1. Уважаемые посетители форума! Прежде чем помещать в форум новое сообщение о возникшей у Вас проблеме, пожалуйста, поищите ее решение в ответах на часто задаваемые вопросы FAQ, или воспользуйтесь поиском по форуму.
  2. Форум не является системой моментального ответа на вопросы. Если Вам необходимо получить ответ на ваш вопрос в кратчайшие сроки - пожалуйста, позвоните в ближайший к Вам региональный офис D-Link.
faq обучение настройка
Текущее время: Ср июл 23, 2025 20:49

Сообщения без ответов | Активные темы


Список форумов » Коммутаторы

Часовой пояс: UTC + 3 часа




Начать новую тему Ответить на тему  Страница 1 из 2
  [ Сообщений: 30 ]  На страницу 1, 2  След.
  Предыдущая тема | Следующая тема 
Автор Сообщение
neonman
СообщениеДобавлено: Вт сен 29, 2009 19:53 
Не в сети

Зарегистрирован: Ср окт 15, 2008 13:44
Сообщений: 131
Откуда: Тольятти
Помогите пожайлуста организовать ограничение для неплательщиков только до личного кабинета (доступ на кабинет по днс-имени), что-то никак не могу осилить, да и судя по всему могу не уложиться в количество ацлей (я правильно понял что на весь 3028 всего 256 правил?), пытался сделать так:

Код:
create access_profile  ip  udp src_port 0xFFFF    profile_id 1
config access_profile profile_id 1  add access_id 1  ip  udp src_port 67        port 25-28 permit
config access_profile profile_id 1  add access_id 2  ip  udp src_port 67        port 1-24 deny
create access_profile  ip  udp dst_port 0xFFFF    profile_id 4
config access_profile profile_id 4  add access_id 1  ip  udp dst_port 53        port 1-24 permit
create access_profile  ip  source_ip 255.255.255.255  profile_id 5
config access_profile profile_id 5  add access_id 1  ip  source_ip 10.19.48.254     port 5 permit
create access_profile  ip  destination_ip 255.255.255.255 tcp dst_port 0xFFFF    profile_id 6
config access_profile profile_id 6  add access_id 1  ip  destination_ip 10.0.0.11       tcp dst_port 80        port 1-24 permit
create access_profile  ip  source_ip 0.0.0.0          profile_id 7
config access_profile profile_id 7  add access_id 1  ip  source_ip 0.0.0.0          port 1-24 deny

1 - запрет левых дхцп, 2,3 - arp_spoofing_prevention, 4 - разрешаем весь удп на 53 порт, 5 - тут абоненты которым разрешен доступ, 6 - доступ на айпишку личного кабинета, 7 - запрет всему и вся
Вернуться наверх
 Профиль  
 
svsh1990
 Заголовок сообщения:
СообщениеДобавлено: Вт сен 29, 2009 20:02 
Не в сети

Зарегистрирован: Вт авг 29, 2006 16:44
Сообщений: 2326
Откуда: Ярославль
а зачем два профиля на запрет и разрешение ? создать один профиль с маской 0.0.0.0 и заносить правила на нужные порты. там где надо deny, там где не надо - permit.

_________________
LiveComm
Вернуться наверх
 Профиль  
 
neonman
 Заголовок сообщения:
СообщениеДобавлено: Вт сен 29, 2009 20:07 
Не в сети

Зарегистрирован: Ср окт 15, 2008 13:44
Сообщений: 131
Откуда: Тольятти
да оно пока и так не особо работает, для начала получить бы просто работающую конструкцию, а там уже и оптимизировать можно
Вернуться наверх
 Профиль  
 
Demin Ivan
 Заголовок сообщения:
СообщениеДобавлено: Вт сен 29, 2009 22:33 
Не в сети
Сотрудник D-LINK
Сотрудник D-LINK

Зарегистрирован: Пт май 13, 2005 15:49
Сообщений: 20616
Откуда: D-Link, Moscow
Какая версия прошивки и что конкретно не работает? В этой серии правил 256 но они централизованные. Во-первых и профилей 256, а-во-вторых при назначении одного правила на все 28! портов используется только одно правило из списка.
Вернуться наверх
 Профиль  
 
neonman
 Заголовок сообщения:
СообщениеДобавлено: Вт сен 29, 2009 22:50 
Не в сети

Зарегистрирован: Ср окт 15, 2008 13:44
Сообщений: 131
Откуда: Тольятти
Прошивка 2.31-b03, не работает даже банальный nslookup, хотя udp 53 разрешен, при прописывании айпишника разрешенного клиента - доступа тоже нет.

