Добрый день.

Делаем привязку абонентов на порту по ip через access_profile и блокировку dhcp-серверов левых. Общая схема упрощённо такая, что сначала делаются разрешения на то, что нужно, а в конце блок всего, что не разрешено. В итоге последнее правило выглядит так:



На некоторых свичах делаем так:



Есть стойкое ощущение, что в последнем варианте правило не срабатывает на arp'ы.

И ещё вопрос к разработчикам. Какой вариант затрачивает меньше ресурсов? По-идее, если проверка выполняется по смещению в пакете, то быстрее по IP (тупо меньше байт проверять надо), но если для ip перед этим выполняется доп. проверка на то ip ли пакет это + CRC ip заголовка, то получается, что быстрее mac проверить.

Да, последнее правило ARP не затрагивает, что и логично, так как это это IP профиль.
В плане производительности оба варианта одинаковы: в любом случае ACL правила реализованы аппаратно, поэтому задержек их работа не вызывает.

Так и думал.



Спасибо.

Не за что.