чтобы не создавать новой темы касающеся работы ACL поспрашиваю тут.
Давно при переходе с 3526 на 3200 серию все правила пришлось переводить в PCF.
Всё вроде хорошо но одно так и не смог победить. А именно пропустить определенный Vlan.
Для примера возмём определенный давно работающий кусочек.
в нем стоит 3200 с кучей правил ACL для абонетов , поэтому в конце стоит блокирующее правило.
Вот кусочек конфига ( может тоже кому понадобится реализация )
Код:
# VLAN
disable asymmetric_vlan
enable pvid auto_assign
config vlan default delete 1-10
config vlan default advertisement enable
config vlan default add untagged 9-10
create vlan 021 tag 21 advertisement
config vlan 021 add tagged 10
config vlan 021 add untagged 1-4
create vlan 041 tag 41 advertisement
config vlan 041 add tagged 9-10
create vlan 078 tag 78 advertisement
config vlan 078 add tagged 9-10
disable qinq
disable gvrp
# ACL
create access_profile packet_content_mask offset1 l3 16 0xFFFF offset2 l3 18 0xFFFF offset3 l4 2 0xFFFF profile_id 1
config access_profile profile_id 1 add access_id 1 packet_content offset1 0xffff offset2 0xffff offset3 0x0043 port 1-9 permit priority 7 replace_priority replace_dscp_with 63
config access_profile profile_id 1 add access_id 2 packet_content offset1 0xac16 offset2 0x6401 offset3 0x0035 port 1-10 permit priority 6 replace_priority replace_dscp_with 60
config access_profile profile_id 1 add access_id 3 packet_content offset1 0xac16 offset2 0x640a offset3 0x0050 port 1-10 permit priority 6 replace_priority replace_dscp_with 50
config access_profile profile_id 1 add access_id 4 packet_content offset1 0xac16 offset2 0xffce offset3 0x0050 port 1-10 permit priority 6 replace_priority replace_dscp_with 50
config access_profile profile_id 1 add access_id 5 packet_content offset1 0xac16 offset2 0x6401 offset3 0x0050 port 1-9 permit priority 6 replace_priority replace_dscp_with 59
config access_profile profile_id 1 add access_id 200 packet_content offset3 0x0087 port 1-10 deny
config access_profile profile_id 1 add access_id 201 packet_content offset3 0x0089 port 1-10 deny
config access_profile profile_id 1 add access_id 202 packet_content offset3 0x008a port 1-10 deny
config access_profile profile_id 1 add access_id 203 packet_content offset3 0x01bd port 1-10 deny
create access_profile packet_content_mask destination_mac FF-FF-FF-FF-FF-FF offset1 l2 0 0xFFFF profile_id 3
config access_profile profile_id 3 add access_id 1 packet_content offset1 0x0806 port 1-10 permit
config access_profile profile_id 3 add access_id 2 packet_content destination_mac FF-FF-FF-FF-FF-FF offset1 0x0800 port 1-9 deny
config access_profile profile_id 3 add access_id 3 packet_content offset1 0x86dd port 1-10 deny
create access_profile packet_content_mask source_mac FF-FF-FF-FF-FF-FF offset1 l3 12 0xFFFF offset2 l3 14 0xFFFF profile_id 100
config access_profile profile_id 100 add access_id 1 packet_content source_mac 00-E0-91-0B-2B-D3 port 1-9 permit
onfig access_profile profile_id 100 add access_id 8363 packet_content source_mac 00-1B-FC-1A-EC-E7 offset1 0xac16 offset2 0x152a port 1-4 permit
config access_profile profile_id 100 add access_id 8410 packet_content source_mac 00-1B-24-A5-98-AD offset1 0xac16 offset2 0x4e21 port 9 permit
config access_profile profile_id 100 add access_id 8468 packet_content source_mac 00-15-F2-04-E8-4B offset1 0xac16 offset2 0x2933 port 9 permit
config access_profile profile_id 100 add access_id 8479 packet_content source_mac B8-70-F4-39-F4-D0 offset1 0xac16 offset2 0x1528 port 1-4 permit
config access_profile profile_id 100 add access_id 8493 packet_content source_mac 00-1A-4D-5F-83-97 offset1 0xac16 offset2 0x2936 port 9 permit
config access_profile profile_id 100 add access_id 65500 packet_content source_mac 00-1B-11-B8-D4-E3 port 1-9 permit
create access_profile packet_content_mask offset1 l2 0 0x0 profile_id 200
config access_profile profile_id 200 add access_id 1 packet_content port 1-9 deny
все vlan приходят на 10 порт , за 9-м портом находится 3526 уже без ACL на котором просто снимаются теги.
Управляющий vlan остаётся в default Vlan 1 .
как для примера vlan 1 нужно разрешить для любого трафика т.к до 3526 не добратся т.к его управление также в vlan 1 .
пока обхожусь только добавлением в профиль МАС коммутатора ( profile_id 100 access_id 65500).
создавал профиль и правила подобного рода:
Код:
create access_profile packet_content_mask c_tag 0xffff profile_id 2
config access_profile profile_id 2 add access_id 1 packet_content c_tag 0x01 port 9 permit
оно не работает , т.е access_profile profile_id 200 его всё также успешно блокирует.
отсюда вердикт либо во второй профиль нечего не попадает ( хотя вкомутаторе всё тегированое , да и пробывал с другими vlan), или обработка работает опять странным образом.
До этого было описано ( где-то на тут на форуме ) , что PCF и обычные ACL обрабатываются отдельно и PCF приорететнее , т.е профиль с номером 200 поэтому и созданно в PCF как и все другие .
Почему тогда profile_id 2 не отрабатывает ?
Вход
Регистрация
FAQ
Поиск
Попробую сформулировать вопрос по-другому.
