посдкажите как создать правило, что бы блокировать левые пптп сервера?
Есть большая сеть, на доступе везде стоит 3526 или 3028, все сводяться оптикой на 3627G, за ним уже стоят куча насов на фре с мпд на борту.
Подскажите, как сделать так, что бы устанавливать пптп соединение можна было исключительно с нашими серверами? В случае с дхцп все просто - блокируем ответ на пользовательских портах, и разрешаем на аплинке и так на всей цепочке, как быть в случае с пптп/гре?
Тоесть полностью резать гре нельзя, итого
юзать нельзя.
или если это проще, как запретить на клиентских портах устанавливать соединение с пптп серверами не с подсети X.X.X.X/Y

пробовал вот так

Режет все..

Итого сформулирую задачу снова, нужно разрешить только клиентам с подсети 10.192.0.0/11 доступ до насов в подсети 10.200.1.0/29 по GRE. Всем остальным клиентам доступ до любых пптп серверов ограничить, тоесть порезать GRE.
прошу подсказать, что не так в предыдущих моих правилах, почему режеться все, хотя первый аксес профайл и правило в нем по идеи должно не резать 10.192.0.0/11 по гре до 10.200.1.0/29

добавлю - 1-24 клиентские порты, 25-26 - аплинки. (на аплинках идут транкы, тоесть несколько тегированых вланов), на юзерских портах - соотвественно сколько нужно антегов.

В правиле source_ip 10.192.0.1 destination_ip 10.200.0.1 получается указаны не сети, а определенные адреса, вот для них только и открыт доступ.

А вариант резать сразу попытки поднятия тунеля (tcp/1723) подойдет ? Тогда до GRE даже и не дойдет дело.

Там указаны подсети, смотрите профиль, там есть src_ip)mask и dest_ip_mask

По идее так должно работать.
Укажите адрес сервера и адрес клиента в этом тесте.

А почему просто не запретить tcp dst_port 1723?