Захист від втручання абонента

[domdom 0]

Недавно почали впроваджувавати GEPON, технологія нова, добре не вивчена, але як то сі каже, з божою помічу впровадили.

Обладнання взяли як завжди саме дешеве, BDCOM. Абоненти включаються по схемі влан на абонента. конфігурація для прикладу:

interface EPON0/1:1
 onu-configuration
  epon onu port 1 ctc vlan mode tag 154
  epon onu port 1 ctc rate-limit 3250 ingress
  epon onu port 1 ctc rate-limit 3250 egress
  epon onu port 1 loopback detect
!!onu-configuration-end

Все ніби працює, влан онушка тагує(розтаговує), швидкість ріже, абонент коротше працює, все чотко, якби не одне але. Налаштування влана і швидкості застосовуються на онушці, а вона зараза в абонента вдома, і він може робити з тою онушкою шо забажає(навіть горіхи товкти якшо корпус металевий). Горіхи горіхами, а от ліміт швидкості зняти, або влан сусідський поставити, або ше чого надумає, і все це він може зробити без особливих проблем.

 

Так от, хто як захищає свою мережу від таких мудрагеликів?

[logic 521]

ніхера абон сам не може зробити... всі настройки онушка приймає тільки з олта

[domdom 0]

ніхера абон сам не може зробити... всі настройки онушка приймає тільки з олта

 

Подібне на самовнушеніє (я не хочу срати, я не хочу срати....я не всрався)

 

а загалом може, якшо не дуже вже тупенький

Відредаговано 2014-09-26 13:23:59 domdom

[logic 521]

неможе... ір на ону немає....

Відредаговано 2014-09-26 13:27:18 logic

[sanyadnepr 305]

 

ніхера абон сам не може зробити... всі настройки онушка приймає тільки з олта

 

Подібне на самовнушеніє (я не хочу срати, я не хочу срати....я не всрався)

 

а загалом може, якшо не дуже вже тупенький

 

Для тех кто в танке обьясняю, абонент может настроить онушку как ему угодно, настройки в вебморде ону в реальности не применяются, когда онушка подключена к ОЛТу, конфиг подхватывает с ОЛТа !  

Проблема выдумана, этот вопрос обсасывался и проверялся ранее !

Відредаговано 2014-09-26 13:28:59 sanyadnepr

[domdom 0]

навіть в рідному BDCOM P1501 можна міняти налаштування, я вже мовчу про всякі алістари з вбудованими лінуксами.

[Ромка 567]

И каким образом абон может поставить влан соседа, если на его ЕПОН порт приходит только один его влан? Ну и да, настройки ОНУха берет с ОЛТа, при загрузке.

[sanyadnepr 305]

неможе... ір на ону немає....

Айпі э ! 

Відредаговано 2014-09-26 13:30:35 sanyadnepr

[logic 521]

навіть в рідному BDCOM P1501 можна міняти налаштування, я вже мовчу про всякі алістари з вбудованими лінуксами.

всі мав кажуть - що ніяк абон не може зробити настройки  при підключеній ону к олту а ви на своєму..... це тільки ви думаєте що можна.... но в реаліях не можна....

[domdom 0]

И каким образом абон может поставить влан соседа, если на его ЕПОН порт приходит только один его влан? Ну и да, настройки ОНУха берет с ОЛТа, при загрузке.

Просто прийміть як факт що може, не важливо як він це зробить. Мене цікавить чи можна з цим боротись? якшо можна то як?

[logic 521]

це ви прийміть як факт - що не може

[domdom 0]

це ви прийміть як факт - що не може

переконали, тепер можу спати спокійно, дуже дякую.

[UserSide 51]

Теоретическая возможность - поменять МАК ОНУ - подставить МАК соседа (который ещё нужно выяснить), который работает в той же ПОН-ветке. Остальные настройки - до лампочки.

Других вариантов нет. И то - будет работать, пока у соседа выключено.

 

Как бороться? Точно также как и не в случае ПОНа - при подменах МАКов, ИП-адресов и т.п.

Административными методами. Отключением, звонками разъяснительными, обещаниями заявлений в милицию о "втручанні у роботу телекомунікаційних мереж"

[l1ght 377]

Так, зробіть собі пивний ларьок та не чіпайте людський мозок.

Вам вже сказали, НЕ МОЖНА, якщо ви вважаєте, що можна - доведіть.

Ви задали питання - вам дали відповідь, якщо відповідь вас не влаштовує - то не треба було задавати це питання!

[domdom 0]

Так, зробіть собі пивний ларьок та не чіпайте людський мозок.

Вам вже сказали, НЕ МОЖНА, якщо ви вважаєте, що можна - доведіть.

Ви задали питання - вам дали відповідь, якщо відповідь вас не влаштовує - то не треба було задавати це питання!

