DHCP-snooping в BDCOM 3310B не работает

[NaviNavi 86]

  В 06.03.2020 в 19:26, Туйон сказав:

Есть один местак, где 4, гирляндой ))

Мониторю загрузку - по вечерам на графике ну раз в неделю прыгает до 90 на полчаса.

Когда кто то упорото начинает качать.

95% времени колышется в районе 10-30 мбит.

Где на порту 1 тупарь, вообще график еле живой

Expand  

Да схемы такие работают по сей день, у каждого в сети такие участки есть, от этого не деться никуда 

  В 06.03.2020 в 19:30, Туйон сказав:

Сколько МАС-адресов за собой нормально прожевывает ОНУ у вас ?

Expand  

Не практикуем замену онушкой медика в сегменте где связка медик+свитч, строится новая сеть на поне и каждого переводим на пон, а после этого вырезается и демонтируется все старое. 

[nedoinet 441]

  В 06.03.2020 в 19:30, Туйон сказав:

Сколько МАС-адресов за собой нормально прожевывает ОНУ у вас ?

Expand  

кто-то хвалился что 102 жует. но подозреваю что у большинства онушек таблица на 64 мака.

Відредаговано 2020-03-06 19:36:22 nedoinet

[NaviNavi 86]

  В 06.03.2020 в 19:35, nedoinet сказав:

  В 06.03.2020 в 19:35, nedoinet сказав:

кто-то хвалился что 102 жует. но подозреваю что у большинства онушек таблица на 64 мака.

Expand  

 

Expand  

Нет желания тестить, работает старая сеть и параллельно строится новая сеть, чтоб не растерять существующих абонентов и плюсом новых подключить. Монтажники когда работают народ выходит с вопросами А кто что и как и в ответ слышат модернизация сети чтоб у вас все работало хорошо, потом сарафанное радио и заявки на подключки идут

[Небесный 26]

  В 06.03.2020 в 19:00, Туйон сказав:

У меня в 1 влане по 30-50 чел, но сегментация есть, и люди видят друг друга только в пределах тупаря - 2-5 чел.

Expand  

Та, это уже паранойа. Если небольшой район, то в один влан. Если большой - побить на несколько. В езернете управляемые свичи справляются с кАкой в сети, это словил баг на ОЛТе со снупингом, а так не вижу проблем 100-200 абонов держать в одном влане. Короче /24 маска, ну накрайняк /23. 

Відредаговано 2020-03-06 20:57:26 Небесный

[sergeyko 2]

Switch_config_g0/1#ip-source trust

Switch_config_g0/1#dhcp snooping trust

Switch_config_g0/1#arp inspection trust

 

 

Switch_config_epon0/1#filter bpdu

Switch_config_epon0/1#filter dhcp

 

 

Switch_config# ip dhcp-relay snooping 

Switch_config# ip dhcp-relay snooping vlan xxxx

Switch_config#ip arp inspection vlan xxxx

Switch_config# ip verify source vlan  xxxx
Switch_config# ip dhcp-relay snooping information option format cm-type 

Switch_config# ip dhcp-relay agent

 

Всего этого достаточно чтобы решить проблему автора этой темы

[Небесный 26]

  В 06.03.2020 в 22:05, sergeyko сказав:

Switch_config_g0/1#ip-source trust

Switch_config_g0/1#dhcp snooping trust

Switch_config_g0/1#arp inspection trust

 

 

Switch_config_epon0/1#filter bpdu

Switch_config_epon0/1#filter dhcp

 

 

Switch_config# ip dhcp-relay snooping 

Switch_config# ip dhcp-relay snooping vlan xxxx

Switch_config#ip arp inspection vlan xxxx

Switch_config# ip verify source vlan  xxxx
Switch_config# ip dhcp-relay snooping information option format cm-type 

Switch_config# ip dhcp-relay agent

 

Всего этого достаточно чтобы решить проблему автора этой темы

Expand  

Абоненты у кого статикой прописано работать будет?

