DGS-1210-28/ME и ARP Spoofing PreventionУважаемые коллеги, прошу помощи!
Не получается настроить ARP Spoofing Prevention для D-Link DGS-1210-28/ME средствами Packet Content Filter.
Информация о свитче:
Код:
Device Type : DGS-1210-28/ME
MAC Address : 1C-5F-2B-7C-5F-1D
IP Address : 10.1.2.188 (Manual)
VLAN Name : default
Subnet Mask : 255.255.255.0
Default Gateway : 10.1.2.254
System Boot Version : 1.00.024
System Firmware Version : 6.12.B049
System Hardware Version : A2
System Serial Number : S3C81G7000668
System Name :
System Location :
System up time : 7 days, 6 hrs, 30 min, 38 secs
System Contact :
System Time : 14/11/2016 18:39:16
STP : Disabled
GVRP : Disabled
IGMP Snooping : Disabled
VLAN Trunk : Disabled
802.1X Status : Disabled
Telnet : Enabled (TCP 23)
Web : Enabled (TCP 80)
RMON : Disabled
SSH : Disabled
Syslog Global State : Enabled
SSL : Disabled
CLI Paging : Enabled
Password Encryption State : Disabled
Во 2-й порт свитча подключен ноутбук с IP 10.1.2.189 (0x0a0102bd).
Если октлючить и включить 2-й порт, то в Wireshark на ноутбуке видно, как последний получает MAC шлюза 10.1.2.254, и после ноутбук может пинговать шлюз.
Но если я добавляю правила для предотвращения ARP Spoofing, то свитч перестаёт пропускать ARP пакеты от ноутбука:
Код:
delete access_profile all
create access_profile packet_content_mask offset_chunk_1 3 0x0000ffff offset_chunk_2 7 0x0000ffff offset_chunk_3 8 0xffff0000 profile_id 3
config access_profile profile_id 3 add access_id 128 packet_content offset_chunk_1 0x00000806 offset_chunk_1_mask 0x0000ffff port 1-24 deny
config access_profile profile_id 3 add access_id 1 packet_content offset_chunk_2 0x00000a01 offset_chunk_2_mask 0x0000ffff offset_chunk_3 0x02bd0000 offset_chunk_3_mask 0xffff0000 port 2 permit
После нескольких тестов пришёл к выводу, что для packet_content не работают permit правила.
Например, если заблокировать ARP-запросы только от IP ноутбука 10.1.2.189, то они успешно блокируются:
Код:
delete access_profile all
create access_profile packet_content_mask offset_chunk_1 3 0x0000ffff offset_chunk_2 7 0x0000ffff offset_chunk_3 8 0xffff0000 profile_id 3
config access_profile profile_id 3 add access_id 1 packet_content offset_chunk_2 0x00000a01 offset_chunk_2_mask 0x0000ffff offset_chunk_3 0x02bd0000 offset_chunk_3_mask 0xffff0000 port 2 deny
Если при этом ноутбуку сменить IP на 10.1.2.190, то он спокойно получает MAC шлюза и может его пинговать - т.е. deny правило для IP 10.1.2.189 работает.
Что я делаю не так? Неужели для packet_content этой модели свитча не работают permit правила?
Вход
Регистрация
FAQ
Поиск
