Jump to content

DHCP флуд в пон-сети

cam-bat

By cam-bat,
in PON

 Share Followers 2

Recommended Posts

cam-bat

cam-bat 49

Posted
Posted

PON-сеть, авторизация по DHCP

OLT BDCOM, ONU также

 

Как бороться с DHCP-флудом от роутеров (кривых рук клиентов) в пон-сети?

 

в радио сети клиентскую антенну настраиваем в режим роутера (с нат) и всё, что за антенной не лезет в общую сеть.

 

А как тут поступить правильно?

 

*метод авторизации менять не собираемся, биллинг нодени

Link to post
Share on other sites
rsst

rsst 406

Posted
Posted

PON-сеть, авторизация по DHCP

OLT BDCOM, ONU также

 

Как бороться с DHCP-флудом от роутеров (кривых рук клиентов) в пон-сети?

 

в радио сети клиентскую антенну настраиваем в режим роутера (с нат) и всё, что за антенной не лезет в общую сеть.

 

А как тут поступить правильно?

 

*метод авторизации менять не собираемся, биллинг нодени

 

switchport protected

Link to post
Share on other sites
cam-bat

cam-bat 49

Posted
  • Author
Posted

 

PON-сеть, авторизация по DHCP

OLT BDCOM, ONU также

 

Как бороться с DHCP-флудом от роутеров (кривых рук клиентов) в пон-сети?

 

в радио сети клиентскую антенну настраиваем в режим роутера (с нат) и всё, что за антенной не лезет в общую сеть.

 

А как тут поступить правильно?

 

*метод авторизации менять не собираемся, биллинг нодени

 

switchport protected

 

на OLT ?

Link to post
Share on other sites
rsst

rsst 406

Posted
Posted

 

 

PON-сеть, авторизация по DHCP

OLT BDCOM, ONU также

 

Как бороться с DHCP-флудом от роутеров (кривых рук клиентов) в пон-сети?

 

в радио сети клиентскую антенну настраиваем в режим роутера (с нат) и всё, что за антенной не лезет в общую сеть.

 

А как тут поступить правильно?

 

*метод авторизации менять не собираемся, биллинг нодени

 

switchport protected

 

на OLT ?

 

да, на ПОН порт олта

изолирует пользователей в порту друг от друга

Link to post
Share on other sites
prototip

prototip 286

Posted
Posted (edited)

Да не пользует он опт 82 по всей видимости ... А зря батенька , зря - работает и ноудени тут не при чем , а swithport protected - рулит (аналог port isolated у циско) . 

Edited by prototip
Link to post
Share on other sites
l1ght

l1ght 377

Posted
Posted

Да не пользует он опт 82 по всей видимости ... А зря батенька , зря - работает и ноудени тут не при чем , а swithport protected - рулит (аналог port isolated у циско) . 

У циско як раз таки switchport protected :)

Link to post
Share on other sites
Ромка

Ромка 567

Posted
Posted (edited)

ребята, какой командой прописать switchport protected в ОЛТ? в мануале не нашел

enable [enter], config [enter], interface range epon 0/1 - 4 [enter], switchport protected [enter] 

Edited by Ромка
Link to post
Share on other sites
Avad0n

Avad0n 23

Posted
Posted

Ну или как вариант можно зарубить через ACL:

 

ip access-list extended subs.filter
deny udp any any eq 68
permit ip any any

exit

interface range epon 0/1 - 4

ip access-group subs.filter

exit

Link to post
Share on other sites
Reanemator_ua

Reanemator_ua 21

Posted
Posted

Фильтрация  - это хорошо (это я по поводу Filter DHCP), но она здесь не отработает. Я сомневаюсь, что у топик стартера прям по тысячи пакетов DHCP за секунду приходит. Чтобы оградить себя от пакетов со стороны клиентских роутеров, нужно включить DHCP Snooping и назначить доверительный порт, за которым находится DHCP сервер. При такой настройке клиентский роутер не сможет раздавать серверные DHCP пакеты в сеть (типа DHCP Offer, DHCP NACK, DHCP ACK). Также включение DHCP снупинга защитит от атаки типа DHCP Starvation. Также лучше сразу включите на всех ONU Storm-Control - полезная штука для защиты от всяких штормов со стороны клиенту.

