Hamuul писал(а):
Каким образом следует указать правила для блокирования ARP броадкаста со всех машин кроме двух подключеных во 2 порт, допустим с IP 10.20.30.40 и 10.20.30.41 и мак адресами 11-22-33-44-55-66 и 11-22-33-44-77 сответсвенно, возможно ли это?
Непонятно. Вы хотите блокировать ARP броадкаст со всех машин кроме двух на порту 2, но при этом пишете, что в этом порту и так две машины. Наверное, речь идет все же о блокировании ARP броадкастовых пакетов
НА порт 2
С порта 1, чтобы в радиоканал на валилось много "мусора". Верно?
Тогда да, можно. Для этого в своем первом профиле сделайте так:
Код:
create access_profile ethernet ethernet_type source_mac FF-FF-FF-FF-FF-FF profile_id 1
config access_profile profile_id 1 add access_id auto_assign ethernet ethernet_type 0x806 source_mac 11-22-33-44-55-66 port 1 permit
config access_profile profile_id 1 add access_id auto_assign ethernet ethernet_type 0x806 source_mac 11-22-33-44-55-77 port 1 permit
Данные правила разрешат ARP с указанных МАКов. Шестой же Ваш профиль заблокирует весь остальной броадкаст, ключая ARP.
Вот еще пример правила, которое у меня. Оно разрешает исходящие ARP с любых адресов порта 9, но пропускает только те, где спрашивают конретный IP адрес машины. Более того, приоритет этих пакетов самый низкий, а полоса пропускания ограничена параметром 1. Судя по возможным данным rx_rate (
<value 1-156249>) и скорости порта в 1000МБит, получается, что я разрешил ARP в размере 1/156249 максимальной скорости порта, т.е. всего 6,4Кбита.
Вот, собственно, правило:
Код:
create access_profile profile_id 9 packet_content_mask offset_chunk_1 0 0xFFFF offset_chunk_2 1 0xFFFFFFFF offset_chunk_3 3 0xFFFF offset_chunk_4 10 0xFFFFFFFF
config access_profile profile_id 9 add access_id 1 packet_content offset_chunk_1 0xFFFF offset_chunk_2 0xFFFFFFFF offset_chunk_3 0x806 offset_chunk_4 0xA4837F2 port 9 permit priority 1 rx_rate 1
В Вашем случае это будет port 1, а вместо 0xA4837F2 укажете опрашиваемые IP в 16-ричном формате. У меня 0xA4837F2 - это 10.72.55.242 (0A=10, 48=72, 37=55, F2=242). У Вас это будет 0xA141E28 для IP адреса 10.20.30.40. Для второго IP аналогично посчитаете и сделаете правило.
Упс, написал свои примеры и не заметил, что ответ уже дан на другой странице
По сути, мои правила, основанные на packet_content_mask точь-в-точь, как дал Александр, только в моем правиле еще идет проверка, что МАК-адрес броадкастовый,+приоритет пониженный дается пакетам+ограничение полосы на ARP.
Вход
Регистрация
FAQ
Поиск