Відредаговано 2020-03-06 22:21:49 Небесный

[sergeyko 2]

нет

 

в даной конфигурации клиент сможет только получить адрес по DHCP

 

[Небесный 26]

  В 06.03.2020 в 22:24, sergeyko сказав:

нет

 

в даной конфигурации клиент сможет только получить адрес по DHCP

 

Expand  

Я то и заметил инспектион и верифи. Много абонов за статикой сидит. Посему и пытаюсь настроить обычный без прибамбасов снупинг. Конечно выше указанный вариант очень даже не плох, когда-то так было у меня в доксисе. Паралельно с доксисом начали развивать пионернет на мыльницах, там такого уже не было - правда не долго баловались мыльницами, поняв, что херня - начали строить звезду с управляемых коммутаторов, позднее доксис заменили на гепон, и чёт хз с какого ещё с мыльниц оставили возможность статики. Переводить весь гепон онли дхцп анрил, закумаримся бегать.

 

Посему нужен просто снупинг. Не выйдет, буду пробовать ацлки прибивать на онушки. Хотя не факт, что зоопарк примет ацлки. (((

Відредаговано 2020-03-06 23:01:26 Небесный

[sanyadnepr 305]

  В 06.03.2020 в 22:05, sergeyko сказав:

Switch_config_g0/1#ip-source trust

Switch_config_g0/1#dhcp snooping trust

Switch_config_g0/1#arp inspection trust

 

 

Switch_config_epon0/1#filter bpdu

Switch_config_epon0/1#filter dhcp

 

 

Switch_config# ip dhcp-relay snooping 

Switch_config# ip dhcp-relay snooping vlan xxxx

Switch_config#ip arp inspection vlan xxxx

Switch_config# ip verify source vlan  xxxx
Switch_config# ip dhcp-relay snooping information option format cm-type 

Switch_config# ip dhcp-relay agent

 

Всего этого достаточно чтобы решить проблему автора этой темы

Expand  

Следующий пост автора данной темы будет - начиная с 100-150-го онлайн абонента, на ОЛТе, имеем проблемы, памагите !!!

Ему будет предоставлен следующий выбор, не использовать весь функционал, в следствии аппаратных ограничений.

Выбери только что то одно, максимум два. Обсуждалось лет 5-7 назад, на 3310В с тех пор что то изменилось ?

[Небесный 26]

  В 06.03.2020 в 14:45, a_n_h сказав:

следующее включено? для борьбы с "левыми" DHCP мне хватало:

 

 

1. ИЗОЛЯЦИЯ ПОРТОВ

 

BDCOMP3310Bподдерживает 3 уровня изоляции: изоляция портов ONU, изоляция ONUна одном EPON порту и изоляция ONU на соседних EPONпортах.

 

Изоляция соседних портов одной ONU (в этом случае ПК абонентов, подключённые к соседним портам ONU не могут общаться друг с другом напрямую - только через EPONпорт OLT-а).

 

Switch_config_epon0/1:1#epon onuport-protect

 

Изоляция ONU, подключённых к одному EPONпорту OLT-а (в этом случае ONU из одного дерева не могут общаться друг с другом напрямую через EPONпорт OLT-а - OLTотправляет пакеты на коммутатор вышестоящего уровня).

 

Switch_config_epon0/1#no eponinner-onu-switch

 

Изоляция ONU, подключённых к разным EPONпортам OLT-а (в этом случае ONU из соседних деревьев не могут общаться друг с другом напрямую и OLTотправляет пакеты на коммутатор вышестоящего уровня).

 

Switch_config_epon0/1#switchport protected

 

 

Expand  

 

Начал с утра перечитывать еще раз всю тему и пропустил, вот хороший совет.

 

 

Изоляция ONU, подключённых к разным EPONпортам OLT-а (в этом случае ONU из соседних деревьев не могут общаться друг с другом напрямую и OLTотправляет пакеты на коммутатор вышестоящего уровня).

Switch_config_epon0/1#switchport protected

 

А, ведь это реально поможет. Клиенты уйдут на центральный свич, а там уже верти трафиком, выше упоминаемая проблема с вражескими ДХЦП реализована тем, что на центральном свиче настроен релей, который перехватывает все запросы - и они улетают на мой сервер, не попадая на вражеский.

 

У меня как раз:

interface EPON0/4
 epon pre-config-template speed_1GB_template binded-onu-llid 1-64
 switchport mode trunk
 switchport pvid 24
  ip-source trust
 no switchport protected
 epon error-frame-alarm

 

Відредаговано 2020-03-07 07:03:42 Небесный

[sanyadnepr 305]

  В 06.03.2020 в 17:48, Dimkers сказав:

А если камера начнет срать соседним абонентам, что делать? Вот и есть у вендоара данная фича.

