хочу добавить свои 5 копеек, а то мало ли, вдруг кому пригодится моя попытка организовать ACL c приоретизацией траффика в рамках отдельно взятого свича....
для того чтобы нормально работала приоретизация
Цитата:
"To perform precise bandwidth control, it is required to enable the flow control to mitigate the retransimission of TCP traffic."(с)D-Link
кстати почему то это написано в 3010F (там увидел) а вот на 3526 нет... но в общем, ставим:
Код:
config ports all flow_control enable
а потом собсно ACL (на 25 и 26-м портах живут сервера):
разрешаем ARP:
Код:
delete access_profile profile_id 1
create access_profile ethernet destination_mac ff-ff-ff-ff-ff-ff ethernet_type profile_id 1
config access_profile profile_id 1 add access_id 1 ethernet destination_mac ff-ff-ff-ff-ff-ff ethernet_type 0x806 port 1-24 permit
delete access_profile profile_id 2
create access_profile ethernet ethernet_type profile_id 2
config access_profile profile_id 2 add access_id 1 ethernet ethernet_type 0x806 port 1-24 permit
разрешаем DHCP:
Код:
delete access_profile profile_id 3
create access_profile ip udp src_port_mask 0xffff dst_port_mask 0xffff profile_id 3
config access_profile profile_id 3 add access_id 1 ip udp src_port 68 dst_port 67 port 1-24 permit
config access_profile profile_id 3 add access_id 25 ip udp src_port 67 dst_port 68 port 25-26 permit
config access_profile profile_id 3 add access_id 27 ip udp src_port 67 dst_port 68 port 1-24 deny
запрещаем _любые_ бродкасты:
Код:
delete access_profile profile_id 4
create access_profile ethernet destination_mac ff-ff-ff-ff-ff-ff profile_id 4
config access_profile profile_id 4 add access_id 1 ethernet destination_mac ff-ff-ff-ff-ff-ff port 1-24 deny
приоретизируем протоколы:
Код:
delete access_profile profile_id 5
create access_profile ip dscp protocol_id_mask 0xff profile_id 5
config access_profile profile_id 5 add access_id 1 ip protocol_id 1 port 1-26 permit priority 7 replace_priority replace_dscp_with 63
config access_profile profile_id 5 add access_id 27 ip protocol_id 47 port 1-26 permit priority 7 replace_priority replace_dscp_with 63
приоретизируем TCP и одновременно задаем профиль для блокировки нежелательного TCP траффика:
Код:
delete access_profile profile_id 6
create access_profile ip dscp tcp dst_port_mask 0xffff profile_id 6
config access_profile profile_id 6 add access_id 1 ip tcp dst_port 23 port 1-26 permit priority 7 replace_priority replace_dscp_with 63
config access_profile profile_id 6 add access_id 27 ip tcp dst_port 1723 port 1-26 permit priority 7 replace_priority replace_dscp_with 63
config access_profile profile_id 6 add access_id 53 ip tcp dst_port 135 port 1-24 deny
config access_profile profile_id 6 add access_id 77 ip tcp dst_port 139 port 1-24 deny
config access_profile profile_id 6 add access_id 101 ip tcp dst_port 445 port 1-24 deny
config access_profile profile_id 6 add access_id 125 ip tcp dst_port 2869 port 1-24 deny
приоретизируем UDP и одновременно задаем профиль для блокировки нежелательного UDP траффика:
Код:
delete access_profile profile_id 7
create access_profile ip dscp udp dst_port_mask 0xffff profile_id 7
config access_profile profile_id 7 add access_id 1 ip udp dst_port 161 port 1-26 permit priority 7 replace_priority replace_dscp_with 63
config access_profile profile_id 7 add access_id 27 ip udp dst_port 162 port 1-26 permit priority 7 replace_priority replace_dscp_with 63
config access_profile profile_id 7 add access_id 53 ip udp dst_port 137 port 1-24 deny
config access_profile profile_id 7 add access_id 77 ip udp dst_port 138 port 1-24 deny
config access_profile profile_id 7 add access_id 101 ip udp dst_port 1900 port 1-24 deny
весь IP траффик идет с наименьшим приоритетом, т.к. мы сами решим что нам надо гнать с высшим
Код:
delete access_profile profile_id 8
create access_profile ethernet ethernet_type profile_id 8
config access_profile profile_id 8 add access_id 1 ethernet ethernet_type 0x800 port 1-24 permit priority 0 replace_priority replace_dscp_with 0
запрещаем весь не IP траффик:
Код:
delete access_profile profile_id 9
create access_profile ethernet source_mac 00-00-00-00-00-00 profile_id 9
config access_profile profile_id 9 add access_id 1 ethernet source_mac 00-00-00-00-00-00 port 1-24 deny
З.Ы. все работает, траффик режется и приоретизируется, но мне бы хотелось услышать точку зрения многоуважаемого All вообще и ув. В.Карагезова в частности насколько все верно, а особенно насколько верно использование profile_id 5
Вход
Регистрация
FAQ
Поиск
имеем вывод по sh sw: