Вопросы по ACL на 3310B

[passer]

Вопросы по ACL на 3310B:

1. приписка log в acl влияет на что-то или нет?

2. как глянуть свободный и не только tcam, дабы иметь представление о том что можно делать, а когда надо остановиться?

[Reanemator_ua]

Вопросы по ACL на 3310B:

1. приписка log в acl влияет на что-то или нет?

2. как глянуть свободный и не только tcam, дабы иметь представление о том что можно делать, а когда надо остановиться?

 

Добрый день. Первый вопрос не понял. На счёт второго - если я правильно, Вы хотите знать сколько уже записей в DHCP binding table и сколько ещё осталось свободного места в этой таблице? Если так, то этот вопрос уточню.

[passer]

1. Пишу по памяти, т.к. олт сейчас мне недоступен:

ip access-class extended Something
deny udp any any eq 137 log
deny udp any any eq 138 log
deny tcp any any eq 139 log
deny tcp any any eq 445 log
permit ip any any log

и подключил к пон-интерфейсу

Вот это окончание log обычно позволяет посмотреть кол-во совпадений с этим правилом. На олте я не смог этого увидеть.

 

2. Что ip acl, что ip source guard (записи DHCP snooping binding) тратит на коомутаторах tcam, объем которого ограничен. Вот хотелось бы иметь возможность знать аппетиты и возможности олта, который по сути тот же коммутатор с плюшками в виде пон-чипов.

[Zolks]

судя по всему 1 запись в DHCP snooping binding = 2 tcam (как и на коммутаторах Edge-Core)

т.к. в последней прошивке внесли следующее изменение:

"Enlarge the binding entry of dhcp snooping to 300 .The old version only support 100"

а при количестве записей в DHCP snooping binding = 50 следующий абонент уже не получал ip (т.е. заканчивался tcam)

[passer]

Это я знаю, но писать acl и не знать когда пора остановиться - это глупость. Хочу ее избежать.

[Reanemator_ua]

Дорогие товарищи. Хватит догадок. По нашей просьбе BDCOM сделал тест. 1 запись = 1 tcam, т.е. если опустить acl, то 300 клиентов можно забиндить в таблице при помощи IP Source Guard (он же IP Verify).

 

На счёт просмотра информации о доступном tcam - такой команды нет, но BDCOM обнадёжил, что сделать её они планируют.

[passer]

ACL сейчас у меня по сути 2 шт., но возможно что-то потребуется в будущем. Поэтому я и спросил о подобной команде.

Грубо говоря интересует сколько и каких ACL можно добавить с учетом 250 клиентов.

 

И спросите, пожалуйста, о модификаторе log в правилах ACL. Работает ли он или это только планируется. На данном этапе это совсем не критично, но подобный модификатор бывает полезен при отладке каких-то проблем.

Відредаговано January 21, 2014 at 11:15 passer

[Zolks]

возникла идея по поводу измерения tcam (т.к. я похоже единственный на форуме, кто столкнулся с этим ограничением)

 

если получить по dhcp ip на устройство с маком хх.хх.хх.хх.хх.01 - то при отключении этого устройства запись в DHCP snooping binding останется до истечения времени лизинга, правильно?

а если теперь 150+ раз изменить мак на сетевушке - появится ли соответствующее количество записей в DHCP snooping binding?

 

собственно это и собираюсь завтра проверить.

[passer]

Офигеть, сколько у людей свободного времени.

Это шутка.

 

У некоторых вендоров кусок tcam, отводимый под IP Source Guard (он же IP Verify) фиксирован. И больше определенного стать не может. Даже если tcam остальной пустует.

Так что фактически ваш опыт покажет сколько записей биндинга может держать олт, но никак не распределение tcam.

 

А по сути - прояснить ситуацию может только команда отобрающая доступный tcam. Посему предлагаю не графоманить, а дождаться реакции из Китая.

[Zolks]

после того, как я потратил более 3-х месяцев на выяснение очевидной проблемы - я уже боюсь чихнуть лишний раз )

и лучше я потрачу один день на модуляцию возможных неприятностей, чем в час пик подключения новых абонов буду пожарить.

[Zolks]

собственно проверил.

добился 168-ми записей в DHCP snooping binding и остановился.

сплю спокойно.

[XNeo]

Продолжу тему )

 

Есть задача отфильтровать трафик с ONU оставив только IPv4 / ARPv4. С IPv4 всё просто. А вот ARP в правилах ACL не учтён, его не возможно указать(на сколько я понял).

ARP не инкапсулируется в IP, выходит что ACL фильтр типа permit ip xxx.xxx.xxx.xxx 255.255.255.255 any результата не принесёт. При включении устройства с левым IP в сеть улетит пакет с ARP-запросом, как результат сообщение о "конфликте IP" у другого юзера.

 

Я прав? Как быть?

[XNeo]

Такс... задача усложняется )

config#interface epon 0/1:10
config_epon0/1:10#ip access-group test
ip access-group failed

Выходит нельзя установить правило ACL на интерфейс связанный с конкретной ONU?

[McLlaren]

Сначала надо создать ACL на ОЛТе а потом повесить его на ОНУ. По поводу ARP, а зачем вам его блочить, как ОНУ узнает МАК того или иного устройства? То о чем вы говорите лечится корректной настройкой DHCP сервера (option 82, или выдача IP на основе мака клиента).
,

[XNeo]

Сначала надо создать ACL на ОЛТе а потом повесить его на ОНУ. 

ACL я создал конечно же, просто не указал в примере. Суть в том что этот ACL не применяется к интерфейсу epon0/1:10, к интерфейсу epon0/1 без проблем, но это не совсем то что нужно.

 

 

По поводу ARP, а зачем вам его блочить, как ОНУ узнает МАК того или иного устройства? То о чем вы говорите лечится корректной настройкой DHCP сервера (option 82, или выдача IP на основе мака клиента).

Суть же не в DHCP. Провайдер выделил клиенту1 IP 10.10.10.10. А этот клиент взял и поставил у себя на компе руками 10.10.10.11, который принадлежит клиенту2 и воткнул кабель. В этот момент от клиента1 в сеть улетит широковещательный пакет ARP-REQ запрос "У кого тут 10.10.10.11?". Комп клиента2 поймает этот запрос и ответит "у меня!", а на экране клиент2 увидит сообщение "Конфликт IP 10.10.10.11 с другим компьютером в сети...".

Так вот, задача отфильтровать все исходящие пакеты от клиента1, чтобы в них адрес источника был ТОЛЬКО 10.10.10.10.

Другими словами нужна жёсткая привязка IP к порту. В данном случае порт находится на ONU.

Відредаговано November 26, 2014 at 15:06 XNeo

[martin]

так блокани общение между онушками и все.

[XNeo]

так блокани общение между онушками и все.

Это очень "полезный" совет   Можно ещё патчкорд из OLTхи выдернуть 

Но мы не ищем простых путей. Интересует именно фильтрация трафика на виртуальном интерфейсе ONU.

[passer]

Во-первых, наличие acl на онушках и функционал зависит от модели онушек.

Во-вторых, то что вы жаждете получить - называется arp inspection и ip source guard (ip mac port binding).

[supporer]

 

Такс... задача усложняется )

config#interface epon 0/1:10
config_epon0/1:10#ip access-group test
ip access-group failed

Выходит нельзя установить правило ACL на интерфейс связанный с конкретной ONU?

 

некропостинг 

Switch_config_epon0/1:1#epon onu port 1 ip access-group test

правильней