Expand  

Если ты по умолчанию не понял что делать, а точнее изначально настроить так чтоб подобных проблем не иметь, учить тебя и тех кто не понимает, не буду. 

 

  В 06.03.2020 в 17:48, Dimkers сказав:

А если абон будет по пптп подключаться к соседу и пользовать инет на толпу тупо в твоём влане? А? Шо делать? Реально от изоляции пользы больше.

Expand  

Такое возможно в основном только в особых случаях. Что будешь делать если у тебя в сети на Епон будут 20 онушек или на твой выбор, не платить больше одного месяца абонплату ? Тоже монтажника посылать к абонам ? Только изоляцией решить этот вопрос можно ? 

Изоляция решает, в определенных случаях эти вопросы, в других необходимо использовать предлагаемые тобой костыли. Для тебя использование костылей, вполне обычное дело.

[Небесный 26]

  В 06.03.2020 в 14:45, a_n_h сказав:

Изоляция ONU, подключённых к разным EPONпортам OLT-а (в этом случае ONU из соседних деревьев не могут общаться друг с другом напрямую и OLTотправляет пакеты на коммутатор вышестоящего уровня).

 

Switch_config_epon0/1#switchport protected

Expand  

 

Кто-то подскажет, как сие реализовать на BDCOM P3310C - сволочь не хочет прописываться.

На epon0/1 прошло switchport protected 1, на втором пробовал и switchport protected 1 и switchport protected 2.

 

Кстати на 3310В - все завелось и заработало, онушки перестали срать своим ДХЦП по понятным причинам, они никого не слышат. И вообще какого хера они раздают айпишки, кто посмел им дать такое право? ))) Включились во влан, прописали айпишку на локальном компе, зашли на онушку по веб-мордочке - про ДХЦП там и в помине ничего нету.

 

Собственно меня полная изоляция на ОЛТе устраивает, в таком случае и снупинг нафиг не нужн, и порты шаровые виндовые не нужно закрывать - прелесть одна для параноика все и вся закрывать.

Відредаговано 2020-03-07 10:30:14 Небесный

[Dimkers 1 610]

  В 07.03.2020 в 07:12, sanyadnepr сказав:

Если ты по умолчанию не понял что делать, а точнее изначально настроить так чтоб подобных проблем не иметь, учить тебя и тех кто не понимает, не буду

Expand  

Дык в том то и дело, что я прекрасно понимаю ситуацию. Это ты вылез и начал рассказывать - а что если надо трафик между ОНУ сделать. Потом приплел, что сделать можно только на акселе(написал же ты - что не у всех аксель, но при чем тут аксель никто так и не понял).

  В 07.03.2020 в 07:12, sanyadnepr сказав:

Изоляция решает, в определенных случаях эти вопросы, в других необходимо использовать предлагаемые тобой костыли.

Expand  

Изоляция решает куда больше проблем, чем тебе кажется. Костыли - это отключать изоляцию L2, когда нужно пятку абонентов сделать регистратор или подобное.

  В 07.03.2020 в 07:12, sanyadnepr сказав:

Такое возможно в основном только в особых случаях. Что будешь делать если у тебя в сети на Епон будут 20 онушек или на твой выбор, не платить больше одного месяца абонплату ? Тоже монтажника посылать к абонам ? Только изоляцией решить этот вопрос можно ? 

Expand  

В каких особых? Я тебя умоляю. Просто народ отныне глупенький.

Вопрос можно решить не только изоляцией(кстати, а расскажи как ты решаешь вопрос), но я еще раз повторю - изоляция решает куда больше проблем, чем ты получаешь профита от ее отключения.

  В 07.03.2020 в 07:12, sanyadnepr сказав:

в других необходимо использовать предлагаемые тобой костыли

Expand  

Костыли - маршрутить сети выше ОЛТа? Да ладно. Ну для любителей микротов оно наверное да, костыли. А так то весь интернет маршрутится и ничего

[sanyadnepr 305]

Про аксель это ты сам, за меня додумал.

Маршрутизировать локальный трафик на брасах в пределах /24 это твое рабочее решение ? ТС и /23 одним сегментом не считает проблемой.

Не предоставлять услуги L2 между ону, только потому что тебе староверу так неудобно. Видеонаблюдение на поне, только через твой брас. 

