Доброго времени суток.
Имеем сеть.

Три станции головные. На каждой станции стек из 3-ех 3627G.
Между собой станции соединены оптикой.

К станции включены кольца, некоторые из них ERPS, некоторые STP. Возможно избавится от колец нет. Коммутаторы 3526, 3200-28,3028.
Сейчас клиенты работают по протоколу PPPoE. Сейчас планируется переходить на DHCP.

В связи с чем есть очень много вопросов, раньше все было закрыто ACl`ами, клиенты не могли залесть куда не надо.

Сейчас же есть угроза множетсва атак.



Но тут же начинают появляться вопросы за вопросом.

1) Port security и DHCP snooping одновременно не работают.



2) При включении DHCP snooping



Порт блокируется если количество маков растет. Но почему то функция срабатывает неверно, и другие клиентские порты также перестают правильно функционировать.


3) Как правильно настроить ARP-spoofing

4) Как бороться с диблированием мака в сети? Например DHCP сервера?

Огромное спасибо за любые советы и предложения! Вопросы очень обьемные, знаний мало, помогите пожалуйста.

Сразу скажу, что по поиску прочитал много тем. Проделавал разные манипуляции, включал разный фукнционал, не работает нормально. Скорее всего делаю что то не так... Либо не в нужной последовательности...

я тебе по аське дал информацию для размышления?

От колец избавлять нельзя. Так уж решаю не я.

Хотелось бы услышать как у других реализовано.

Вот допустим пытаюсь настроить IMPB и DHCP Snooping.
Тема viewtopic.php?f=2&t=126353&start=15 очень не радует. Так как я вроде понял что у меня ничего не получится.


Так что как бы тему можно не продолжать вроде бы, если я прав, подтвердите это.

В длинк включен DHCP сервер.

Выключаю клиентские порты.

1. Выключаю сначала port_securite на портах.


Когда включаю клиентские порты, включаю комп, ноут, да что угодно сразу появляется:



Дальше опять же пытаюсь его включить, подавляю еще защиту от DHCP серверов на клиентском порту


Тоже самое. Порты сразу блокируются. В какую сторону копать?

Еще вопрос. Есть мак допустим 01:02:03:04:05:06, как прописать его в ACL`e чтобы клиенты не могли его поставить себе и работать с ним. Или как с этим бороться? Статика FDB не помогает.

О какой модели идёт речь?

3526, 3028, 3200-28

На 3028 достаточно включить address_binding в strict режиме, на остальных сериях это невозможно.

А как бороться? Ведь считайте если злоумышленник узнает мак оборудования, то положит всю сеть.
У Вас есть какие нибудь предложения?

И все же. Проблема очень остро стоит.

Пока только один совет - не использовать address_binding. Используйте ACL

Посоветуйте как организовать ACL для запрещения маков на клиентских портах (таких маков будет 5-7 штук.)
FAQ читал, ничего не нашел...


Необходимо чтобы клиенты не могли ставить маки некоторого оборудования себе на компы. Порты используются для клиентов 1-23. коммутатор 3200-28

Как с Вами связаться что бы получить техническую поддержку.
Написал письмо А.Зайцеву тишина. По телефону такие вещи обсуждать тяжело.