D-Link • Просмотр темы - DES-3526, 5.01-B09 - проблема с созданием правил в ACL

Сообщения без ответов | Активные темы

Список форумов » Коммутаторы

Часовой пояс: UTC + 3 часа

DES-3526, 5.01-B09 - проблема с созданием правил в ACL

Модераторы: Victor Kolosov, Alexander Shebaronin, Demin Ivan, Sergei Asmankin, Denis Evgraphov, Sergik

Страница 1 из 1

[ Сообщений: 10 ]

Предыдущая тема | Следующая тема

Автор

Сообщение

Pershin Sergey

Заголовок сообщения: DES-3526, 5.01-B09 - проблема с созданием правил в ACL

Добавлено: Чт янв 31, 2008 22:45

Зарегистрирован: Чт ноя 24, 2005 02:57
Сообщений: 33
Откуда: Moscow

На версии прошивки 4.01-B19 все работает великолепно, профили создаются и удаляются.

Обновил прошивку на 5.01-B09, стал тестировать, сразу столкнулся с проблемами:

Код:

DES-3526:admin#create access_profile packet_content_mask offset_32-47  0x0  0x0
 0xFFFF0000  0x0 profile_id 30
Command: create access_profile packet_content_mask offset_32-47 0x0 0x0 0xFFFF0000 0x0 profile_id 30

Success.

DES-3526:admin#config access_profile profile_id 30 add access_id 1 packet_conten
t_mask offset_0-15  0x0  0x0  0x11110000  0x0 port 5 deny
Command: config access_profile profile_id 30 add access_id 1 packet_content_mask offset_0-15 0x0 0x0 0x11110000 0x0 port 5 deny

Success.

DES-3526:admin#config access_profile profile_id 30 add access_id 2 packet_conten
t_mask offset_0-15  0x0  0x0  0x22220000  0x0 port 5 deny
Command: config access_profile profile_id 30 add access_id 2 packet_content_mask offset_0-15 0x0 0x0 0x22220000 0x0 port 5 deny

Fail!

При этом на соседнем порту все создается:

Код:

DES-3526:admin#config access_profile profile_id 30 add access_id 2 packet_content_mask offset_0-15  0x0  0x0  0x22220000  0x0 port 4 deny
Command: config access_profile profile_id 30 add access_id 2 packet_content_mask offset_0-15 0x0 0x0 0x22220000 0x0 port 4 deny

Success.

Удаление и создание профиля приводит к тому, что даже одно правило добавить не получается.

reset config пробовал

Вернуться наверх

Demin Ivan

Заголовок сообщения:

Добавлено: Чт янв 31, 2008 23:09

Сотрудник D-LINK

Зарегистрирован: Пт май 13, 2005 15:49
Сообщений: 20616
Откуда: D-Link, Moscow

Попробуйте пожалуйста прошивку, которую я Вам выслал.

Вернуться наверх

Pershin Sergey

Заголовок сообщения:

Добавлено: Чт янв 31, 2008 23:46

Зарегистрирован: Чт ноя 24, 2005 02:57
Сообщений: 33
Откуда: Moscow

Прошивку попробовал, через telnet все создается нормально.

Но появилась другая проблема - при создании packet_context_mask - правил через SNMP не учитываются значения offset'ов, и получаем ответ commitFailed, при этом сами правила создаются:

Код:

# snmpset -v2c -c private 10.90.90.90 .1.3.6.1.4.1.171.12.9.2.3.1.14.30.1 x 08000000 .1.3.6.1.4.1.171.12.9.2.3.1.15.30.1 i 4 .1.3.6.1.4.1.171.12.9.2.3.1.5.30.1 x 000000000000000001bd000000000000 .1.3.6.1.4.1.171.12.9.2.3.1.13.30.1 i 1
Error in packet.
Reason: commitFailed
Failed object: SNMPv2-SMI::enterprises.171.12.9.2.3.1.5.30.1

а в конфиге появляется вот что:

Код:

config access_profile profile_id 30 add access_id 1 packet_content_mask port 5 permit

по крайней мере для offset'ов 0-15, 16-31, 32-47 такая проблема есть, для 48-63, 64-79 - не пробовал...

да! обратите внимание, вместо создаваемого действия deny (.1.3.6.1.4.1.171.12.9.2.3.1.13.30.1 i 1) в конфиге указано permit!

Вернуться наверх

Bigarov Ruslan

Заголовок сообщения:

Добавлено: Пт фев 01, 2008 14:53

Сотрудник D-LINK

Зарегистрирован: Пт янв 21, 2005 11:52
Сообщений: 11212
Откуда: D-Link, Moscow

Всё нормально создаётся, одно НО! Если Вы анонсируете в профиле "offset_32-47", то и в правилах нужно указывать "offset_32-47", а не "offset_0-15".

Код:

DES-3526:admin#create access_profile packet_content_mask offset_32-47  0x0  0x0 
 0xFFFF0000  0x0 profile_id 30
Command: create access_profile packet_content_mask offset_32-47 0x0 0x0 0xFFFF0000 0x0 profile_id 30

Success.   

DES-3526:admin#config access_profile profile_id 30 add access_id 1 packet_conten
t_mask offset_32-47 0x0 0x0 0x11110000 0x0 port 5 deny
Command: config access_profile profile_id 30 add access_id 1 packet_content_mask offset_32-47 0x0 0x0 0x11110000 0x0 port 5 deny

Success.   

