Возможен ли сабж?

Типа:
create access_profile ... source_ip ... port_id
config access_profile ... source_ip ... port_id

_________________
http://gentoo.org

а почему нет?

Да вот что-то не нашёл... Пока обхожусь частичным решением - acl по ip + traffic_segmentation...

_________________
http://gentoo.org

create access_profile ip source_ip_mask 255.255.255.255 profile_id 20
config access_profile profile_id 20 add access_id 1 ip source_ip 172.16.97.23 port 4 permit

Не не катит для des-3326S по крайней мере с прошивкой 4.03-B17 ...

Судя по таблице http://www.dlink.ru/ru/faq/62/779.html , поддержка acl по порту, только в des-38xx серии...

_________________
http://gentoo.org

а, ну да, в любой серии xStack (3028, 3052, 3526,3550, 3528, 3828 и т.п.)

а табличка, кстати, убогая

Нужны советы:

Есть сеть 172.16.0/16, пользователей 200-250.
DHCP в сегменте 172.16.0.0/24 (серверы), раздаёт IP начиная с 172.16.11.1

есть следующие коммутаторы:
DES-3312SR - 1шт в котором установлены два модуля DEM-340T (4 порта 10/100/1000BASE-T)
Boot PROM Version Build 2.00.002
Firmware Version Build 2.00-B17
Hardware Version 0A2

DES-3326S - 2 шт
Boot PROM Version Build 0.00.001
Firmware Version Build 4.03-B17
Hardware Version 2B1

остальные коммутаторы неуправляемые (есть в цепочке два-три).

Задача ограничить видимость пользователям сегментом 172.16.0.0/24, видеть соседей запретить.

Сейчас оба DES-3326S в центре сети, а DES-3312SR работает как обычный коммутатор, на котором завязан сегмент 172.16.0.0/24 (серверы).

На коммутаторах DES-3326S настроен запрет (traffic_segmentation) видеть все порты кроме uplink'а на DES-3312SR, порт uplink видит всех, плюс есть ACL запрещающая source_ip 172.16.0.x всем, кроме как на порту uplink'а (ну и для DHCP висит пару правил, тоже на uplink). Остальное тоже запрещено.
Т.е. пользователи в пределах неуправляемого коммутатора видят друг друга, за пределами видят только сегмент 172.16.0.0/24.

Планируется заменить все неуправляемые коммутаторы на управляемые. Предполагается прикупить коммутаторы 2-ого уровня DES-3526 и завязать их в стек на DGS-3312SR. Для сегмента 172.16.0.0/24 планируется купить DGS-1224T 24port 10/100/1000Mbps.
DES-3326S останутся на текущих ролях, только уже перестанут быть центральными...

Отсюда вопросы:
1) DGS-3312SR с двумя модулями DEM-340T, точно позволит организовать стек с 12 коммутаторами DES-3526? (исходя из http://dlink.ru/ru/faq/62/856.html предполагаю что да, но хотелось бы узнать точно)
2) Можно-ли в этой конфигурации вместо DES-3526 использовать DES-3550?
3) Какой набор прошивок для указаных коммутаторов желателен?

_________________
http://gentoo.org

По порядку:

1) В аппаратный стек с DGS-3312SR встают только свитчи DES-3226S. Но сейчас их уже в продаже практически нет. Я бы советовал в вашем случае использовать DES-3028/3052. И не заморачиваться по поводу аппаратного стека, так как это ничего не даст в схеме.

2) Можно использовать но не в стеке также как и DES-3526. Опять же смотрите мои комментарии выше.

3) Я Вам прошивки выслал.

Demin Ivan
1) Я так понимаю DES-3028/3052 позволят иметь контроль над каждым портом с помощью сегментирования трафика, ACL на базе порта, mac, ip4 и порту tcp/udp? Т.е. DES-3028/3052 имеют некоторый функционал третьего уровня?

3) Спасибо

4) Есть ли ещё какие нибудь рекомендации? Схема разграничения избрана достаточно верно? Или лучше выбрать другой вариант, если да, то почему?

_________________
http://gentoo.org

1) Именно так. Это не функционал 3-его уровня а просто такие продвинутые ACL. Также есть Packet Content filtering позволяющий фильтровать по первым 80-ти байтам IP-пакета по битовой маске. Так что можно сказать что функционал 7-ого уровня!:)

2) Не за что!

3) В новой схеме проще будет просто применить ACL.

Demin Ivan
Спасибо!
Тогда беру два DES-3052 и с десяток-другой DES-3028.
Прошу и на них дать прошивки по стабильнее.

_________________
http://gentoo.org

Рад слышать! Я Вам прошивку выслал.

Demin Ivan
Итак коммутаторы были куплены прошиты, сконфигурированны и поставлены в работу, в ходе эксплуатации выяснился вот что:

со следующей далее ACL, падает скорость передачи в разы.



Точнее скорость падает для тех кто пытается качать с серверов подсетки 172.16.0.0/24. Скорость скачивания сервером(в сегменте 172.16.0.0) с рабочей станции (172.16.x.x) нормальна.

Проблема одинаково проявляется как на 3028, так и на 3052.

Хотел было использовать cpu_interface_filtering, но оказалось что в нём очень ограничено кол-во правил.

Как быть? Может правила в ACL должны быть более простыми? Или стоит комбинировать ACL с CPU Filtering?

_________________
http://gentoo.org

попробуйте убрать rx_rate no_limit

Версия прошивки?