То есть получается 256 правил на профиль? или всего 256 правил? Кстати, если я добавлял одно правило сразу на port 1-24 - то занималось всё таки 24 правила и это хорошо видно по sh acc:
Код:
Total Profile Entries: 7
Total Used Rule Entries: 197
Total Unused Rule Entries: 59

и это всего лишь с правилами которые выше (+арп_спуф_защита)
Вернуться наверх
 Профиль  
 
Demin Ivan
 Заголовок сообщения:
СообщениеДобавлено: Вт сен 29, 2009 22:56 
Не в сети
Сотрудник D-LINK
Сотрудник D-LINK

Зарегистрирован: Пт май 13, 2005 15:49
Сообщений: 20616
Откуда: D-Link, Moscow
Пришлите пожалуйста полностью Ваш конфиг по почте. Ещё раз и внимательнее одно правило используется если Вы назначаете его на все 28 портов.
Вернуться наверх
 Профиль  
 
neonman
 Заголовок сообщения:
СообщениеДобавлено: Вт сен 29, 2009 23:31 
Не в сети

Зарегистрирован: Ср окт 15, 2008 13:44
Сообщений: 131
Откуда: Тольятти
хм... жаль :( на всех 28 портах включить фильтры не получится, ну если только arp_spoof_prevent
Вернуться наверх
 Профиль  
 
Demin Ivan
 Заголовок сообщения:
СообщениеДобавлено: Вт сен 29, 2009 23:39 
Не в сети
Сотрудник D-LINK
Сотрудник D-LINK

Зарегистрирован: Пт май 13, 2005 15:49
Сообщений: 20616
Откуда: D-Link, Moscow
Некоторые общие правила фильтрации можно, а потом распределить оставшиеся между клиентскими портами. В большинстве случае хватает. Как Вам уже сказали у вас правила написаны неоптимально.
Вернуться наверх
 Профиль  
 
neonman
 Заголовок сообщения:
СообщениеДобавлено: Вт сен 29, 2009 23:51 
Не в сети

Зарегистрирован: Ср окт 15, 2008 13:44
Сообщений: 131
Откуда: Тольятти
всё, разобрался почему не работало, извиняюсь, ложная тревога :) свитч воткнули не в тот порт на вышестоящем, там не был прописан клиентский сегмент

вобщем попробовал заменить 5 профиль на профиль с source_ip_mask 0.0.0.0, добавил в конец правило 200 source_ip 0.0.0.0 deny, добавляю на нужный порт:
Код:
config access_profile profile_id 5 add access_id 9 ip source_ip 10.19.48.254 port 9 permit

а в списке вижу:
Код:
Access ID : 9
Ports     : 9
Mode      : Permit

Source IP
---------------
0.0.0.0
это так и должно быть?
Вернуться наверх
 Профиль  
 
Denis Evgraphov
 Заголовок сообщения:
СообщениеДобавлено: Ср сен 30, 2009 11:16 
Не в сети
Сотрудник D-LINK
Сотрудник D-LINK

Зарегистрирован: Чт фев 12, 2009 14:59
Сообщений: 9482
Откуда: Ryazan
Значение source_ip_mask 0.0.0.0 в профиле по сути распространяет входящие в него правила на пакеты с любым IP источника.
Если хотите разрешить только один конкретный source_ip 10.19.48.254, то маску в профиле нужно создавать как source_ip_mask 255.255.255.255
Вернуться наверх
 Профиль  
 
neonman
 Заголовок сообщения:
СообщениеДобавлено: Ср сен 30, 2009 17:05 
Не в сети

Зарегистрирован: Ср окт 15, 2008 13:44
Сообщений: 131
Откуда: Тольятти
ну значит придется делать правила так, как я выше и написал
Вернуться наверх
 Профиль  
 
svsh1990
 Заголовок сообщения:
СообщениеДобавлено: Ср сен 30, 2009 20:32 
Не в сети

Зарегистрирован: Вт авг 29, 2006 16:44
Сообщений: 2326
Откуда: Ярославль
neonman писал(а):
ну значит придется делать правила так, как я выше и написал
нафига ? разрешить с порта ВСЁ.

_________________
LiveComm
Вернуться наверх
 Профиль  
 
neonman
 Заголовок сообщения:
СообщениеДобавлено: Чт окт 01, 2009 11:55 
Не в сети

Зарегистрирован: Ср окт 15, 2008 13:44
Сообщений: 131
Откуда: Тольятти
нельзя, айпишник должен быть прибит к порту, вот думаю стоит ли там еще и мак проверять или нет
Вернуться наверх
 Профиль  
 
neonman
 Заголовок сообщения:
СообщениеДобавлено: Чт окт 01, 2009 15:03 
Не в сети

Зарегистрирован: Ср окт 15, 2008 13:44
Сообщений: 131
Откуда: Тольятти
слушайте, а для дхцп запросов надо будет еще один профиль делать?
Вернуться наверх
 Профиль  
 
Denis Evgraphov
 Заголовок сообщения:
СообщениеДобавлено: Чт окт 01, 2009 16:34 
Не в сети
Сотрудник D-LINK
Сотрудник D-LINK

Зарегистрирован: Чт фев 12, 2009 14:59
Сообщений: 9482
Откуда: Ryazan
neonman писал(а):
слушайте, а для дхцп запросов надо будет еще один профиль делать?

Дополнительный профиль можно не делать, а добавить правило в уже имеющийся:
create access_profile ip source_ip 255.255.255.255 profile_id 5
config access_profile profile_id 5 add access_id 1 ip source_ip 10.19.48.254 port 5 permit
сonfig access_profile profile_id 5 add access_id 2 ip source_ip 0.0.0.0 port 5 permit
Вернуться наверх
 Профиль  
 
Показать сообщения за:  Сортировать по:  
Начать новую тему Ответить на тему  Страница 1 из 2
  [ Сообщений: 30 ]  На страницу 1, 2  След.

Список форумов » Коммутаторы

Часовой пояс: UTC + 3 часа


Кто сейчас на форуме

Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 34

Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения

Найти:
Перейти:  
cron
Создано на основе phpBB® Forum Software © phpBB Group
Русская поддержка phpBB