А если Аплинк от ОЛТа к твоему брасу упал, все кино закончилось, не будет записанных картинок ?

Повторяю, для тебя особо одаренного, что у людей по разному сети построены, мало кто озвучивает нюансы и детали.

Давай помогай решать ТС_у вопрос с изоляцией, че молчишь то по теме ?

Відредаговано 2020-03-07 10:32:46 sanyadnepr

[sanyadnepr 305]

  В 07.03.2020 в 07:42, Небесный сказав:

BDCOM P3310C

Expand  

sh run и sh ver для начала покажите.

[Dimkers 1 610]

  В 07.03.2020 в 10:22, sanyadnepr сказав:

Про аксель это ты сам, за меня додумал.

Expand  

  В 06.03.2020 в 15:59, sanyadnepr сказав:

Никто не мешает, но не у всех аксель, не всегда это нужно гонять локальный траф через брас.

Expand  

К чему этот ответ был?

  В 07.03.2020 в 10:22, sanyadnepr сказав:

Маршрутизировать локальный трафик на брасах в пределах /24 это твое рабочее решение ?

Expand  

А ты на ОЛТе маршрутизируешь? Точно?

  В 07.03.2020 в 10:22, sanyadnepr сказав:

Не предоставлять услуги L2 между ону, только потому что тебе староверу так неудобно. Видеонаблюдение на поне, только через твой брас. 

Expand  

Отключать изоляцию для пачки камер, которые в итоге еще могут и насрать - это тоже не решение.

  В 07.03.2020 в 10:22, sanyadnepr сказав:

А если Аплинк от ОЛТа к твоему брасу упал, все кино закончилось, не будет записанных картинок ?

Expand  

Я такое не строю.

  В 07.03.2020 в 10:22, sanyadnepr сказав:

Давай помогай решать ТС_у вопрос с изоляцией, че молчишь то по теме ?

Expand  

Я сразу написал - что сижу на старой прошивке и работает она как часы.

[Небесный 26]

  В 07.03.2020 в 10:29, sanyadnepr сказав:

sh run и sh ver для начала покажите.

Expand  

 

Команда добавилась на всех портах епон через switchport protected 1

 

 

#sh ver
BDCOM(tm) P3310C Software, Version 10.1.0E Build 46085
Copyright by Shanghai Baud Data Communication CO. LTD.
Compiled: 2017-9-15 15:21:2 by SYS, Image text-base: 0x80008000
ROM: System Bootstrap, Version 0.4.1, Serial num:00316007080
System image file is "Switch.bin"
hardware version:V1.0
(RISC) processor with 131072K bytes of memory, 16384K bytes of flash
Base ethernet MAC Address: 
snmp info:
  product_ID:294   system_ID:1.3.6.1.4.1.3320.1.294.0
 uptime is 1:00:03:43, The current time: 1970-1-2 0:3:43

 

 

#sh conf
!version 10.1.0E build 46085
service timestamps log date
service timestamps debug date
logging buffered 4096
!
hostname xxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
port-protected 1
!
epon onu-uni-link-status-on
!
!
!
!
ip default-gateway xxxxxxxxxxxxxxxxxxxx
!
!
spanning-tree mode rstp
!
!
!
!
!
!
!
!
!
!
!
aaa authentication login default local
aaa authentication enable default enable
aaa authorization exec default local
!
!

