Итак, вопрос следующий: как заставить одновременно работать функции impb(acl strict) и acl(pcf/ip) на des-3526? Из FAQа следует, что правила в таблице ацл обрабатываются в порядке размещения. Кроме того, там же указано, что правила проходятся до первого совпадения. Причем, если это совпадение дает deny, то пакет дропается, если permit - разрешается, и дальнейшие правила не просматриваются. Исходя из этого получается, что если мне надо некоторые пакеты обработать минуя систему impb, то требуется профили с этими правилами добавить до профилей impb. Это в теории. Что имеем на практике.
Стоит задача - разрешить диапазон ip адресов, минуя impb. Для этого, сначала отключается impb, затем создается профиль acl ip src mask 225.255.255.128, затем в профиле создается правило, разрешающее ip src 192.168.127.0. Итого, должны получить диапазон 192.168.127.0/25. Для проверки корректности правила, делаем его для начала запрещающим и убеждаемся, что трафик блочится. Возвращаем правило обратно на разрешающее, трафик появляется. Включаем impb, и, о чудо, трафик снова блочится нафиг. Далее методом различных тыков убеждаемся, что коммутатор плевать хотел на то, что написано в ФАКе, и прогоняет пакеты через impb в любом случае, если только они до этого не встретили deny acl. Т.е. по факту получается, что пакет все же проходит acl 2 раза - сначала обычные ацл, затем, если не дропнут, impb acl.
Вопрос: можно ли все-таки заставить работать параллельно функционал ацл и привязки ip-mac?
На всякий случай риведу вырезки из конфига:
Код:
# ACL
create access_profile packet_content_mask offset_0-15 0x0 0x0 0x0 0x0 profile_id 1
create access_profile ip udp dst_port_mask 0xFFFF profile_id 2
config access_profile profile_id 2 add access_id 1 ip udp dst_port 68 port 1 deny
config access_profile profile_id 2 add access_id 2 ip udp dst_port 68 port 2 deny
config access_profile profile_id 2 add access_id 3 ip udp dst_port 68 port 3 deny
config access_profile profile_id 2 add access_id 4 ip udp dst_port 68 port 4 deny
config access_profile profile_id 2 add access_id 5 ip udp dst_port 68 port 5 deny
config access_profile profile_id 2 add access_id 6 ip udp dst_port 68 port 6 deny
config access_profile profile_id 2 add access_id 7 ip udp dst_port 68 port 7 deny
config access_profile profile_id 2 add access_id 8 ip udp dst_port 68 port 8 deny
config access_profile profile_id 2 add access_id 9 ip udp dst_port 68 port 9 deny
config access_profile profile_id 2 add access_id 10 ip udp dst_port 68 port 10 deny
config access_profile profile_id 2 add access_id 11 ip udp dst_port 68 port 11 deny
config access_profile profile_id 2 add access_id 12 ip udp dst_port 68 port 12 deny
config access_profile profile_id 2 add access_id 13 ip udp dst_port 68 port 13 deny
config access_profile profile_id 2 add access_id 14 ip udp dst_port 68 port 14 deny
config access_profile profile_id 2 add access_id 15 ip udp dst_port 68 port 15 deny
config access_profile profile_id 2 add access_id 16 ip udp dst_port 68 port 16 deny
config access_profile profile_id 2 add access_id 17 ip udp dst_port 68 port 17 deny
config access_profile profile_id 2 add access_id 18 ip udp dst_port 68 port 18 deny
config access_profile profile_id 2 add access_id 19 ip udp dst_port 68 port 19 deny
config access_profile profile_id 2 add access_id 20 ip udp dst_port 68 port 20 deny
config access_profile profile_id 2 add access_id 21 ip udp dst_port 68 port 21 deny
config access_profile profile_id 2 add access_id 22 ip udp dst_port 68 port 22 deny
config access_profile profile_id 2 add access_id 23 ip udp dst_port 68 port 23 deny
config access_profile profile_id 2 add access_id 24 ip udp dst_port 68 port 24 deny
create access_profile ip udp src_port_mask 0xFFFF profile_id 3
config access_profile profile_id 3 add access_id 1 ip udp src_port 53 port 1 deny
config access_profile profile_id 3 add access_id 2 ip udp src_port 53 port 2 deny
config access_profile profile_id 3 add access_id 3 ip udp src_port 53 port 3 deny
config access_profile profile_id 3 add access_id 4 ip udp src_port 53 port 4 deny
config access_profile profile_id 3 add access_id 5 ip udp src_port 53 port 5 deny
config access_profile profile_id 3 add access_id 6 ip udp src_port 53 port 6 deny
config access_profile profile_id 3 add access_id 7 ip udp src_port 53 port 7 deny
config access_profile profile_id 3 add access_id 8 ip udp src_port 53 port 8 deny
config access_profile profile_id 3 add access_id 9 ip udp src_port 53 port 9 deny
config access_profile profile_id 3 add access_id 10 ip udp src_port 53 port 10 deny
config access_profile profile_id 3 add access_id 11 ip udp src_port 53 port 11 deny
config access_profile profile_id 3 add access_id 12 ip udp src_port 53 port 12 deny
config access_profile profile_id 3 add access_id 13 ip udp src_port 53 port 13 deny
config access_profile profile_id 3 add access_id 14 ip udp src_port 53 port 14 deny
config access_profile profile_id 3 add access_id 15 ip udp src_port 53 port 15 deny
config access_profile profile_id 3 add access_id 16 ip udp src_port 53 port 16 deny
config access_profile profile_id 3 add access_id 17 ip udp src_port 53 port 17 deny
config access_profile profile_id 3 add access_id 18 ip udp src_port 53 port 18 deny
config access_profile profile_id 3 add access_id 19 ip udp src_port 53 port 19 deny
config access_profile profile_id 3 add access_id 20 ip udp src_port 53 port 20 deny
config access_profile profile_id 3 add access_id 21 ip udp src_port 53 port 21 deny
config access_profile profile_id 3 add access_id 22 ip udp src_port 53 port 22 deny
config access_profile profile_id 3 add access_id 23 ip udp src_port 53 port 23 deny
config access_profile profile_id 3 add access_id 24 ip udp src_port 53 port 24 deny
create access_profile ip source_ip_mask 255.255.255.128 profile_id 4
config access_profile profile_id 4 add access_id 1 ip source_ip 192.168.127.0 port 24 permit
# IPBIND
config address_binding ip_mac ports 1-24 state enable
config address_binding ip_mac ports 1-24 allow_zeroip enable
enable address_binding acl_mode
enable address_binding trap_log
disable address_binding dhcp_snoop
config address_binding dhcp_snoop max_entry ports 1-26 limit 5
ЗЫ. ацл impb получаются №5 и 6, т.е. идут после обыкновенных ацл.
Вход
Регистрация
FAQ
Поиск
