zend писал(а):
xcme писал(а):
Оффтоп:
p.s. Некоторые порты (вроде 137, 138) пропустил, т.к. такие запросы броадкастовые и их надо блокировать соответствующим правилом. Явное указание портов избыточно.
Если не секрет, расскажите пожалуйста, каким правилом вы блокируете бродкаст?
У меня для C1 еще нет полного набора правил. Для A1/B1 одно время было так:
Код:
create access_profile packet_content_mask destination_mac FF-FF-FF-FF-FF-FF offset1 l2 0 0x0 profile_id 7
config access_profile profile_id 7 add access_id auto_assign packet_content destination_mac FF-FF-FF-FF-FF-FF port 1-24 deny
Оффсет нужен для какой то недокументированной фичи.
В этой серии если пакет/кадр попадают одновременно и под ACL и под PCF ACL, то
приоритетным будет запрещающее правило, а не то, что идет первым (что напрашивается, но увы). Поэтому, чтобы не выделываться, я стараюсь все сразу делать на PCF.
Код:
#deny TCP 135,139,445,2869,3587,5357,5358
create access_profile packet_content_mask offset1 l3 8 0xFF offset2 l3 22 0xFFFF profile_id 2
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x6 offset2 0x0087 port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x6 offset2 0x008B port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x6 offset2 0x01BD port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x6 offset2 0x0B35 port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x6 offset2 0x0E03 port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x6 offset2 0x14ED port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x6 offset2 0x14EE port 1-24 deny
#deny UDP 135,213,445,3540,3587,5355
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x11 offset2 0x0087 port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x11 offset2 0x00D5 port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x11 offset2 0x01BD port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x11 offset2 0x0DD4 port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x11 offset2 0x0E03 port 1-24 deny
config access_profile profile_id 2 add access_id auto_assign packet_content offset1 0x11 offset2 0x14EB port 1-24 deny
Опять же, для A1/B1.
P.S. Преимущество PCF еще и в возможности использования "бинарной" маски (см блог). Это позволяет экономить правила (при продуманной организации адресного пространства).
Вход
Регистрация
FAQ
Поиск
