до появления ревизии C1 строили сеть на ревизиях A1, B1. использовали следующие ацл:
Код:
create access_profile ip udp src_port_mask 0xFFFF profile_id 1
config access_profile profile_id 1 add access_id 1 ip udp src_port 68 port 1-24 permit
config access_profile profile_id 1 add access_id 2 ip udp src_port 67 port 1-24 deny
create access_profile ethernet ethernet_type profile_id 2
config access_profile profile_id 2 add access_id 1 ethernet ethernet_type 0x8863 port 1-24 permit
config access_profile profile_id 2 add access_id 2 ethernet ethernet_type 0x8864 port 1-24 permit
config access_profile profile_id 2 add access_id 3 ethernet ethernet_type 0x0806 port 1-24 permit
create access_profile ethernet destination_mac FF-FF-FF-FF-FF-FF profile_id 3
config access_profile profile_id 3 add access_id 1 ethernet destination_mac FF-FF-FF-FF-FF-FF port 1-24 deny
create access_profile ethernet source_mac FF-FF-FF-FF-FF-FF profile_id 4
config access_profile profile_id 4 add access_id 1 ethernet source_mac 00-00-00-00-00-00 port 1-24 deny
всё работало прекрасно, пока к нам не пришла ревизия C1, а именно коммутаторы модели DES-3200-52
немного модифицированные ацл перестали работать:
Код:
create access_profile profile_id 1 profile_name 1 ip udp src_port_mask 0xFFFF
config access_profile profile_id 1 add access_id 1 ip udp src_port 68 port 1-48 permit
config access_profile profile_id 2 add access_id 1 ip udp src_port 67 port 1-48 deny
create access_profile profile_id 2 profile_name 2 ethernet ethernet_type
config access_profile profile_id 2 add access_id 1 ethernet ethernet_type 0x8863 port 1-48 permit
config access_profile profile_id 2 add access_id 2 ethernet ethernet_type 0x8864 port 1-48 permit
config access_profile profile_id 2 add access_id 3 ethernet ethernet_type 0x0806 port 1-48 permit
create access_profile profile_id 3 profile_name 3 ethernet destination_mac FF-FF-FF-FF-FF-FF
config access_profile profile_id 3 add access_id 1 ethernet destination_mac FF-FF-FF-FF-FF-FF port 1-48 deny
create access_profile profile_id 4 profile_name 4 ethernet source_mac FF-FF-FF-FF-FF-FF
config access_profile profile_id 4 add access_id 1 ethernet source_mac 00-00-00-00-00-00 port 1-48 deny
коммутаторы перестали пропускать ethernet type 8863,8864,806, которые описаны в ацл профайле 2. (PPPoE и ARP)
однако, если совместить профайлы 2 и 3 в один, то всё начинает работать:
Код:
create access_profile profile_id 1 profile_name 1 ip udp src_port_mask 0xFFFF
config access_profile profile_id 1 add access_id 1 ip udp src_port 68 port 1-48 permit
config access_profile profile_id 1 add access_id 2 ip udp src_port 67 port 1-48 deny
create access_profile profile_id 2 profile_name 2 ethernet destination_mac FF-FF-FF-FF-FF-FF ethernet_type
config access_profile profile_id 2 add access_id 1 ethernet destination_mac FF-FF-FF-FF-FF-FF ethernet_type 0x8863 port 1-48 permit
config access_profile profile_id 2 add access_id 2 ethernet destination_mac FF-FF-FF-FF-FF-FF ethernet_type 0x8864 port 1-48 permit
config access_profile profile_id 2 add access_id 3 ethernet destination_mac FF-FF-FF-FF-FF-FF ethernet_type 0x0806 port 1-48 permit
config access_profile profile_id 2 add access_id 4 ethernet destination_mac FF-FF-FF-FF-FF-FF port 1-48 deny
create access_profile profile_id 3 profile_name 3 ethernet source_mac FF-FF-FF-FF-FF-FF
config access_profile profile_id 3 add access_id 1 ethernet source_mac 00-00-00-00-00-00 port 1-48 deny
Собственно вопрос: это баг или фича?
P.S. отдельно фильтрация по ethernet type работает, если ставить действие deny, но permit такое ощущение что просто не работает