DES-3526:admin#config access_profile profile_id 30 add access_id 2 packet_conten
t_mask offset_32-47 0x0 0x0 0x22220000 0x0 port 5 deny
Command: config access_profile profile_id 30 add access_id 2 packet_content_mask offset_32-47 0x0 0x0 0x22220000 0x0 port 5 deny

Success.

_________________
С уважением,
Бигаров Руслан.

Вернуться наверх

Pershin Sergey

Заголовок сообщения:

Добавлено: Пт фев 01, 2008 16:07

Зарегистрирован: Чт ноя 24, 2005 02:57
Сообщений: 33
Откуда: Moscow

Да, пардон, копипаст из разных мест, но суть от этого не меняется - с прошивкой 5.01-B09 через SNMP в одном профиле не получается создать несколько правил на один порт.

В прошивка, которую мне выслал Demin Ivan - DES3526_R501B18(0124111914).had, этот баг исправлен, и правила создаются. НО! HEX-значения offset'ов, переданных по SNMP, в правила не добавляются, а действие deny заменяется на permit.

Добавлю, что с прошивкой 4.01-B19 все работает, и абсолютно те же самые действия на прошивах 5ых серий к требуемому результату не приводят.

Вернуться наверх

Bigarov Ruslan

Заголовок сообщения:

Добавлено: Пт фев 01, 2008 16:12

Сотрудник D-LINK

Зарегистрирован: Пт янв 21, 2005 11:52
Сообщений: 11212
Откуда: D-Link, Moscow

Опишите проблему подробнее.

_________________
С уважением,
Бигаров Руслан.

Вернуться наверх

Pershin Sergey

Заголовок сообщения:

Добавлено: Пт фев 01, 2008 16:13

Зарегистрирован: Чт ноя 24, 2005 02:57
Сообщений: 33
Откуда: Moscow

Вот точный порядок действий:

Код:

DES-3526:admin# create access_profile packet_content_mask offset_32-47  0x0  0x0  0xFFFF0000  0x0 profile_id 30
Command: create access_profile packet_content_mask offset_32-47 0x0 0x0 0xFFFF0000 0x0 profile_id 30

Success.

делаем config access_profile profile_id 30 add access_id 1 packet_content_mask offset_32_47 0x0 0x0 0x1db0000 0x0 port 5 deny с помощью SNMP:

Код:

# snmpset -v2c -c private 10.90.90.90 .1.3.6.1.4.1.171.12.9.2.3.1.14.30.1 x 08000000 .1.3.6.1.4.1.171.12.9.2.3.1.15.30.1 i 4 .1.3.6.1.4.1.171.12.9.2.3.1.5.30.1 x 000000000000000001bd000000000000 .1.3.6.1.4.1.171.12.9.2.3.1.13.30.1 i 1
Error in packet.
Reason: commitFailed
Failed object: SNMPv2-SMI::enterprises.171.12.9.2.3.1.5.30.1

в конфиге имеем:

Код:

config access_profile profile_id 30 add access_id 1 packet_content_mask port 5 permit

Вернуться наверх

Bigarov Ruslan

Заголовок сообщения:

Добавлено: Пт фев 01, 2008 17:51

Сотрудник D-LINK

Зарегистрирован: Пт янв 21, 2005 11:52
Сообщений: 11212
Откуда: D-Link, Moscow

Код:

snmpset -v2c -c private 10.90.90.90 .1.3.6.1.4.1.171.12.9.2.3.1.5.30.1 x 0
00000000000000001DB000000000000 .1.3.6.1.4.1.171.12.9.2.3.1.14.30.1 x 08000000 .
1.3.6.1.4.1.171.12.9.2.3.1.13.30.1 i 1 .1.3.6.1.4.1.171.12.9.2.3.1.15.30.1 i 4
SNMPv2-SMI::enterprises.171.12.9.2.3.1.5.30.1 = Hex-STRING: 00 00 00 00 00 00 00
 00 01 DB 00 00 00 00 00 00
SNMPv2-SMI::enterprises.171.12.9.2.3.1.14.30.1 = Hex-STRING: 08 00 00 00
SNMPv2-SMI::enterprises.171.12.9.2.3.1.13.30.1 = INTEGER: 1
SNMPv2-SMI::enterprises.171.12.9.2.3.1.15.30.1 = INTEGER: 4

В конифиге смотрим:

Код:

# ACL

create access_profile packet_content_mask offset_32-47  0x0  0x0  0xFFFF0000  0x0 profile_id 30 
config access_profile profile_id 30 add access_id 1 packet_content_mask offset_32-47  0x0  0x0  0x1DB0000  0x0 port 5 deny

_________________
С уважением,
Бигаров Руслан.

Вернуться наверх

Pershin Sergey

Заголовок сообщения:

Добавлено: Пт фев 01, 2008 18:07

Зарегистрирован: Чт ноя 24, 2005 02:57
Сообщений: 33
Откуда: Moscow

то есть, получается, параметры нужно передавать в определенной последовательности?

Вернуться наверх

Bigarov Ruslan

Заголовок сообщения:

Добавлено: Пт фев 01, 2008 18:09

Сотрудник D-LINK

Зарегистрирован: Пт янв 21, 2005 11:52
Сообщений: 11212
Откуда: D-Link, Moscow

Pershin Sergey писал(а):

то есть, получается, параметры нужно передавать в определенной последовательности?

Да, параметр CreateAndGo нужно в конец добавлять.

_________________
С уважением,
Бигаров Руслан.

Вернуться наверх

Страница 1 из 1

[ Сообщений: 10 ]

Список форумов » Коммутаторы

Часовой пояс: UTC + 3 часа

Кто сейчас на форуме

Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 24

Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения