Хочу создать ACL-правила: 1) блокирующие левый dhcp и pppoe-трафик; 2) блокирующие samba-трафик.
Пока из презентаций не могу понять схему по которой правила пишутся. Есть профили, у каждого есть уникальный profile_id, внутри профиля создаются правила, у каждого профиля есть уникальный access_id.
Соответственно для блокировки samba нужно отбрасывать кадры, содержащие tcp и udp-пакеты с полем dst_port равным 135, 137, 138, 139, 445.
В презентации рекомендуется использовать следующие команды:
Код:
create access_profile ip tcp dst_port_mask 0xFFFF profile_id 1
config access_profile profile_id 1 add access_id 1 ip tcp dst_port 135 port 1-9 deny
config access_profile profile_id 1 add access_id 2 ip tcp dst_port 137 port 1-9 deny
config access_profile profile_id 1 add access_id 3 ip tcp dst_port 138 port 1-9 deny
config access_profile profile_id 1 add access_id 4 ip tcp dst_port 139 port 1-9 deny
config access_profile profile_id 1 add access_id 5 ip tcp dst_port 445 port 1-9 deny
create access_profile ip udp dst_port_mask 0xFFFF profile_id 2
config access_profile profile_id 2 add access_id 1 ip udp dst_port 135 port 1-9 deny
config access_profile profile_id 2 add access_id 2 ip udp dst_port 137 port 1-9 deny
config access_profile profile_id 2 add access_id 3 ip udp dst_port 138 port 1-9 deny
config access_profile profile_id 2 add access_id 4 ip udp dst_port 139 port 1-9 deny
config access_profile profile_id 2 add access_id 5 ip udp dst_port 445 port 1-9 deny
Это для 10-портового коммутатора, 1-9 - абонентские порты, 10 - аплинк
Тут, я так понимаю, происходит сравнение значения в поле "destination port" tcp и udp-пакетов. Вопрос, а почему бы вместо двух профилей не создать один, длина tcp и udp пакетов вроде одинаковая - стало быть можно сравнить значения по смещению 0x00A2 ip-пакета?
Подскажите стоит ли так делать и как это сделать вообще (я и про блокировку samba-трафика, и про блокировку dhcp и pppoe)?
Коммутаторы: DES-3200, DGS-3200, DGS-1100, DGS-3120
Вход
Регистрация
FAQ
Поиск