Link to post
Share on other sites
martin

martin 170

Posted
Posted

дык это.. а что тогда делает Filter DHCP ? он что не полностью фильтрует ?? потому как по моих тестах идет как раз полная фильтрация. По аналогии с Filter ICMP и прочими фильтрами

Link to post
Share on other sites
Zura

Zura 3

Posted
Posted

Фильтрация  - это хорошо (это я по поводу Filter DHCP), но она здесь не отработает. Я сомневаюсь, что у топик стартера прям по тысячи пакетов DHCP за секунду приходит. Чтобы оградить себя от пакетов со стороны клиентских роутеров, нужно включить DHCP Snooping и назначить доверительный порт, за которым находится DHCP сервер. При такой настройке клиентский роутер не сможет раздавать серверные DHCP пакеты в сеть (типа DHCP Offer, DHCP NACK, DHCP ACK). Также включение DHCP снупинга защитит от атаки типа DHCP Starvation. Также лучше сразу включите на всех ONU Storm-Control - полезная штука для защиты от всяких штормов со стороны клиенту.

Подскажите как включить DHCP Snooping и ONU Storm-Control

Link to post
Share on other sites
morfey

morfey 82

Posted
Posted

 

Фильтрация  - это хорошо (это я по поводу Filter DHCP), но она здесь не отработает. Я сомневаюсь, что у топик стартера прям по тысячи пакетов DHCP за секунду приходит. Чтобы оградить себя от пакетов со стороны клиентских роутеров, нужно включить DHCP Snooping и назначить доверительный порт, за которым находится DHCP сервер. При такой настройке клиентский роутер не сможет раздавать серверные DHCP пакеты в сеть (типа DHCP Offer, DHCP NACK, DHCP ACK). Также включение DHCP снупинга защитит от атаки типа DHCP Starvation. Также лучше сразу включите на всех ONU Storm-Control - полезная штука для защиты от всяких штормов со стороны клиенту.

Подскажите как включить DHCP Snooping и ONU Storm-Control

 

 

 Dhcp snooping

#ip dhcp-relay snooping
#int g0/1
#dhcp snooping trust

Storm control

#epon onu port 1 storm-control mode 2 threshold 256
Link to post
Share on other sites
Reanemator_ua

Reanemator_ua 21

Posted
Posted

дык это.. а что тогда делает Filter DHCP ? он что не полностью фильтрует ?? потому как по моих тестах идет как раз полная фильтрация. По аналогии с Filter ICMP и прочими фильтрами

 

Так если Вы полностью фильтруете DHCP пакеты, то под карающую руку фильтра попадут все DHCP, т.е. клиент не сможет получить IP ))) DHCP Snooping же отфильтрует только серверные DHCP пакеты, т.е. те пакеты, которые ну никак не могут прийти со стороны клиентских портов. Если же делать DHCP фильтрацию, то не полную, а по условию - если количество DHCP пакетов превысило Threshold (порог) в 100 пакетов (или другое число) в секунду, то остальные DHCP пакеты OLT отбрасывает. По аналогии можно фильтровать BPDU и ICMP пакеты.

Link to post
Share on other sites
  • 1 month later...

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
 Share
Followers 2
Go to topic listing

  • Recently Browsing   0 members

    No registered users viewing this page.

  • Similar Content

    • WINS
      Потрібні будівельники PON м.Львів
      By WINS
      Вітаю.
      Для будівництва мережі PON потрібні монтажники. 
      Обов’язки:
      • Прокладання волоконно-оптичного кабелю (по фасаду, повітряно, у трубах);
      • Монтаж оптичних кросів, боксів, спліттерів;
      • Будівництво ВБСС (вузлів безпечного скупчення спліттерів);
      • Встановлення пластикових коробів, укладання кабелю всередині приміщень;
      • Зварювання оптичного волокна (навчаємо, якщо немає досвіду);
      • Підключення абонентів до мережі PON (FTTH);
      • Дотримання техніки безпеки при виконанні робіт.
       
