Есть сеть построенная из DES-3526 и DES-3028 в качестве домовых свитчей, DGS-3612G в качестве агрегаторов и DES-3528 как источники услуг.
К одному из DES-3528 подключенны источники IPTV-Multicast, на нём включен igmp-snooping и Querier State - enable.
У остальных свитчей включен igmp-snooping и Querier State - disable.
Всё прекрасно работает пока какой нибудь из клиентов не подключает маршрутизатор с включенным igmp-snooping и Querier State - enable.
Проводятся выборы и обычно выбирается клиентский маршрутизатор имеющий адрес 10.X.X.X при используемой нами адресации 192.168.0.0.
Попробовал ставить router_ports_forbidden на все клиентские порты, по прежнему клиент может стать Querier.
Как можно назначить Querier или запретить клиентским портам участвовать в выборах?

Сеть сегментирована вланами? Мультикаст льётся в отдельном от юзеров влане?

Попробуйте config cpu_filter l3_control_pkt клиентские_порты all state enable

Нет используется default vlan т.к. раньше стояли как агрегаторы DGS-3312, а они при включенном mcast vlan подвисали наглухо стабильно раз в день.

Для des-3526 3528 команда прошла и вроде бы даже помогла.
Для des-3028 и dgs-3612G нет команды cpu_filter там только cpu access_profile и длинный паровоз написания параметров.

Помогла да не совсем для соседних свитчей он по прежнему добавляется в Dynamic router port.
Т.Е. есть магистральный порт 25-26, на них я не могу поставить config cpu_filter l3_control_pkt, через них и приходят с соседнего свитча с клиенского порта.

config igmp_snooping querier IPTV state disable
config igmp_snooping querier vlan_name IPTV version 2
config mgmt_pkt_priority 7
config igmp_snooping multicast_vlan_group IPTV delete all
config igmp_snooping multicast_vlan_group IPTV delete profile_name IPTV
config igmp_snooping multicast_vlan_group IPTV add 224.12.1.1-224.12.1.254,239.60.8.1
create igmp_snooping multicast_vlan_group_profile IPTV
config igmp_snooping multicast_vlan_group_profile IPTV add 224.12.1.1-224.12.1.254
config igmp_snooping multicast_vlan_group_profile IPTV add 239.60.8.1-239.60.8.1
config igmp_snooping multicast_vlan_group IPTV add profile_name IPTV
config multicast port_filtering_mode all filter_unregistered_groups
config multicast vlan_filtering_mode all filter_unregistered_groups
config max_mcast_group ports 1-26 max_group infinite
config max_mcast_group port 1-28 max_group 256
config max_mcast_group ports 1-28 max_group 1024
config max_mcast_group ports 1-18 max_group 1024
config max_mcast_group ports 1-10 max_group infinite
config cpu_filter l3_control_pkt 1-10 all state enable
config cpu_filter l3_control_pkt 1-26 all state enable
config cpu_filter l3_control_pkt 27-28 all state enable
disable igmp_snooping
disable cpu_interface_filtering
delete cpu access_profile profile_id 5
delete cpu access_profile profile_id 4
delete cpu access_profile profile_id 3
delete cpu access_profile profile_id 2
delete cpu access_profile profile_id 1
delete access_profile all

create cpu access_profile profile_id 1 ip destination_ip_mask 255.255.255.0
create cpu access_profile ip destination_ip_mask 255.255.255.0 profile_id 1
config cpu access_profile profile_id 1 add access_id 1 ip destination_ip 224.12.1.0 permit
config cpu access_profile profile_id 1 add access_id 1 ip destination_ip 224.12.1.0 port all permit

create cpu access_profile profile_id 2 ip destination_ip_mask 255.255.255.255
create cpu access_profile ip destination_ip_mask 255.255.255.255 profile_id 2
create access_profile ip destination_ip_mask 255.255.255.0 profile_id 253
create access_profile ip destination_ip_mask 255.255.255.255 profile_id 254
create access_profile profile_id 512 ip destination_ip_mask 255.255.255.255
config cpu access_profile profile_id 2 add access_id 1 ip destination_ip 224.0.0.1 port 25-26 permit
config access_profile profile_id 253 add access_id 1 ip destination_ip 224.12.1.0 port 25-26 permit
config access_profile profile_id 254 add access_id 1 ip destination_ip 224.0.0.1 port 25-26 permit
config access_profile profile_id 254 add access_id 2 ip destination_ip 224.0.0.2 port 25-26 permit
config access_profile profile_id 254 add access_id 3 ip destination_ip 239.60.8.1 port 25-26 permit
config access_profile profile_id 512 add access_id 1 ip destination_ip 224.12.1.0 mask 255.255.255.0 port 25-26 permit
config access_profile profile_id 512 add access_id 2 ip destination_ip 224.0.0.1 mask 255.255.255.255 port 25-26 permit
config access_profile profile_id 512 add access_id 3 ip destination_ip 224.0.0.2 mask 255.255.255.255 port 25-26 permit
config access_profile profile_id 512 add access_id 4 ip destination_ip 239.60.8.1 mask 255.255.255.255 port 25-26 permit
config cpu_filter l3_control_pkt 25-26 all state disable
config cpu access_profile profile_id 2 add access_id 2 ip destination_ip 224.0.0.2 permit
config cpu access_profile profile_id 2 add access_id 2 ip destination_ip 224.0.0.2 port all permit
config cpu access_profile profile_id 2 add access_id 3 ip destination_ip 239.60.8.1 permit
config cpu access_profile profile_id 2 add access_id 3 ip destination_ip 239.60.8.1 port all permit

create cpu access_profile profile_id 3 ip destination_ip_mask 240.0.0.0
create cpu access_profile ip destination_ip_mask 240.0.0.0 profile_id 3
config cpu access_profile profile_id 3 add access_id 1 ip destination_ip 224.0.0.0 deny
config cpu access_profile profile_id 3 add access_id 1 ip destination_ip 224.0.0.0 port all deny
create access_profile ip destination_ip_mask 240.0.0.0 profile_id 255
config access_profile profile_id 255 add access_id 1 ip destination_ip 224.0.0.0 port 1-26 deny
config access_profile profile_id 255 add access_id 1 ip destination_ip 224.0.0.0 port all deny
config access_profile profile_id 512 add access_id 5 ip destination_ip 224.0.0.0 mask 240.0.0.0 port all deny

enable cpu_interface_filtering
enable igmp_snooping
save

п.с. правил одинаковых много т.к. в разных моделях разный синтаксис, делал так что-бы подошел сразу ко всем моим (3026, 3028, 3200-28, 3200-18, 3526) (ддя 3200-18/10 соответственно нужно порты поменять разрешающие 17-18/9-10 например)

п.с. подразумевается использование ISM Vlan

_________________
2008-2015г. компания Экстрим Интернет. Технический директор/Главный системный администратор.
2015-по н.в. компания "Подряд". Инженер сети ШПД

На тех свичах, где нет команды cpu_filter l3_control_pkt, достаточно на клиентских портах повесить acl, фильтрующие пакеты с dst-ip 224.0.0.1. Если используется ISM, достаточно вешать только cpu acl. Если нету ISM, то надо вешать и просто acl, и cpu acl.