# Запрещаем более 2-х маков на порту

config port_security ports 1-24 admin_state enable max_learning_addr 2 lock_address_mode DeleteOnTimeout

# разрешаем ARP

create access_profile ethernet ethernet_type profile_id 1
config access_profile profile_id 1 add access_id 1 ethernet ethernet_type 0x806 port 1-28 permit

# запрещаем бродкасты

create access_profile ethernet destination_mac ff-ff-ff-ff-ff-ff profile_id 2
config access_profile profile_id 2 add access_id 1 ethernet destination_mac ff-ff-ff-ff-ff-ff port 1-28 deny


# Разрешаем адреса с привязкой к порту

create access_profile ip source_ip_mask 255.255.255.255 profile_id 3
config access_profile profile_id 3 add access_id 1 ip source_ip 172.20.1.1 port 1 permit
config access_profile profile_id 3 add access_id 2 ip source_ip 172.20.1.2 port 2 permit


# Настройте запрещающее правило для всех остальных IP-адресов

create access_profile ip source_ip_mask 0.0.0.0 profile_id 4
config access_profile profile_id 4 add access_id 1 ip source_ip 0.0.0.0 port 1-24 deny


# запрещаю TCP порты

create access_profile ip tcp dst_port_mask 0xffff profile_id 5
config access_profile profile_id 5 add access_id auto_assign ip tcp dst_port 135 port 1-28 deny
config access_profile profile_id 5 add access_id auto_assign ip tcp dst_port 137 port 1-28 deny
config access_profile profile_id 5 add access_id auto_assign ip tcp dst_port 138 port 1-28 deny
config access_profile profile_id 5 add access_id auto_assign ip tcp dst_port 139 port 1-28 deny
config access_profile profile_id 5 add access_id auto_assign ip tcp dst_port 445 port 1-28 deny


# запрещаю UDP порты

create access_profile ip udp dst_port_mask 0xffff profile_id 6
config access_profile profile_id 6 add access_id auto_assign ip udp dst_port 135 port 1-28 deny
config access_profile profile_id 6 add access_id auto_assign ip udp dst_port 137 port 1-28 deny
config access_profile profile_id 6 add access_id auto_assign ip udp dst_port 138 port 1-28 deny
config access_profile profile_id 6 add access_id auto_assign ip udp dst_port 139 port 1-28 deny


# Запрещаем левые DHCP

create access_profile ip udp src_port_mask 0xFFFF profile_id 7
config access_profile profile_id 7 add access_id 1 ip udp src_port 67 port 25 permit
config access_profile profile_id 7 add access_id 2 ip udp src_port 67 port 1-24 deny


# приоритеты для мультикаста

create access_profile ip destination_ip_mask 255.255.255.0 profile_id 10
config access_profile profile_id 10 add access_id 1 ip destination_ip 238.1.1.0 port 1-28 permit priority 5
config access_profile profile_id 10 add access_id 2 ip destination_ip 224.0.0.0 port 1-28 permit priority 5

# разрешаем IP протокол

create access_profile ethernet ethernet_type profile_id 11
config access_profile profile_id 11 add access_id 1 ethernet ethernet_type 0x800 port 1-28 permit

# запрещаем весь возможный траффик

create access_profile ethernet source_mac 00-00-00-00-00-00 profile_id 100
config access_profile profile_id 100 add access_id 1 ethernet source_mac 00-00-00-00-00-00 port 1-28 deny

# Запрещаем более 2-х маков на порту

config port_security ports 1-24 admin_state enable max_learning_addr 2 lock_address_mode DeleteOnTimeout

# разрешаем ARP

create access_profile ethernet ethernet_type profile_id 1
config access_profile profile_id 1 add access_id 1 ethernet ethernet_type 0x806 port 1-28 permit

# запрещаем бродкасты

create access_profile ethernet destination_mac ff-ff-ff-ff-ff-ff profile_id 2
config access_profile profile_id 2 add access_id 1 ethernet destination_mac ff-ff-ff-ff-ff-ff port 1-28 deny

# запрещаем TCP-порты

create access_profile ip tcp dst_port_mask 0xffff profile_id 3
config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 135 port 1-28 deny
config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 137 port 1-28 deny
config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 138 port 1-28 deny
config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 139 port 1-28 deny
config access_profile profile_id 3 add access_id auto_assign ip tcp dst_port 445 port 1-28 deny


# запрещаем UDP-порты

create access_profile ip udp dst_port_mask 0xffff profile_id 4
config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 135 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 137 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 138 port 1-28 deny
config access_profile profile_id 4 add access_id auto_assign ip udp dst_port 139 port 1-28 deny


# Разрешаем адрес с привязкой к порту

create access_profile ip source_ip_mask 255.255.255.255 profile_id 5
config access_profile profile_id 5 add access_id 1 ip source_ip 172.20.1.1 port 1 permit
config access_profile profile_id 5 add access_id 2 ip source_ip 172.20.1.2 port 2 permit


# Запрещаем все остальные IP-адреса

create access_profile ip source_ip_mask 0.0.0.0 profile_id 6
config access_profile profile_id 6 add access_id 1 ip source_ip 0.0.0.0 port 1-24 deny


# Запрещаем левые DHCP

create access_profile ip udp src_port_mask 0xFFFF profile_id 7
config access_profile profile_id 7 add access_id 1 ip udp src_port 67 port 25 permit
config access_profile profile_id 7 add access_id 2 ip udp src_port 67 port 1-24 deny


# приоритеты для мультикаста

create access_profile ip destination_ip_mask 255.255.255.0 profile_id 10
config access_profile profile_id 10 add access_id 1 ip destination_ip 238.1.1.0 port 1-28 permit priority 5
config access_profile profile_id 10 add access_id 2 ip destination_ip 224.0.0.0 port 1-28 permit priority 5

# разрешаем IP протокол

create access_profile ethernet ethernet_type profile_id 11
config access_profile profile_id 11 add access_id 1 ethernet ethernet_type 0x800 port 1-28 permit

# запрещаем весь возможный траффик

create access_profile ethernet source_mac 00-00-00-00-00-00 profile_id 100
config access_profile profile_id 100 add access_id 1 ethernet source_mac 00-00-00-00-00-00 port 1-28 deny

# приоритеты для мультикаста  (для разрешенных клиентов)
create access_profile ip source_ip_mask 255.255.255.255 destination_ip_mask 255.255.255.0 profile_id 5
config access_profile profile_id 5 add access_id 1 ip source_ip 172.20.1.1 destination_ip 238.1.1.0 port 1 permit priority 5
config access_profile profile_id 5 add access_id 2 ip source_ip 172.20.1.1 destination_ip 224.0.0.0 port 1 permit priority 5

# Разрешаем адрес с привязкой к порту
create access_profile ip source_ip_mask 255.255.255.255 profile_id 6
config access_profile profile_id 6 add access_id 1 ip source_ip 172.20.1.1 port 1 permit
config access_profile profile_id 6 add access_id 2 ip source_ip 172.20.1.2 port 2 permit

# приоритеты для мультикаста

create access_profile ip destination_ip_mask 255.255.255.0 profile_id 10
config access_profile profile_id 10 add access_id 1 ip destination_ip 238.1.1.0 port 1-28 permit priority 5
config access_profile profile_id 10 add access_id 2 ip destination_ip 224.0.0.0 port 1-28 permit priority 5

config access_profile profile_id XXX add access_id auto ethernet ethernet_type 0x9000 port 1-28 permit