Начал настраивать des 3028 Firmware Version : Build 2.90.B09



На команду config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 593 port 1-24 deny свитч начал ругаться на отсутсвие памяти для правила, хотя через веб интерфейс показывает доступных порядка 150.

Память действительно закончилась? А как же привязка каждого клиента ip_port? Как же приоритезация IPTV трафа по dscp?
Люди пишут что все это делают, а я уже в начале пути остался без памяти? Как решить проблему?

Посмотрел:

Заняло порядка 95 правил, тем не менее свитч пишет что свободно еще около 150.

Выход мне видится один - отказаться от arp_spoofing_prevention. Но не наступлю ли я при привязке клиентов на те же грабли, но когда уже будет поздно?

Посмотрите, пожалуйста, через "sh access_profile" сколько свободных правил доступно на коммутаторе.

Действительно...

И как в таком случае использовать arp_spoofing_prevention? Одна фича жрет все ACL.
На данный момент решил отказаться.

Если сделать так:
create access_profile ip tcp dst_port_mask 0xFFFF profile_id 4
config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 135 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 137 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 138 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 139 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 369 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 445 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 593 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 1900 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 2869 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip tcp dst_port 5000 port 1-28 deny

занимаем только 10 правил....
Оставлять на аплинках открытыми эти порты просто нет смысла, если они закрываются
для пользователей.

Так и сделал. Подсказали на наге.
Тем не менее фича арп спуфинг превеншн убила. Боюсь ее использовать, чтобы вдруг не закончились правила при привязке по ACL 10ого, например, клиента. Или понадобятся ACL для других необходимостей.

Если в правилах указать номера портов 1-28, то используется только одно правило. ARP Spoofing Prevention при необходимости можно самостоятельно реализовать на PCF ACL c учетом этого workaround.

Через этот порт работают некоторые банк клиенты и еще какая то чепуха.

_________________
D-Link Switches: Tips & Tricks