Питаюсь переписать правила ACL PCF на новую ревизию. Пока не получается.

Задача в упрощенном виде следующая.


1. Разрешить пари MAC-IP-ПОРТ.
2. Разрешить правильние ARP ответи с тех-же пар MAC-IP-ПОРТ.

В разрезе по байтам пакета:
1 задача.
MAC источника - с 6 по 11 байт
Тип протокола - 20 и 21 байт
IP источника - с 30 по 33 байт

2 задача
MAC отправителя - с 6 по 11 байт
Тип протокола - 20 и 21 байт
MAC источника в заголовке ARP пакета- с 30 по 35 байт
IP источника - с 36 по 39 байт

На предидущей ревизии все виглядело следующим образом (вместе с PHP кодом):


create access_profile packet_content_mask source_mac FF-FF-FF-FF-FF-FF offset1 l2 0 0xFFFF offset2 l3 8 0xFFFF offset3 l3 10 0xFFFF offset4 l3 12 0xFFFF offset5 l3 14 0xFFFF offset6 l3 16 0xFFFF offset7 l3 18 0xFFFF profile_id 10

$command='config access_profile profile_id 10 add access_id '.$rule_no.' packet_content source_mac '.$mac_original.' mask FF-FF-FF-FF-FF-FF offset1 0x0800 offset2 0x0 mask 0x0 offset3 0x0 mask 0x0 offset4 0x'.substr($ip_hex,0,4).' mask 0xffff offset5 0x'.substr($ip_hex,4,4).' mask 0xffff offset6 0x0 mask 0x0 offset7 0x0 mask 0x0 port '.$port.' permit ';

$command='config access_profile profile_id 10 add access_id '.(1000+$rule_no).' packet_content source_mac '.$mac_original.' mask FF-FF-FF-FF-FF-FF offset1 0x0806 mask 0xffff offset2 0x'.substr($mac,0,4).' mask 0xffff offset3 0x'.substr($mac,4,4).' mask 0xffff offset4 0x'.substr($mac,8,4).' mask 0xffff offset5 0x'.substr($ip_hex,0,4).' mask 0xffff offset6 0x'.substr($ip_hex,4,4).' mask 0xffff offset7 0x0 mask 0x0 port '.$port.' permit ';


Пробуем перейти на новую ревизию (используя http://dlink.ru/ru/faq/62/892.html (если я провильно понял логику)):

1 задача.
MAC источника - с 6 по 11 байт (offset_chunk №№ 2 и 3)
Тип протокола - 20 и 21 байт (offset_chunk №№ 5)
IP источника - с 30 по 33 байт (offset_chunk №№ 8 )

2 задача
MAC отправителя - с 6 по 11 байт (offset_chunk №№ 2 и 3)
Тип протокола - 20 и 21 байт (offset_chunk №№ 5)
MAC источника в заголовке ARP пакета- с 30 по 35 байт (offset_chunk №№ 8 и 9)
IP источника - с 36 по 39 байт (offset_chunk №№ 9 и 10)

Итого мне нужно 7 (семь) offset_chunk что-би ето реализовать. Даже если реализовивать только задачу №2 и не фильтровать MAC отправителя - все равно нужно 5 (пять) offset_chunk. А все есть 4 штуки offset_chunk.

Как жить дальше? Только IMPB+DHCP Snoping?

Пишите сюда
viewtopic.php?f=2&t=153817
Закрыто