всё просто в FAQе всё очень хорошо описано.
нужно только понимать:
1. фильтруется только входящий на порту трафик
2. в одном профиле практически не возможно универсальное правило создать.
3. в профиле 255 это точное значение. 0 любое знаечение.
4. есть ограничение по кол. профилей и кол. правил.
5. порядок: первыми разрешаеш последними запрещаеш.
от теории к практике:
допустим тебе нужно разрешить на 25 порту прохождение на любой IP с сети 10.0.0.0/8 и запретить всё остальное:
создаёш разрешающий профиль:
Код:
create access_profile ip source_ip_mask 255.0.0.0 profile_id 10
затем правило к этому профилю:
Код:
config access_profile profile_id 10 add access_id 25 ip source_ip 10.0.0.0 port 25 permit
затем запрещающий всё остальное:
Код:
create access_profile ip source_ip_mask 0.0.0.0 profile_id 20
затем правило к этому профилю:
Код:
config access_profile profile_id 20 add access_id 25 ip source_ip 0.0.0.0 port 25 deny
в твоём случае насколько я понял нужно следующее:
разрешающий профиль для VIP IP:
Код:
create access_profile ip source_ip_mask 255.255.255.255 destination_ip_mask 0.0.0.0 profile_id 5
правила:
Код:
config access_profile profile_id 5 add access_id 1 ip source_ip 10.10.10.10 destination_ip 0.0.0.0 port 25 permit
config access_profile profile_id 5 add access_id 2 ip source_ip 10.10.20.10 destination_ip 0.0.0.0 port 25 permit
разрешающий профиль для остальных IP:
Код:
create access_profile ip source_ip_mask 0.0.0.0 destination_ip_mask 255.255.255.255 profile_id 10
правила:
Код:
config access_profile profile_id 10 add access_id 1 ip source_ip 0.0.0.0 destination_ip 1.2.3.4 port 25 permit
config access_profile profile_id 10 add access_id 2 ip source_ip 0.0.0.0 destination_ip 3.2.4.1 port 25 permit
профиль запрещающий всё остальное и правело к нему
Код:
create access_profile ip source_ip_mask 0.0.0.0 destination_ip_mask 0.0.0.0 profile_id 254
config access_profile profile_id 254 add access_id 1 ip source_ip 0.0.0.0 destination_ip 0.0.0.0 port 25 deny
сорри, не понял на каких портах тебя это всё интересует. если на нескольких то пишеш через дефиз, например
port 1-24 deny или
permit
профилей не так много... перед внедрением нужно хорошо всю схему обдумать
Вход
Регистрация
FAQ
Поиск