epon oam-version 1 0x21
epon oam-version 2 0x20
!
epon onu-config-template speed_1GB_template
 cmd-sequence 001 epon sla upstream pir 1000000 cir 10000
 cmd-sequence 002 epon sla downstream pir 1000000 cir 10000
 cmd-sequence 003 epon onu all-port ctc loopback detect
 cmd-sequence 004 epon onu all-port storm-control mode 3 threshold 256
!
!
!!slot 0 89
interface GigaEthernet0/1
 switchport trunk vlan-allowed 10,22,24,200
 switchport mode trunk
  dhcp snooping trust
!
interface GigaEthernet0/2
 shutdown
!
interface GigaEthernet0/3
 switchport trunk vlan-allowed 10,22,24,200
 switchport mode trunk
  dhcp snooping trust
!
interface GigaEthernet0/4
 shutdown
!
interface GigaEthernet0/5
 shutdown
!
interface GigaEthernet0/6
 shutdown
!
interface EPON0/1
 epon pre-config-template speed_1GB_template binded-onu-llid 1-64
 switchport mode trunk
 switchport pvid 24
 switchport protected 1
 epon error-frame-alarm
!
interface EPON0/2
 epon pre-config-template speed_1GB_template binded-onu-llid 1-64
 switchport mode trunk
 switchport pvid 24
 switchport protected 1
 epon error-frame-alarm
!
interface EPON0/3
 epon pre-config-template speed_1GB_template binded-onu-llid 1-64
 switchport mode trunk
 switchport pvid 24
 switchport protected 1
 epon error-frame-alarm
!
interface EPON0/4
 epon pre-config-template speed_1GB_template binded-onu-llid 1-64
 switchport mode trunk
 switchport pvid 24
 switchport protected 1
 epon error-frame-alarm
!
!!slot end
!
interface VLAN10
 ip address xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
!
!
!
vlan 1,10,22,24,200
!
!
!
!
ip dhcp-relay snooping
ip dhcp-relay snooping vlan  22,24,200
!
!
ip http server
!
!
!
time-zone Kiev 2 0
ntp query-interval 3600
ntp server xxxxxxxxxxxxxxxxxxxxxxx

!
!Pending configurations for absent linecards:
!
!No configurations pending global

 

Відредаговано 2020-03-07 11:04:07 Небесный

[Туйон 1 289]

Злой форум стал какой-то в последние годы.

Неуютный и неприветливый.

Зря вы так.

[Kto To 602]

  В 06.03.2020 в 07:24, Dimkers сказав:

откатите, видайть китайсы опять поломали. До сих пор сижу на 33463. Как часы.

Expand  

 

Роутеры Xiaomi, Netis, Tenda - получают ИП по DHCP при включенном снупинге?

[Небесный 26]

dhcp filter - это что за команда на поновском интерфейсе? Может без нее и не работает снупинг в пределах 1-го порта пона? И только после того, как пакет вышел за пределы порта пона, работает снупинг? Не могу нигде найти полное нормальное описание данной команды.

 

 

  В 07.03.2020 в 11:23, Kto To сказав:

 

Роутеры Xiaomi, Netis, Tenda - получают ИП по DHCP при включенном снупинге?

Expand  

Да.

Відредаговано 2020-03-07 11:27:31 Небесный

[Dimkers 1 610]

  В 07.03.2020 в 11:23, Kto To сказав:

Роутеры Xiaomi, Netis, Tenda - получают ИП по DHCP при включенном снупинге?

Expand  

Да. Тенда и Нетис  - точно есть. Сяоми - не уверен.

Відредаговано 2020-03-07 11:30:28 Dimkers

[Kto To 602]

  В 07.03.2020 в 11:29, Dimkers сказав:

Да.

Expand  

 

Попробую залить ту прошивку которая у вас. На 46085 - вышеперечисленные роутеры не получают ИП по DHCP o82

[Небесный 26]

up

Відредаговано 2020-03-07 11:56:55 Небесный

[sanyadnepr 305]

  В 07.03.2020 в 07:02, Небесный сказав:

Изоляция ONU, подключённых к разным EPONпортам OLT-а (в этом случае ONU из соседних деревьев не могут общаться друг с другом напрямую и OLTотправляет пакеты на коммутатор вышестоящего уровня).

Switch_config_epon0/1#switchport protected

 

А, ведь это реально поможет. Клиенты уйдут на центральный свич, а там уже верти трафиком, выше упоминаемая проблема с вражескими ДХЦП реализована тем, что на центральном свиче настроен релей, который перехватывает все запросы - и они улетают на мой сервер, не попадая на вражеский.

Expand  

Между ветками решили вопрос ок. Как изоляция между ветками решает вопрос левого дхцп сервера в пределах одной ветки ?

Сколько еще телодвижений необходимо сделать чтоб создать acl ?

 

С языка снял, что опции 82 у тебя нет.

 

Відредаговано 2020-03-07 11:58:10 sanyadnepr

[Небесный 26]

  В 07.03.2020 в 11:56, sanyadnepr сказав:

Между ветками решили вопрос ок. Как изоляция между ветками решает вопрос левого дхцп сервера в пределах одной ветки ?

 

С языка снял, что опции 82 у тебя нет.

 

Expand  

По умолчанию внутри ветки запрещен обмен трафиком. Аль не так?