Доброго дня всем!
Тема уже поднималась, но, почитав форум, ответа на свой вопрос я так и не нашел. Потому прошу просветить меня.
Есть несколько 3526-х свичей, подключенных "паровозом" - через 25-26-е порты. При этом, эта группа свичей - часть MSTP-шного кольца.
"правильный" PPPoE-сервер включен куда-то, куда ведет 26-й порт 5-го свича (или 25-й порт 1-го - в зависимости от направления).
на 2-м свиче, к примеру, в 3-м порту, сидит законопослушный клиент, который подключается по PPPoE.
на 3-м свиче, к примеру, в 4-м порту, сидит хацкер Вася, который поднимает на своей тачке соотв.сервис и срубает чужие пароли. Тут имеем два варианта - когда он оставляет свой MAC-адрес или вешает на карточку MAC-адрес "правильного" сервера.
Прошу хелпа - как одолеть этого хацкера?
Разумеется, речь идет о технической стороне вопроса.
Если я правильно понял RFC, надо запретить с клиентского порта отправлять пакеты PADO и PADS. Вот как это конкретно реализовать?

==========Дополнение================

Еще поглядев, я нашел, чем отличаются все эти PADI, PADO, PADR, PADS, PADT друг от друга (вдруг высший разум снизойдет до написания для меня конкретного АЦЛ-а). Тип у всех 0x8863, а вот поле CODE - разное: 0x09, 0x07, 0x19, 0x65 и 0xa7 соответственно.
А вот тут (http://www.nag.ru/goodies/articles/pppoe.html) схема пакетов приведена. Я так и не разобрался, как АЦЛ делать, который разбирает фрейм на части. Вот тут, реально нужен хелп.
Спасибо!

запретите на клиентских портах PPPoE Discovery (0x8863) с Active Discovery Offer (0x07) и все ...
для DES-3028 это выглядит примерно так:

_________________
с уважением, БП

Ну да, я так и собирался, только не знал, как это сделать.
И правда, достаточно на клиентском порту запретить PADO-пакеты (поле CODE = 0x07). PADS уже не нужно прибивать. Его просто не будет.
snark, СПАСИБ!
Правда в случае моего 3526-го это будет выглядеть вот так:

Надеюсь, я правильно разобрался с этими масками.....

==============Дополнение================
Вот это все действительно для нетегированных пакетов.
А что нужно сделать, чтобы такое сделать для тегированных пакетов?
Я так понимаю, что где-то в начале пакета появится 2 байта. И все offset-ы сместятся. А как реально изменятся эти offset-ы?
(сразу скажу, зачем это нужно. этот хацкер может быть подключен к DES-3010, у которого АЦЛ-ов нету, стало быть, рубить его придется на предыдущем свиче)

можете еще до кучи добавить нечто в духе:

чтоб не фильтровать это на РРРоЕ сервере

_________________
с уважением, БП

А! это нетбеуи прибили.....
А что про транковые пакеты?

RPC + NetBIOS без учета протоколов, т.е. монопенисуально ТСР или UDP ...а что с транковыми пакетами?

_________________
с уважением, БП

Если я хочу прибить тегированные PADO пакеты, как изменится АЦЛ?

надо добавить туда VLAN

_________________
с уважением, БП

Пойду искать, куда "они там" VLAN засунули.
В смысле, по какому смещению.
в любом случае, за неаводку баааальшой сенксь!

чего искать? все уже давно описано в FAQ

_________________
с уважением, БП

Значит я еще раз почитал FAQ и разные другие доки и пришел в выводу, что АЦЛ, который мне нужен, должен выглядеть так:

Если я правильно понимаю, этот АЦЛ должен прибивать PADO-пакеты с портов 1-24 независимо от их принадлежности к какому-либо вилану.
А также это будет касаться и тегированных и не тегированных портов.
Что вполне меня удовлетворяет.
Как я уже говорил, в построении packet_content_mask-ых АЦЛ я не преуспел, потому задам вопрос
snark, я прав? Эта конструкция должна делать то, что я от нее хочу?

да, просто мне больше нравится запись когда видно что к чему т.е. такая:


да, абсолютно любые пакеты, т.к. в DES-3526 абсолютно все пакеты всегда тегированы, т.е. даже нетегированный пакет попадая в порт приобретает тег = PVID этого порта и соответственно для ACL без разницы был ли пакет тегирован или нет - ACL видит пакет уже с тегом ...

_________________
с уважением, БП

snark, спасибо!
Мало того, что я решил весьма гиморную проблему, так еще кое-что понял в построении packet_content_mask-ых АЦЛ.
И все благодаря Вам!

в общем то незачто ... всегда рад помочь ... форум для этого и существует

_________________
с уважением, БП