Denis Evgraphov

Денис, мне в которой раз нужна Ваша помощь в написании acl pcf для dgs-3426.
Фильтрация аналогичная, что у остальных, за исключением того, что фильтровать мне надо в GRE.
Раньше Вы говорили, что необходимо будет указать vlanid в котором будет идти такая фильтрация. Но на dgs-3426 можно указать всего 4 чанка.
Для написания правила, в котором будут учитываться vlanid, gre, udp и сигнатура 7fff ffff ab необходимо 5 чанков.
Может все-таки выбросить упоминание о vlanid, но смещение оставить?

2 true > Зачем так всё усложнять, когда можно сделать выборку по 7fff ffff ab учитывая все сдвиги!?

_________________
С уважением,
Бигаров Руслан.

Если не учитывать сдвиги на инкапсуляции, то для стандартного IP(UDP) трафика защита будет выглядеть так:

Для DES-3526:
create access_profile packet_content_mask offset_48-63 0x0 0x0 0xFFFF 0xFFFFFF00 profile_id 20
config access_profile profile_id 20 add access_id auto_assign packet_content_mask offset_48-63 0x0 0x0 0x7FFF 0xFFFFAB00 port 1-26 deny

Для DES-3028/3052:
tag:
create access_profile packet_content_mask offset_48-63 0x0 0x0 0xFFFF 0xFFFFFF00 profile_id 20
config access_profile profile_id 20 add access_id auto_assign packet_content offset 56 0x7FFF offset 60 0xFFFFAB00 port 1-28 deny

untag:
create access_profile packet_content_mask offset_48-63 0x0 0xFFFF 0xFFFFFF00 0x0 profile_id 30
config access_profile profile_id 30 add access_id auto_assign packet_content offset 52 0x7FFF offset 56 0xFFFFAB00 port 1-28 deny

Для DGS-36xx:
tag
create access_profile profile_id 20 packet_content_mask offset_chunk_1 15 0xffffffff offset_chunk_2 16 0xff000000
config access_profile profile_id 20 add access_id auto_assign packet_content offset_chunk_1 0x7fffffff offset_chunk_2 0xab000000 port 1-24 deny

_________________
С уважением,
Бигаров Руслан.

Bigarov Ruslan два пакетика:



сдвиг для 8021q в них не учтен.

и возможность написать всего лишь одно правило pcf на dgs-3426.
ограничился правилом по первому пакету учитывая все сдвиги.

Лучше пришлите мне данные пакетики в cap или pcap формате для наглядности. Выборка нужна по UDP 11 и 7f ffffff(ab)?

_________________
С уважением,
Бигаров Руслан.

Руслан, отправил Вам на почту дамп в формате pcap.

А DGS-3100-24TG такого не умеет, т.к. он L2 ?

коллеги, а нет ли на коммутаторе статистики по дропам?

Получил, постараюсь сегодня Вам ответить.



У данной серии нет профиля PCF.



sh error ports ...

_________________
С уважением,
Бигаров Руслан.

>коллеги, а нет ли на коммутаторе статистики по дропам?

только если так:

2 true >
Пример для DGS-3400:

Выборка по GRE протоколу и 7fffffffab с учётом tag 802.1q:

create access_profile profile_id 1 packet_content_mask offset_chunk_1 7 0x00FF0000 offset_chunk_2 23 0x00FFFFFF offset_chunk_3 24 0xFFFF0000

config access_profile profile_id 1 add access_id auto_assign packet_content offset_chunk_1 0x002F0000 offset_chunk_2 0x007FFFFF offset_chunk_3 0x00FFAB00 port 1-24 deny

Этот же пример подойдёт и для DGS-3600.

_________________
С уважением,
Бигаров Руслан.

Руслан а не подскажете для 3610-26G аналогию вот этому:

create access_profile profile_id 20 packet_content_mask offset_chunk_1 15 0xffffffff offset_chunk_2 16 0xff000000
config access_profile profile_id 20 add access_id auto_assign packet_content offset_chunk_1 0x7fffffff offset_chunk_2 0xab000000 port 1-24 deny

Т.е. на DGS-3100-24TG никаких средств борьбы с этой напастью нет?

3100-24TG
Это железка начального уровня и никакой фильтрации там и не предполагалось, на сегодняшний день в ней даже не реализован функционал удаления дефолтового влана со всех портов, что может при неосторожности привести к серьезным проблемам типа закольцовывания по этому влану железок если линковые порты mode trunk, уже наступили на эти грабли

эта железка чисто для агрегации оптических линков и то по бедности как говорится, т.к. замечаем иногда непонятные всплески по группе портов по типу как 3028 работает при совпадении хешей мака как хаб.

Тут порты 4 и 12 не входят в defaul vlan. Разве нет?