Alexandr Zaitsev писал(а):
Коммутатор позволяет добавлять на порт несколько ip-mac привязок через
Код:
create address_binding ip_mac ...
Пожалуй, я не совсем ясно выразился. При использовании ACL в des-3526\des-3028 профиль с PCF использовался для фильтрации абонентских точек по паре ip-mac. Но даже если разрешающее правило для абонента отсутствовало, все равно были доступны некоторые узлы сети. Реализовано было так:
Код:
# Всегда пропускать на указанные адреса
create access_profile ip destination_ip_mask 255.255.255.255 profile_id 2
config access_profile profile_id 2 add access_id auto_assign ip destination_ip 10.1.0.1 port 1-24 permit
config access_profile profile_id 2 add access_id auto_assign ip destination_ip 10.1.0.2 port 1-24 permit
....
# Указанным мак-адресам всегда разрешать\запрещать
create access_profile ethernet source_mac FF-FF-FF-FF-FF-FF profile_id 3
config access_profile profile_id 3 add access_id auto_assign ethernet source_mac 00-1D-60-F4-A5-69 port 1-24 permit
....
# Разрешать пакеты на указанные мак-адреса и разрешать broadcast
create access_profile ethernet destination_mac FF-FF-FF-FF-FF-FF profile_id 4
config access_profile profile_id 4 add access_id auto_assign ethernet destination_mac 00-14-2A-67-12-61 port 1-24 permit
....
config access_profile profile_id 4 add access_id auto_assign ethernet
destination_mac FF-FF-FF-FF-FF-FF port 1-24 permit
# Фильтрация ip-mac
create access_profile packet_content_mask offset_0-15 0x0 0xFFFF 0xFFFFFFFF 0x0 offset_16-31 0x0 0x0 0x0 0xFFFF offset_32-47 0xFFFF0000 0x0 0x0 0x0 profile_id 6
....
# Разрешенные ip-адреса, для которых еще не известен mac
create access_profile ip source_ip_mask 255.255.255.255 profile_id 7
config access_profile profile_id 7 add access_id auto_assign ip source_ip 10.10.0.1 port 1 permit
# Все остальное не пропускать
create access_profile ip source_ip_mask 0.0.0.0 profile_id 8
config access_profile profile_id 8 add access_id auto_assign ip source_ip 0.0.0.0 port 1-24 deny
Если на des-3528 я такую же схему ACL использую вместе с IMPB (не создавая профили 6 и 8, в них нет смысла), то с портов 1-24 при включенном на них IMPB в режиме acl я не получаю доступ на узлы, указанные в ацл профиле 2. Хотя если смотреть вывод show access_profile , видно что профиль с правилами IMPB создается под номером 14. В мануале указано, что порядок обхода - от меньшего номера правила к большему и от меньшего номера профиля к большему.
Или правила IMPB всегда выше по приоритету относительно созданных вручную?
Вход
Регистрация
FAQ
Поиск