 

BDCOM P1501

# telnet 10.0.0.10
Trying 10.0.0.10...
Connected to 10.0.0.10.
Escape character is '^]'.
iROS ONU CLI

Username: admin
Password: *****


ONU(config)#
  help                 Show available commands
  history              Show a list of previously run commands
  quit                 Disconnect
  exit                 Exit from current mode
  save                 Save ONU config
  debug                Enter debug mode
  serial-number        ONU serial number
  ctc-loid-pass        CTC loid and password
  web-timeout          Set Web Timeout interval (Unit:second)
  telnet-timeout       Set Telnet Timeout interval (Unit:second)
  vlan                 Enter vlan config mode
  fdb                  Enter fdb config mode
  igmp                 Enter igmp config mode
  uni                  Enter uni config mode
  qos                  Enter qos config mode
  pon                  Enter pon config mode
  mgmt                 Enter mgmt mode

ONU(config)# vlan

ONU(config-vlan)# mode set   
  mode set <port ID> <mode> <pvid> [vlan1] [vlan2]...    
    port ID: UNI port, 1    
    mode: VLAN mode, 0~4. Mode 3 is not supportted currently.    
        0--TRANSPARENT, format: mode set <port ID> <mode>    
        1--TAG, format: mode set <port ID> <mode> <pvid>    
        2--TRANSLATION, format: mode set <port ID> <mode> <pvid> [cvlan_x] [svlanx] ...     
        4--TRUNK, format: mode set <port ID> <mode> <pvid> [vlan_x]  ...    
    pvid: default vlan ID, 0~4095, invalid for transparent mode     
    vlan_x: vlan ID, 1~4094, max value of x is 8

ONU(config-vlan)# mode set 1 1 154

І вуаля....

[domdom 0]

Ліміт швидкості як знімати самі попробуєте чи показувати?

[sanyadnepr 305]

Ліміт швидкості як знімати самі попробуєте чи показувати?

Показувати, зі скрінами, і з консолі ОЛТа налаштування ону в момєнт тєстів   

[FonOdinus 92]

Режем скорость на влане еще до олта, к абону кроме влана ничего не приходит.

[domdom 0]

 

Ліміт швидкості як знімати самі попробуєте чи показувати?

Показувати, зі скрінами, і з консолі ОЛТа налаштування ону в момєнт тєстів   

 

ONU(config)# qos

ONU(config-qos)#
  help                 Show available commands
  history              Show a list of previously run commands
  quit                 Disconnect
  exit                 Exit from current mode
  save                 Save ONU config
  schedule             qos algorithm configuration
  queue-size           qos queue size configuration
  1pcos                qos 1pcos configuration
  rate-limit           qos UNI rate limit configuration
  shaper               qos PON shaper configuration
  show                 qos show configuration

ONU(config-qos)# rate-limit
  set                  set qos rate limit
  get                  get qos rate limit

ONU(config-qos)# rate-limit set
  rate-limit set <port ID> <enable> <rate>    
    port ID: UNI port, 1    
  enable:         0~1, 0:disable, 1:enable    
  rate:             0~1000000, uint is kbps

в консолі олта чисто, він бідолаха навіть не здогадується...

[sanyadnepr 305]

в консолі олта чисто, він бідолаха навіть не здогадується...

ОЛТу фиолетово эти изменения !

Еще раз, повторяю, покажи vlan на ону из консоли ОЛТа, покажи маки на ону, в каком они влане, ОЛТ выдал ону настройки которые в конфиге, попробуй из "левого" влана хотя бы шлюз пропинговать !? ОЛТ на эту ону будет передавать/принимать только трафик из своего для ону конфига, на ону руками можеш настраивать как тебе угодно, ОЛТ ложил большой и толстый болт на конфигурацию самой онушки, ОЛТ будет передавать/принимать данные согласно своего конфига для этой онушки !!!

Проверил лимит закачкой ? Инет есть ?

Відредаговано 2014-09-26 14:13:25 sanyadnepr

[Lynx100 90]

Режем скорость на влане еще до олта, к абону кроме влана ничего не приходит.

це раз - швидкість повинна висталятися на брасі

але крім того є питання звідки IP адреса на ОНУ ?  ви на олт виставляєте адреси на ОНУ ? чи це якась "дефолтна". Якщо дефолтна то при підключенні до ОЛТ вона мала би перезаписатися у випадку якщо  ви присвоюєте онушці адреси або знятися якщо ви неприсвоюєте ...

 

Яка дефолтна ip для 1501? хочу перевірити

[Lynx100 90]

 

в консолі олта чисто, він бідолаха навіть не здогадується...

ОЛТу фиолетово эти изменения !

Еще раз, повторяю, покажи vlan на ону из консоли ОЛТа, покажи маки на ону, в каком они влане, ОЛТ выдал ону настройки которые в конфиге, попробуй из "левого" влана хотя бы шлюз пропинговать !? ОЛТ на эту ону будет передавать/принимать только трафик из своего для ону конфига, на ону руками можеш настраивать как тебе угодно, ОЛТ ложил большой и толстый болт на конфигурацию самой онушки, ОЛТ будет передавать/принимать данные согласно своего конфига для этой онушки !!!

 

ну с влан понятно что ОЛТ будет отправлят пакеты согласно своего конфига

а вот рейт лимит реально где делается на ОЛТ или ОНУ ?

Відредаговано 2014-09-26 14:13:43 Lynx100

[sanyadnepr 305]

 

 

дефолтна

 

[domdom 0]

Тему я створив не для того шоб тут доводити комусь шо таке можна робити, а вияснити чи з цим хтось бореться засобами олта. Бачу поки не знайшлось борців, мабуть треба буде тунель робити, типу пппое або шось таке...

дякую за увагу.

[sanyadnepr 305]

 

 

Тему я створив не для того шоб тут доводити комусь шо таке можна робити

Т.е. проблема выдуманная ?

Не доказал - не подтвердил !