ACL на ESR

[Infnd]

Добрый день,
Подскажите пожалуйста пример написания ACL .
Маршрутизатор ESR-1200

логика такая, необходимо пропускать пользователей согласно белого списка на интерфейс gi1/0/1
в сеть 77.242.*.*/29


interface gigabitethernet 1/0/1
security-zone untrusted
ip netflow export
switchport forbidden default-vlan
switchport general pvid 2
switchport general allowed vlan add 2 untagged
ip address 77.242.*.*/29


Спасибо.

[Garri]

object-group network NETS
ip prefix 11.22.33.0/24
ip prefix 44.55.66.0/16
ip address-range 77.88.99.111
exit

security zone-pair зона_откуда untrusted
rule 1
action permit
match protocol any
match source-address NETS
match destination-address 77.242.*.*/29
enable
exit
exit

зона_откуда на интерфейс откуда.

[Infnd]

Есть необходимость в указании конкретных ip(около 200-300), а не целых сетей. В каком виде указываются такие списки?

[ratemaki]

Есть необходимость в указании конкретных ip(около 200-300), а не целых сетей. В каком виде указываются такие списки?

тоже интересен этот момент, ибо в одну object-group можно добавить только 6 ip prefix и 6 ip address-range. По крайней мере, такое ограничение на esr-10.

[Garri]

Это хорошие вопросы, нужно задать их разработчикам.

[Infnd]

Разработчики молчат....

[Garri]

на 200-м в одну object-group можно добавить 64 адреса. Это на актуальной прошивки.
Infnd, не могли бы проверить сколько на 1200?

[Infnd]

Попробую, подскажу...

[leonid_zarkov]

Добрый день!

Ограничения для версии 1.4:

Код: Выделить всё

                            ESR-100/1700     ESR-1x
Object-group network    
instances                        500         50
ip prefixes in group             64          6
ip ranges in group               64          6

Object-group service    
instances                       500          50
ports ranges in group            64          6

Причем ограничение именно по ranges, т.е. использование
ip address-range 192.0.2.100-192.0.2.200
Будет занимать всего одно место, а вот
ip address-range 192.0.2.10,192.0.2.100-192.0.2.200,192.0.2.210,192.0.2.250-192.0.2.254
уже 4ре:
object-group network TEST
ip address-range 192.0.2.10
ip address-range 192.0.2.100-192.0.2.200
ip address-range 192.0.2.210
ip address-range 192.0.2.250-192.0.2.254
exit