Вопрос к гуру по DES-3526, по составлению ACL на основе packet_content.
Есть задача - разрешить tcp от клиента:
IP = 10.0.192.2/22,
МАС = 00:00:21:01:AF:10
в подсеть 10.0.192.0/20 с диапазоном src портов 49152 - 65535 (торрент), порт № 1 DES-3526.
ACL хочу выполнить на основе packet content. Нарисовалось следующее:

Вопрос - все ли верно? Самое сомнительное выделено красным.
src MAC
TCP
src IP
dst IP (subnet)
src ports
Первое сомнение в маске offset-а - 0xF000C000 - можно ли вообще применять здесь что-либо отличное от "0", или "F" ?
Второе - будет ли здесь 0xC000C000 работать именно диапазон портов (от 49152 до 65535)??

чем вам не нравятся обычные ACL и почему они в вашем случае не подходят?

Гм.. Вопросом на вопрос? "Отвечу" в Вашем стиле - а чем Вы можете доказать, что "обычные" лучше? Обоснуйте, пожалуйста!
Ну а если немного поподробнее, то желание применить для решения задачи именно этот тип ACL появилось после прочтения вот здесь вот этого и после просмотра похожего решения у коллеги.

P.S. Собственно, все это несколько оффтоп.. Может быть все же по теме поговорим?

И это всё, что могут сказать гуру?
Может быть служба техподдержки может что-либо пояснить по сабж, или предложить вменяемую документацию? Из предложенных примеров в FAQ, к сожалению, "шубу не сошьешь", в смысле не выяснить особенности применения ACL на основе packet content, больше приходится гадать...
P.S. Готов читать даже на English, лишь бы по теме.

В FAQ очень вменяемая документация, а по поводу Вашего вопроса Вам абсолютно правильно заметили что можно сделать при помощи стандартных ACL. Их просто проще написать. Ну да ладно, специально для китайских комсомольцев!:)))

Если Вы правильно выставили offset-ы (проверять не буду это просто), то правила следующие:
1) Маска может быть любой (не только 0 и 1). В разрядах которые Вы хотите проверять и по которым должно полное совпадение в пакете ставится 1, в тех что не нужно проверять 0.
2) В правиле там где в разрядах в маске стоит 1 нужно ставить реальное значение бита, а там где 0 - любое.

Т.е. в плане TCP портов маска и правила под Ваши задачи написаны правильно.

1. KovAl59 писал(а):
   Первое сомнение в маске offset-а - 0xF000C000 - можно ли вообще применять здесь что-либо отличное от "0", или "F" ?
   
   можно, не сомневайтесь! главное - это то чтобы то что Вы хотите фильтровать попадало под маску
2. KovAl59 писал(а):
   Второе - будет ли здесь 0xC000C000 работать именно диапазон портов (от 49152 до 65535)??
   
   см. п.1.

P.S. правила особо не анализировал, т.к. любой пакет на котором строится ACL - это всего лишь повод посчитать в нем байты, но без тестов в конкретных условиях - ACL - ничто!
P.P.S. _внимательно_ читаем что сказал ув. И.Демин

_________________
с уважением, БП