      ⸻
       
      📌 Вимоги:
      • Бажання працювати та навчатись;
      • Акуратність, відповідальність;
      • Базові навички користування ручним інструментом;
      • Готовність до фізичної роботи та виїздів на об’єкти.
       
      ⸻
       
      ✅ Пропонуємо:
      • Своєчасну оплату праці;
      • Навчання всім технічним навичкам;
      • Забезпечення всім необхідним обладнанням та витратними матеріалами;
      • Роботу в дружній технічній команді;
      • Можливість кар’єрного росту.
    • Haddy
      Перекос в сигналах
      By Haddy
      В последнее время столкнулись с проблемой в перекосе сигнала от онушки на голову. 
      Голова: ЗТЕ с610 на С++ модулях, онушки фоксгейт и пикотел.
      Проблема такая: Голова светит свои +6-7, Пикотел светит 1.5-2. Фоксгейт +3-4.
      Расчётный сигнал и фактический от головы к клиенту +- совпадают. Но от онушки до головы где-то теряются 1-2дб. К примеру:  (Онушка пикотел, на отл сигнал приходит на 1дб хуже)
      Магистральные делители все варим, конечные - когда как, чаще всего ставим корпусные упц 1х8, редко бывают оконечки 1х8\1х12\1х16.
      Грешили на корпусные. Начали тестит, вместо них подкидываем оконечку или другой корпусный - проблема сохраняется. Измеряли рефом - волокно отличное, без перекосов и лишних событий.
      Один тест вовсе смутил: в дом приходит порт его делим 1х16 оконеченным, на каждый выход ставим 1х8 - перекос есть. Меняли приходящее волокно (благо их там 24, было куда потыкать) - эффект тот же. Начали менять 1х8 на разные варианты - перекос сохраняется. 
      Закинули онушку на порт без делителей - всё отлично, перекоса нет. Порт, на него 1х16 и онушка - всё отлично, перекоса нет (пробовали разные выходы на 1х16). Заменили 1х16 на другой 1х16 - перекоса нет. Добавили 1х8 (пробовали и корпусный и оконеченный) - перекос в 2 дб вернулся.
      Сейчас бригады переводят другой дом и приколов он внёс ещё больше: один порт на весь дом, в разных местах стоят 1х16 корпусный, но на одном перекос в 2 дб есть, а на втором: перекос 0.4 на одном абоне, 0.5 на другом.
      Волокна максимум 6 км от головы до первого делителя. Если брать волокно в 5 км: перекос в 0.4-0.5дб между 1310 и 1490 - премлимо, как книжка пишет, но откуда этот 1 дб дополнительно вылезает...
      Кто-то сталкивался с таким? Если да, нашли в чём проблема?
    • Paramotor
      Потрібні будівельники Pon м.Одеса
      By Paramotor
      Доброго дня шукаю будівельників Пон у місто Одеса на великий об"єм робіт на довгострокові відносини  
      Хто дійсно зацікавлений за деталями будь ласка в особисті 
      Дякую
    • Exnet_Skayvin
      ZTE C 220 , option82 gpon
      By Exnet_Skayvin
      Шановні колеги, допоможіть настроїти опцію 82 для гпон плати на 220 та 320 зтє. поділіця конфігом.
    • kesha13
      Будівництво PON в м. Київ
      By kesha13
      Вітаю.
      Для будівництва мережі PON потрібні монтажники. 
      Необхідно робити отвори в перекриттях, встановлювати пластикові труби, розтягувати оптику по багатоповерховим будинкам.
      Територіально - правий берег м. Києва.
      Оплата -  за об'єм виконаної роботи.
      За деталями в особисті повідомлення.
×
×
  • Create New...