Коллеги, доброго дня!

Пожалуйста, поясните как работает эта ф-я.

Верно ли я понимаю, что фильтрация касается только траффика к собственно коммутатору?
(на стенде наблюдаю другое, что мне не ясно)

Пожалуйста, поясните что именно попадает в фильтр, и как зависит от включения или отключения каких-то фич.

Очевидный ответ "то что обрабатывается процессором" меня не совсем устраивает, потому что не ясно что именно обрабатывается процессором и при каких условиях.

_________________
Если пушки в цене - значит дело к войне,
Кто не хочет платить тот заплатит вдвойне.

То, что обрабатывается процессором - это и есть вполне логичный ответ.
Уточните, пожалуйста, что Вы наблюдаете на стенде и в чем заключается вопрос.

Блин, я даже не знаю злиться или смеяться на такой ответ =)

Я хочу что бы га свитче работал dhcp_relay и собственно он пропускал транзитные пакеты. Кроме этого что бы на него можно было зайти с управляющего интерфеса по ssh. все.





При этом как то странно перестает ходить даже транзитный траффик который к сети 192.168.148.1/22 отношения не имеет, хотя и находиться в вланах 2000-2079. В частности, даже АРП.

Отсюда вопрос - какой траффик надо ЯВНО разрешить.

Схема сети такая (коротко) - у клиента может быть один IP из 192.168.148.1/22 (на самом деле реальники), обрабатываются супервланом, или из 10.0.0.0/8 - маршрутизируется роутером который имеет интерфейс в кажом влане из 2000-2079

_________________
Если пушки в цене - значит дело к войне,
Кто не хочет платить тот заплатит вдвойне.

Думал что на транзитном траффике (не зависимо от его типа) ЭТИ ACL не действуют.

_________________
Если пушки в цене - значит дело к войне,
Кто не хочет платить тот заплатит вдвойне.

Укажите, пожалуйста, версию прошивки на коммутаторе. Кроме того из Вашего описания совершенно непонятна роль второго профиля, DHCP Relay у Вас включен или нет?
enable cpu_interface_filtering сделали?
P.S. IP профиль не имеет никакого отношения и никак не должен ограничивать работу протокола ARP. Вы уверены, что проблема возникает после того, как Вы прописываете указанные правила?

Да, на SVL включен и используется релей.




Насчет АРП - уверен.

_________________
Если пушки в цене - значит дело к войне,
Кто не хочет платить тот заплатит вдвойне.

Так блокируйте в третьем профиле не все source_ip, а только необходимой подсети. ARP в какой подсети перестает ходить? Дело в том, что для Super VLAN'а автоматически включается Proxy ARP, поэтому ARP трафик также анализируется.

Т.е. на процессор попадает ВЕСЬ арп-траффик? ив этом может быть причина большой нагрузки на процессор, например?

_________________
Если пушки в цене - значит дело к войне,
Кто не хочет платить тот заплатит вдвойне.

изначальная задача - сделать так что бы нагрука на процессор коммутатора уменьшилась.

_________________
Если пушки в цене - значит дело к войне,
Кто не хочет платить тот заплатит вдвойне.

При большом количестве ARP трафика может, поэтому нежелательный трафик правильней фильтровать на уровне доступа.

Если есть 70 вланов, в кажном из них есть /24, и кто то из клиентов начинает сканить nmap -nsP 10.0.0.0/8 в рещультате роутре (не свитч) естественно пошлет арп запросы к каждому IP из настроенных сетей.

Потому, просьба пояснить каким образом заставить свитч НЕ обрабатывать процессором такой траффик (тем более что на свитче нет никаких адремов из 10-й сети и эти арпы к нему теоретически никак не относятся....)

_________________
Если пушки в цене - значит дело к войне,
Кто не хочет платить тот заплатит вдвойне.

sirmax1
Если ip адрес хоста не из сети 10.0.0.0/8 - arp по идее будет только один, с уточнением мак адреса шлюза.

Это как?

Есть вланы, 2000-2010, в каждом интерфейс на роутере (не свитче!) -10.0.0.1/24 ... 10.0.10.1/24.
Если кто то из клиентов звпустит скан сети 10.0.0.0/8 то будет запросов (от роутера) на каждый адес из сетей - итого в примете 254*10 арп-запросов, которые (теоретически) к свитчу никак не относятся но блокируются фильтром выше.

_________________
Если пушки в цене - значит дело к войне,
Кто не хочет платить тот заплатит вдвойне.

Вы пробовали указанную подсеть не указывать в профиле 3 или вообще убрать данное правило, это решает проблему или нет?

Я не понимаю.

Уьрал правило, траффик ходит, процессор нагружен.
Добавил - процессор не нагружен, траффик не ходит.

А надо что бы и процессор не нагружен, и траффик ходит )

ВОПРОС.

ПОЧЕМУ транзитный арп обрабатывается процессором и нормальное ли это поведение?

_________________
Если пушки в цене - значит дело к войне,
Кто не хочет платить тот заплатит вдвойне.