IvanI писал(а):
но от этого "пересечения между группами" не исчезло
Цитата:
в случае пересечения между группами более приоритетным будет запрещающее правило.
а на самом деле трафик прошедший(не дропнутый) packet_content акл дальше фильтруется IP? и Ethernet! акл.
Это как в вышке - у Вас два множества:
A (с offset):
Код:
create access_profile packet_content_mask offset1 l2 0 0xFFFF offset2 l2 2 0xFFFF offset3 l2 4 0xFFFF offset4 l2 6 0xFFFF offset5 l2 16 0xFFFF offset6 l2 18 0xFF00 offset7 l2 26 0xFFFF offset8 l2 28 0xFF00 profile_id 2
config access_profile profile_id 2 add access_id 1 packet_content offset1 0x0806 offset2 0x0001 offset3 0x0800 offset4 0x0604 offset5 0xc0a8 offset6 0x1000 offset7 0xc0a8 offset8 0x1000 port 1-24 permit priority 5 replace_priority replace_dscp_with 32 counter enable
create access_profile packet_content_mask offset1 l2 0 0xFFFF profile_id 3
config access_profile profile_id 3 add access_id 1 packet_content offset1 0x0806 port 1-24 deny
B (без offset):
Код:
create access_profile ethernet ethernet_type profile_id 4
config access_profile profile_id 4 add access_id 1 ethernet ethernet_type 0x0806 port 1-24 permit counter enable
create access_profile ethernet source_mac 00-00-00-00-00-00 profile_id 19
config access_profile profile_id 19 add access_id 1 ethernet source_mac 00-00-00-00-00-00 port 1-24 deny
B разрешает весь ARP, A разрешает определенный ARP
Пересечением этих двух множеств будет то, что принадлежит и тому и другому множеству одновременно, то есть A.
IvanI писал(а):
Возможно в моих правилах еще можно сэкономить 3 офсета, попробую на следующей неделе.
Код:
create access_profile packet_content_mask offset1 l2 0 0xFFFF offset2 l2 2 0xFFFF offset3 l2 4 0xFFFF offset4 l2 6 0xFFFF offset5 l2 16 0xFFFF offset6 l2 18 0xFFFF offset7 l2 26 0xFFFF offset8 l2 28 0xFF00 profile_id 2
config access_profile profile_id 2 add access_id 1 packet_content offset1 0x0806 offset6 0x0031 mask 0x00ff port 1-24 deny
config access_profile profile_id 2 add access_id 118 packet_content offset1 0x0806 offset2 0x0001 offset3 0x0800 offset4 0x0604 offset5 0xc0a8 offset6 0x1000 mask 0xff00 offset7 0xc0a8 offset8 0x1000 port 18 permit priority 5 replace_priority replace_dscp_with 32 counter enable
config access_profile profile_id 2 add access_id 200 packet_content offset1 0x0806 port 1-24 deny
Так работать будет, вместо 1-3 профиля?
Можно и так.
Вход
Регистрация
FAQ
Поиск
