как на 3526 запретить все броадкасты кроме pppoe и arp

Перезвоните пожалуйста в офис по телефону 744-00-99 доб.390.

Воспользовался этим: http://tools.ietf.org/html/rfc826

Поймал пакет в сети(для проверки):

13:16:22.047462 arp who-has 10.0.4.103 tell 10.0.4.102
0x0000: ffff ffff ffff 0017 9a08 088e 0806 0001
0x0010: 0800 0604 0001 0017 9a08 088e 0a00 0466
0x0020: 0000 0000 0000 0a00 0467 0000 0000 0000
0x0030: 0000 0000 0000 0000 0000 0000

===========================
Создал Access Profile:

Profile ID 1
Type Packet Content Mask
Offset Offset (0 - 15)
mask:0xffffffff
mask:0xffff0000
mask:0x00000000
mask:0xffff0000
Offset (16 - 31)
mask:0x00000000
mask:0x00000000
mask:0x00000000
mask:0x00000000
Offset (32 - 47)
mask:0x00000000
mask:0x00000000
mask:0x00000000
mask:0x00000000
Offset (48 - 63)
mask:0x00000000
mask:0x00000000
mask:0x00000000
mask:0x00000000
Offset (64 - 79)
mask:0x00000000
mask:0x00000000
mask:0x00000000
mask:0x00000000

===========================
создал правило(для проверки):

Profile ID 1
Access ID 1
Mode Deny
Type Packet Content Mask
Priority ------
Replace Dscp with ------
Offset Offset (0 - 15)
mask:0xffffffff
mask:0xffff0000
mask:0x00000000
mask:0x08060000
Offset (16 - 31)
mask:0x00000000
mask:0x00000000
mask:0x00000000
mask:0x00000000
Offset (32 - 47)
mask:0x00000000
mask:0x00000000
mask:0x00000000
mask:0x00000000
Offset (48 - 63)
mask:0x00000000
mask:0x00000000
mask:0x00000000
mask:0x00000000
Offset (64 - 79)
mask:0x00000000
mask:0x00000000
mask:0x00000000
mask:0x00000000
Port Number Port 24
Owner ACL

===========================
Результат: Пакеты песпрепятственно проходят свич.
Вопрос: Что сделал не так?

Вы трафик запрещаете на каком порту? На 24-ом? Т.е. это входящий трафик для 24-ого порта?

трафик который хочу запретить идет с компьютера, подключенного на 24-м порту

Перезвоните пожалуйста в офис по телефону 744-00-99 доб.390.

про сдвиг на 4 байта из-за метки 802.1q не забыли ? --- сниферы эти метки не показывают - а в профилях их учитывать надо

"it adds an extra 4 bytes after the Ethernet header, consisting of a two-byte Tag Control Information (TCI) field" (цитата)


Так вот у меня все внутри Ethernet header-a.

на сколько я помню --- метка влана это с 12 по 15 байты --- то етсь последнее поле проверки находится у вас как раз на этом месте.

http://dlink.ru/technical/faq_hub_switch_90.php

притом что я сам мучился с этим -- и после того как стал делать сдвиг именно в этом месте -- все начинало работать как ни странно.
Для примера приведу вам кусок из 100% рабочего профиля с моего 3526
Offset (16 - 31)
mask:0x08060000
mask:0x00000000
mask:0x00000007
mask:0xe90f58f8

как видите поле проверки типа протокола - находится в офсете 16-31 - а у вас в 0-15