos hostname(config-network)# network-object host 192.168.2.8 hostname(config-network)# network-object host 192.168.2.12 hostname(config)# object-group network Area-Jefes hostname(config-network)# network-object host 192.168.4.89 hostname(config-network)# network-object host 192.168.4.100
Con esto puede agrupar los 3 grupos correspondientes a las areas citadas:
hostname(config)# object-group network permisos-compartidos hostname(config-network)# group-object Area-Marketing hostname(config-network)# group-object Area-Pagos hostname(config-network)# group-object Area-Jefes
Los subcomandos para object-group son:
object-group icmp-type grp_id
description Texto de Descripcion
icmp-object icmp_type
group-object grp_id
object-group network grp_id
description Texto de Descripcion
network-object host host_addr
network-object host_addr netmask
group-object grp_id
object-group protocol grp_id
description Texto de Descripcion
protocol-object protocol
group-object grp_id
object-group service grp_id {tcp | udp | tcp-udp}
description Texto de Descripcion
port-object range begin_service end_service
port-object eq service
group-object grp_id
Por supuesto que siendo cisco los object-group se pueden ver con el comando "show" y con el comando "clear" borrarlos asi como con el uso del "no".
no object-group icmp-type grp_id
no object-group network grp_id
no object-group protocol grp_id
no object-group service grp_id {tcp | udp | tcp-udp}
clear object-group [grp_type]
show object-group [id grp_id | grp_type]
