Как отфильтровать NetBIOS и Multicast?

Чтобы отфильтровать NETBios нужно использовать функцию NETBios filtering. Описание фильтрации Multicast Limited address ranges я Вам выслал.

NETBios filtering - это здорово, но не все свичи имеют 5-ю прошивку.
Примеры простыми правилами есть в наличии?

А что мешает перепрошить ?

_________________
LiveComm

В наличии нет. Но много раз обсуждалось на форуме. А прошивку всё-таки лучше обновить.

есть
на будующее - пользутесь поиском, т.к. подобные вещи выкладываются тут чуть ли не ежедневно ...

_________________
с уважением, БП

не работает NETBios filtering, точнее работает но как то не так. ACL что привел snark надежнее (правда я через dst_ports делаю)

Еще раз насчет фильтрации NetBios.
1. Обычная фильтрация (не экстенсив) садится на порт, то есть на все виртуальные сети. Если я хочу посадить правило в конкретную виртуальную сеть, то достаточно ли будет добавить в контент фильтеринг проверку 15-16 байт с маской 0fff и уразать в них номер виртуальной сети?
2. Не очень понял что именно делает экстенсив фильтеринг. Можно ссылочку или краткое пояснение в пару строк по сути выполняемых манипуляций?

1. Да, можете посмотреть по show access_profile формат правил от filter netbios и по аналогии создать свои с учетом проверки по полю 802.1q.
2. Из CLI мануала:

Вот так оно выглядит в коммутаторе:

У меня NetBIOS Filtering работала только когда она появилась на первых прошивках. Сейчас она вообще ничего не фильтрует.
Даже удалял все ACL для верности эксперимента.
6.00.B23

Сегодня попробовал предложенный вариант:
create access_profile packet_content_mask offset_16-31 0xffff0000 0x0 0x00ff0000 0x0 offset_32-47 0x0 0x0 0xffff0000 0x0 profile_id 3
config access_profile profile_id 3 add access_id auto_assign packet_content_mask offset_16-31 0x08000000 0x0 0x00000000 0x0 offset_32-47 0x0 0x0 0x00870000 0x0 port 23 deny
config access_profile profile_id 3 add access_id auto_assign packet_content_mask offset_16-31 0x08000000 0x0 0x00000000 0x0 offset_32-47 0x0 0x0 0x00890000 0x0 port 23 deny
config access_profile profile_id 3 add access_id auto_assign packet_content_mask offset_16-31 0x08000000 0x0 0x00000000 0x0 offset_32-47 0x0 0x0 0x008a0000 0x0 port 23 deny
config access_profile profile_id 3 add access_id auto_assign packet_content_mask offset_16-31 0x08000000 0x0 0x00000000 0x0 offset_32-47 0x0 0x0 0x008b0000 0x0 port 23 deny
config access_profile profile_id 3 add access_id auto_assign packet_content_mask offset_16-31 0x08000000 0x0 0x00000000 0x0 offset_32-47 0x0 0x0 0x01bd0000 0x0 port 23 deny

Да, машина, подключенная к 23 порту не видит NetBios ресурсы.
Но зато ее ВИДЯТ ВСЕ. И могут также лазить по ее NetBios ресурсам.
Вообще цель фильтрации NetBios как раз обратная, чтоб всякие вирусы, работающие по протоколу NetBios, не могли залезть на машину пользователя.

дак закройте на остальных портах и не увидит!
ACL применяются только ко входящим на порт пакетам.

_________________
LiveComm

Просто нужно некторым пользователям отключать NetBios протокол а остальным оставлять. Как тут быть?

поменять логику ACL. фильтровать не по dst порту, а по src.

_________________
LiveComm

Как это сделать на моем примере? Я еще не разобрался с фильтрацией по содержанию пакета.