На A1 используется такой ACL


Далее в профиль 20, по снмпи добавляются правила deny:


Суть данных правил в том что при определённом событии закрыть доступ на порту по всем направлениям кроме dns запросов, шлюза(64.1) и личного кабинета (64.153)

Нужно переписать данные правила под новую систему ACL на C1 ревизии свитчей. Как я понял из презентации "Новый механизм создания и настройки ACL правил для C1", данные правила можно засунуть в один профиль, однако при этом нужно правильно высчитать protocol_id, user_define, mask под разные протоколы (tcp, udp). Прошу помощи

Оффтоп:

Объявляйте в профиле все поля, которые далее у вас должны анализироваться, а уже в правилах вы или расписываете значения этих полей, или не упоминаете их - и тогда они не анализируются.

Эту то логику я понимаю, а дальше, какие заголовки пакетов за что отвечают, есть какойто расписанный ман по основным протоколам и их маскам ? Или не ужели нужно сидеть анализировать дампом нужные пакеты и мучиться их расписывать? какойто не "for people" получается

Более конкретного мануала нет.

А можно в порядке обучения помочь переписать следующие правила:



Схема реализации должна быть “Что не разрешено, то запрещено” .

Попутно вопрос. В презентации читаем:



Запрещающее правило нужно ставить в каждом профайле?

Продолжаю монолог.

С разрешающими правилами проблем нет:



все работает.
Теперь осталось последнее правило:



После его применения, все перестает работать.
Собственно остается вопрос, как реализовать решение "что не разрешено, то запрещено"?

Up.

Так как все-таки переписать правила? Может задачка для D-link'а смешная и кажется, что я кого-то троллю?

Добрый день. Нет, есть одна особенность. Мы сейчас уточняем что можно сделать для решения данной задачи.

_________________
С уважением,
Бигаров Руслан.

Нет никаких вестей?

Добрый день. Суть проблемы в новом механизме ACL, т.е. матчинг трафика происходит паралельно по всем профилям и deny правила имеют больший приоритет. Мы попросили ШК изменить данное поведение, т.е. чтобы приоритизация была по ACL профилям и правилам, как в DES-3200/B1. Изменение запланировано в R4.32. Мы ждём расписание этого релиза от ШК.

P.S.: Я Вам выслал на e-mail описание текщего механизма ACL на коммутаторах С1.

_________________
С уважением,
Бигаров Руслан.

Создал похожую тему с похожим вопросом по поводу перехода на С1 http://forum.dlink.ru/viewtopic.php?t=154839
Судя по тому, что меня "попросили" перейти со своим вопросом сюда - то ответа нет и поможет только ШК?

Я закрыл вашу тему потому что аналогичная уже есть. Предлагаю вам переписать сообщение здесь, перед этим прочитав презентацию по новым ACL: https://dl.dropbox.com/u/41324937/Prese ... ew_ACL.ppt
Также почитайте про IP-MAC-Port binding: https://dl.dropbox.com/u/41324937/Prese ... 20v3.8.ppt

Мне ети презентации уже снятся Вопрос для меня остается откритим: можно ли мной поставленую задачу реализовать с помощью ACL PCF или сразу смотреть в сторону IMPB+DHCP Snooping?

Или Ви предлагаете перепечатать сдесь вопрос, подразумевая, что задача в принципе решима, просто я не вижу правильного пути? Так укажите, где я ошибся, и я возликую.

Просто я преисполнен здравим скепсисом, так-как имею опит работи с Вашим железом (например 3528, если не ошибаюсь), где тоже не оказалось необходимого количества offset_chunk и после долгой переписки с Вами мне било предложено мигрировать на 3200. Кстати на 3528 та-же логика создания access_profile. Возможно и дизайни чипов схожи.

С другой сторони, я помню ситуацию с внедрением 3200, когда оказалось, что правила ACL PCF и IP_filter не могут работать вместе, т.к. срабативает правило из одного списка и игнорируются остальние.

Поетому, пока мной не принято решение закупать десятками 3200-с1, я хочу знать, как я могу реализовать поставленую задачу. И могу ли вообще достичь требуемого функционала.

Смотрите лучше сразу в сторону IMPB+DHCP Snooping - этот функционал для того и делали.