Доброго всем дня!
купили свитч, прошивка вроде не очень старая:
Код:
System description : DGS-3610-26G Gigabit Ethernet Switch
System hardware version : A2.0
System software version : v10.3(5T16), Release(90635)
System BOOT version : 10.3.90635
В документации (стр 54-5):
Цитата:
For DGS-3610 series, when associating SVI with the ACL at the outbounding direction, you should note that:
...The default deny any any command is not available.
...If you need to match the destination IP address not in the subnet IP range of the associated SVI in the standard IP ACL, extended IP ACL or expert ACL, this ACL will not take effect. For example, VLAN 1‘s IP address is 192.168.64.1 255.255.255.0. Now you create an ACL with the ACE of deny udp any 192.168.65.1 0.0.0.255 eq 255 and apply this ACL at the egress of VLAN 1. This ACL will not function for the destination IP address is not in the subnet IP range of VLAN 1. If the ACE is deny udp any 192.168.64.1 0.0.0.255 eq 255, this ACL will take effect.
в этой теме тоже сказано об этих ограничениях, и там говорят, что работать и не будет -
viewtopic.php?t=117991&start=0&postdays=0&postorder=asc&highlight=DGS-3610-26Gно почему тогда access-list на out-направление работает на SVI ? Это так мне случайно повезло?
простейший acl:
Код:
DGS-3610#sh access-lists 110
ip access-list extended 110
30 permit ip any host 172.31.116.18
40 deny ip any any
2 packets filtered
DGS-3610#sh run int vlan 10
!
interface VLAN 10
no ip proxy-arp
ip access-group 110 out
ip address 192.168.4.250 255.255.255.0
Мало того, что
работает конструкция "deny ip any any", еще и ACL фильтрует правильно, не взирая на ограничения (что destination IP address is not in the subnet IP range of VLAN 10)
поэтому вопрос:
1. Я не правильно понимаю документацию?
2. Прошивка свитча была доработана, чтобы уметь работать с out acl на SVI без ограничений? (changelog найти не удалось)
3. Оно работает, только ACL обрабатываться будут процессором, а не хардварно?
4. Или все не верно? )
(
Свитч нужно ставить в production, а там access-list'ы посложнее будут, поэтому и хочется знать, будет ли это работать или нет)
Вход
Регистрация
FAQ
Поиск
