Как и где это включить???

_________________
Размер - величина зависящая от обстоятельств...

1. Обновляю.
2. Поподробнее можно?
3. Как именно tcpdump-ом отловить именно ентот пакет?

_________________
Размер - величина зависящая от обстоятельств...

Обновляю.

_________________
Размер - величина зависящая от обстоятельств...

Общие принципы здесь - http://dlink.ru/technical/faq_hub_switch_90.php
Очень удобный фильтр, ибо можно закрыть пакет по любому БИТУ пакета...
Находите вируснёвую машину, с помощью mirroring снимаете дамп (сниффер - Ethereal в частности) пакетов, там должен быть пакет типа АРП ответ с содержимым, что ИП шлюза соответствует такой-то МАК(поддельный). Далее тем же сниффером разбираете пакет и создаёте правило с запретом АРП ответа с ИП шлюза.
З.Ы. Сейчас не на работе, буду в конторе покажу более конкретный пример.

Ок. Надеюсь наболее подробный пример.

_________________
Размер - величина зависящая от обстоятельств...

0000 0008c739 eaa600e0 4cd7f2db 08060001
0010 08000604 000200e0 4cd7f2db ac1d8e81

Кусок пакета ответа ARP с зараженной машины. Жирное выделение - тип протокола, красное - тип (ARP reply), синее - IP шлюза. Насколько я понимаю, нужно запретить прохождение пакетов с выделенными байтами на клиентских портах?
По идее правило должно выглядеть так:
create access_profile packet_content_mask offset_16-31 0x0 0x0 0xffff0000 0x0 offset_32-47 0xffffffff 0x0 0x0 0x0 profile_id 1
config access_profile profile_id 1 add access_id 1 packet_content_mask offset_16-31 0x0 0x0 0x00020000 0x0 offset_32-47 0xac1d8e81 0x0 0x0 0x0 port 1 deny

К сожалению, пока проверить нет возможности, абонент уже переустановил систему.

Именно так. В соответствующих разрядах по которым надо выбирать пакет в маске в профиле поставьте единицы. А уже в правиле поставьте те значения которые должны быть ьв пакеты. Те разряды которые не надо анализировать поставьте в ноль.

Demin Ivan, что за режим "strict", как именно он включается и для чего нужен?

Большой пасиб - буду пробовать.
зы: принесли одну заражённую машину - думаю как лучше поступить т.к. она ещё не лечилась.

Хотя этот способ только лишь "отмазка"("костыль") от проблеммы.
Ведь подставленый адрес может быть не только адресом шлюза...

_________________
Размер - величина зависящая от обстоятельств...

2 Demin Ivan:
Обновил все свичи.
Перевёл абонентов с ARP IP-MAC-PORT привязки на ACL IP-MAC-PORT привязку.
Стало интереснее...
Два варианта: (причём почему и как - зависимости не выявлено)
1) Абонент успевает разослать пару широковещательных пакетов, после чего порт блокируется. Через некоторое время (случайно, от 1 до 5 минут) порт разблокируется и всё повторяется.
2) Коммутатору пофигу на то что рассылает абонент... При чём если абонент меняет IP - он блокируется.

Возможно ли увидеть функционал в виде автоматического создания ACL (запрещающего) по поводу рассылки ARP пакетов с портов где указана привязка IP-MAC-PORT?

_________________
Размер - величина зависящая от обстоятельств...

Режим strict это с блокировкой первого ARP пакета. Вы его пробовали явно прописать на порту? Функции автоматического прописывания указанных правил не ожидается.

1) Как прописать блокировку первого ARP пакета??? Куда более явнее это прописывать чем в таблице IP-MAC-PORT привязок???
2) Жаль, это сделало бы работу привязок полноценной и защищённой. зы: на самом деле - что мешает автоматически создавать правила при создании привязки - эт всего лишь одна-две дополнительные команды при наличии всех исходных данных.

_________________
Размер - величина зависящая от обстоятельств...

Вот я и говорю про блокировку первого ARP пакета опцией strict при включении функции на порту. А по поводу второго пункта в этом случае слишком много ACL будет использовано.

уточните пожалуйста, если я в одном packet_content укажу блокировку по айпи + мак, будет ли блокировать если появится только мак или только айпи, или для этого нужно создавать два отдельных профиля?

Нет будет только по обоим условиям сразу. В этом случае надо делать два профиля.