Помогите настроить ACL на DLink`е

[91belka 0]

Ребята, подскажите, может кто сталкивался с такой проблемой. Есть сетка на 500-1000 компов, построенная на длинках, хочу запретить всем хостам доступ к сети, но при этом что бы доступ к интернету был.

Все абоненты находятся в одном влане и все свичи доступа соединены в кольца, поэтому traffic_segmentation использовать не целесообразно(очень много лишней работы с разбиением на новые вланы). Доступ к сети я им закрыл и в интернет они все ходят, но проблема в том, что если запустить программку типа netlook, то она шлёт кучу арп-запросов, соответственно если 100 человек одновременно запустят что то подобное то сеть просто ляжет, ну или упадёт в производительности, а это очень плохо.

Пока сделал таким образом(через веб-интерфейс коммутатора):

1. открыл всем абонентам доступ к интернет шлюзу по мак адресу

2. закрыл всем абонентам доступ к моей сети(в данном случае 10.14.0.0/16)

 

Проблема заключается в том, как я понял, что коммутатор(в данном случае DLink DES-3200) отсекает входящий траффик, а мне нужно сделать, что бы она отсекала исходящий.

Кто писал ACL правила, пожалуйста помогите а то в документации сам чёрт ногу сломит(уже 2 дня чехлюсь почти ничего непонятно).

 

или натолкните на мысль, может я не в ту область лезу.......

[dan_aspire 81]

 1000 компов в одном Л2 сегменте... Это ж какой у вас там арп-флуд по сети бегает. Вланы, вланы и ещё раз вланы, иначе трандец

[91belka 0]

 1000 компов в одном Л2 сегменте... Это ж какой у вас там арп-флуд по сети бегает. Вланы, вланы и ещё раз вланы, иначе трандецнев 

не в одном Л2, сетка построена кольцами где то 3-5 колец, я пока не до конца разобрался (я работаю тут "без году неделя"  )  думаете ACLки не спасут? Просто на вланы разбивать это геморойно очень......

[Tux 24]

Зато правильно. Раз сделал и жизнь наладится. И плюс переезд на вланы можно сдать более-мнее плавный (постепенный)

Відредаговано 2013-11-29 13:35:10 Tux

[axl72 12]

объясните, почему только  вланы? можно ли сделать полную изоляцию при помощи ACL? и какие минусы&

[91belka 0]

Зато правильно. Раз сделал и жизнь наладится. И плюс переезд на вланы можно сдать более-мнее плавный (постепенный)

а потянет ли линукс роутер около 100 вланов, в дальнейшем возможно больше?

[logic 521]

потянет

[91belka 0]

Спасибо за ваши советы, но они всё же немного не по теме, неужели единственный способ это создание кучи вланов? ACL ведь для чего то создан......

[fastvd 62]

vlan only

acl - не для этого!

[91belka 0]

vlan only

acl - не для этого!

А для чего?

[dan_aspire 81]

В любом случае, даже если организована работа СТП-колец, он на разделение Л2 сегментов не влияет. У вас одна подсетка - 10.14.0.0/16 - это и есть один Л2 сегмент. 

Нагрузка на тазик у вас не из-за количества вланов, а из-за количества информации, пробегающей через него.

[dan_aspire 81]

ACL - ну например чтоб запретить АЦЛками дхцп с клиентских портов (на новых свичах есть более вменяемые способы), например для того, чтобы ограничить количество мак адресов с порта, и т.д... Функциями фильтрации айпишников свичи доступа или агрегации нагружать не стоит - это всё забота ядра.

[91belka 0]

В любом случае, даже если организована работа СТП-колец, он на разделение Л2 сегментов не влияет. У вас одна подсетка - 10.14.0.0/16 - это и есть один Л2 сегмент.

Нагрузка на тазик у вас не из-за количества вланов, а из-за количества информации, пробегающей через него.

Спасибо за ЛикБез)) просто и понятно!

PS: тазик это, я так понимаю - сервер?

Відредаговано 2013-11-29 19:39:01 91belka

[91belka 0]

ACL - ну например чтоб запретить АЦЛками дхцп с клиентских портов (на новых свичах есть более вменяемые способы), например для того, чтобы ограничить количество мак адресов с порта, и т.д... Функциями фильтрации айпишников свичи доступа или агрегации нагружать не стоит - это всё забота ядра.

Погодика, ведь traffic segmentation это тоже нагрузка на свичи доступа а не на ядро, какая разница что использовать, к тому же зачем то эти свичи программируются

[dan_aspire 81]

 traffic segmentation, если я правильно понял, всего лишь запрещает выполнять коммутацию внутри коммутатора, то есть, если у него в таблице маков и порт с маком источником и порт с маком-назначением в клиентских портах, то он не будет сам сразу же перенаправлять кадрымежду портами, а погонит их на аплинк.