Есть 3526
Задача.
Разрешить абоненту на порту работать только с своего айпи адреса без контроля мак адресов ессно исключая FFFF и запретить присваивать себе мак шлюза.
Для этого юзаем ACL или IP-MAC Binding Permit IP Pool

Дальше, разрешить на порту только 1 мак адрес.
Для этого настраиваем Port Security

Дальше запретить возможность появления мак адреса шлюза на порту абонента, так как айпи адрес мы уже ограничили.
Для этого используем, что Static ARP Settings или ARP Spoofing Prevention ?
Что лучше ?

_________________
С уважением,
Бигаров Руслан.

Гениально!

Спрашивали же:


Ни то, ни другое. Вы хотите запретить появление мака шлюза на абонентком порту - задайтие его статически на аплинке. Даже если он и появится - он не будет изучен, т.к. уже статически забит на аплинк.

ARP Spoofing Prevention работает следующим образом: при добавлении записи в неё - она создаёт 2 профиля, которые запрещают все пакеты, которые совпадают с:
1) IP адресом шлюза
2) с MAC-адресом шлюза

Т.е. если абонент себе установит либо ип либо мак шлюза - пакеты с него будут заблокированы.

Полезная фишка, её тоже используйте, однако это ACL, и работает по уже имеющейся коммутации, если добавите мак как я выше сказал - это будет сделано на более низком уровне.

То что хотел понять, спасибо за разжовнность.

На аплинке сделал, но смотрю в 35 серии на абонентских свитчах тоже можно прописать в статическую таблицу или в этом варианте лучше ARP Spoofing Prevention использовать ?

Вы имеете в виду статическую запись в FDB на аплинках коммутаторов доступа (речь идет о DES-3526) или уже имеете в виду именно клиентские порты?

НЕ я в агрегаторы прописал статические данные.
А вот доступ где конечные абоненты, как там лучше ?

На uplink порту - статическая запись в FDB для мака шлюза (если у Вас конечно на доступе не кольцевая топология). На клиентских портах ARP Spoofing Prevention.

Типа так ?
Create fdb default 00:12:13:14:32:23 port 26
И так типа можно внести все устройства отвечающие за доступ к интернет.

Да, можно.

А скажите как на серии 3028 организовать такую схему ?

Порт клиента ограничен конкретным IP - делаем с помощью ACL двумя профилями.
Мак шлюза и остальных сервисов вносим в fdb.
Ограничиваем порт секюрити количество маков на порту.
Как теперь разрешить клиентским портам брать айпи свой с DHCP сервера? учитывая что сервер выдаст на этот порт только нужный айпи.

Создал профиль разрешающий 0.0.0.0 поместил выше остальных, и не получилось.


Получаеться что два таких профиля у меня дублируються.

Первый разрешает 0.0.0.0.
Второй разрешает конкретный айпи
Третий запрещает 0.0.0.0

Хрень какаято получилась.

Этот профиль разрешает вообще любые пакеты.
Попробуйте так:

Нужно разрешать не IP адрес 0.0.0.0, а разрешать UDP dst 67 пакеты.

_________________
С уважением,
Бигаров Руслан.

Кому верить ?

Не любые пакеты, с с src_ip 0.0.0.0, но не все DHCP Client-ы делают запрос от IP адреса 0.0.0.0, поэтому лучше воспользоваться моим вариантом.

_________________
С уважением,
Бигаров Руслан.