Настройка acl на Dlink

[Melanxolik 63]

Собственно задача для кого-то банальная, но для меня пока еще остается с вопросами.

Из-за того что приходится отказываться от ip port snoop binding, нужно нарисовать как это разруливается через acl

 

как это видится сейчас:

 

create access_profile ip source_ip_mask 255.255.255.255 profile_id 10
config access_profile profile_id 10 add access_id 1 ip source_ip 192.168.50.1 port 1 permit
config access_profile profile_id 10 add access_id 1 ip source_ip 192.168.50.2 port 2 permit
config access_profile profile_id 10 add access_id 1 ip source_ip 192.168.50.3 port 3 permit
config access_profile profile_id 10 add access_id 1 ip source_ip 192.168.50.4 port 4 permit
config access_profile profile_id 10 add access_id 1 ip source_ip 192.168.50.5 port 5 permit
config access_profile profile_id 10 add access_id 1 ip source_ip 192.168.50.6 port 6 permit
config access_profile profile_id 10 add access_id 1 ip source_ip 192.168.50.7 port 7 permit
config access_profile profile_id 10 add access_id 1 ip source_ip 192.168.50.8 port 8 permit

 

 

дальше вроде как:

 

# Настройте запрещающее правило для всех остальных IP-адресов

create access_profile ip source_ip_mask 0.0.0.0 profile_id 20

config access_profile profile_id 20 add access_id 2 ip source_ip 0.0.0.0 port 5 deny

 

 

Но тут вопрос, как из правильно прописать и как обеспечить корректность прохождения dhcp запросов на uplink порты от клиентов.

Помогите плиз, а то голова с утра не варит и кофе закончилось.

[hellion 4]

http://wiki.m-tel.ne...8%D0%B5-%D0%BF/

 

работает на 3525 и 3200 сериях

[Melanxolik 63]

Я вот мозгую, а при option 82, по сути эти acl не нужны, достаточно обрезать все лишнее.?

[hellion 4]

option 82 не использую, не скажу поможет ли она, а acl у меня на всех длинках настроен. работает 100%, левие дхсп не пропускает, только те что с аплинка приходят принимает.

[Melanxolik 63]

Возникла трабла, с клиентского порта походу валят адреса внутренней сети, как можно отдельно прослушать что приходит с клиентского порта если все клиентские порты находятся в одном общем vlan в пределах одного свича.

 

неужели только выделять порт в отдельный vlan и тащить на сервер чтобы там сделать ему tcpdump?

[QI_Can9 3]

Что значит "валят адреса внутренней сети"?

[Melanxolik 63]

это когда на с интерфейса клиента к тебе приходят не то что 192. а в обще 10.0

[hellion 4]

это когда на с интерфейса клиента к тебе приходят не то что 192. а в обще 10.0

я же ссылку дал как запретить средствами ацл, левые дхсп...

[Melanxolik 63]

да при чем здесь именно dhcp? клиент не сервер свой выставил в сеть провайдера, клиент пытается под левым каким-то ip вылезти в сеть.

[hellion 4]

да при чем здесь именно dhcp? клиент не сервер свой выставил в сеть провайдера, клиент пытается под левым каким-то ip вылезти в сеть.

тогда IP-MAC-Port Binding используйте. тоже работает. лично проверено.

[QI_Can9 3]

create access_profile ip source_ip_mask 255.255.255.255 profile_id 10

config access_profile profile_id 10 add access_id 1 ip source_ip 192.168.50.1 port 1 permit

 

это правело разрешает только этот айпи на только этот порт.