Элтекс

Можно ли создать ip source-guard binding без mac адреса, чтобы на порту привязка была только по ip? Если нет, то может есть примеры как сделать это с помощью acl (фильтрация arp и трафика)?

Вот пример фильтрации с помощью acl

console(config)#ip access-list extended IP_FILTERING
console(config-ip-al)#permit ip any any 192.168.0.1 255.255.255.255 any
console(config)#int GigabitEthernet 1/0/1
console(config-if)#service-acl input IP_FILTERING

Разрешает пакеты только с src ip 192.168.0.1

Это слишком просто Я так понимаю, оно не отфильтрует левые arp ответы, что уже плохо. Во вторых есть проблема, я хотел повесить глобальные правила, например на фильтрацию netbios, правила на порт, для ограничения IP-Port. Как оказалось, нельзя поаесить 2 Ip acl на один порт. Это получается, нужно создавать для каждого порта отдельный acl со всеми правилами.. ip source-guard binding был бы решением, глобальные правила + ip source-guard binding на порт. Но я так понимаю, что без проверки mac оно не работает?

Можно попробовать использовать ACL в связке c функцией ARP-inspection. Без проверки на MAC source-guard не работает.

Жаль, в очередной раз не получилась замена д-линку...
Пробовал acl offset list, но так как проверок в одном листе максимум 4, и они однобайтные, не получается проверить и тип пакета и ip адрес в нем (для arp например нужно 5 смещений 0 (тип), 16, 17, 18, 19 (адрес))
arp inspection требует mac
Свитч купили на пробу, как вариант замены, по первым впечатлениям не плохо, но вот 3 косяка которые ставят на идее крест, первый вышеописанный, второй, что нормально считать статус Скорость/Duplex порта, и их административные установки приходится делать каким-то адским способом:



И потом исходя их этого высчитывать-угадывать, что на порту задано, auto оно или задано жестко, и текущую скорость/дуплекс на порту.
Вместо привычных на dlink двух OID в которых административный статус и текущий статус считывается простым int перечислением.

Ну и третий, я так и не понял как пользоваться кабель тестром через snmp, куча параметров, не совсем внятно описанных...

[-Alt-] писал(а):Как оказалось, нельзя поаесить 2 Ip acl на один порт.

Возможность имеется в режиме acl-only
(включается командой console#set system mode acl-only).
В этом случае невозможно использовать функцию Selective QinQ.

[-Alt-] писал(а):я так и не понял как пользоваться кабель тестром через snmp, куча параметров, не совсем внятно описанных...

Метод, основанный на затухании (измерение длины кабеля при поднятом линке):
snmpwalk -v2c -c <community> <ip> 1.3.6.1.4.1.89.90.1.2.1.3.<ifindex>.4

Тестирование методом TDR (измерение длины кабеля до места обрыва).
Запуск теста:
snmpset -v2c -c <community> <ip> 1.3.6.1.4.1.89.90.1.1.1.1.<ifindex> i 2

Чтение результатов тестирования методом TDR:
snmpwalk -v2c -c <community> <ip> 1.3.6.1.4.1.89.90.1.2.1.3.<ifindex>.3

ip access-list extended garbage
permit igmp any any
deny ip any any any 232.0.0.0 15.255.255.255
deny tcp any any any 135-139
deny tcp any any any 445
deny udp any any any 135-139
deny udp any any any 445
permit ip any any any any
exit
ip access-list extended port1
permit ip any any 10.203.1.43 0.0.0.0 any
deny ip any any any any
exit

console(config)#interface gigabitethernet 1/0/1
console(config-if)#service-acl input garbage port1
Type of ACL is illegal
console(config-if)#service-acl input port1 garbage
Type of ACL is illegal
console#show system mode

System mode: acl-only
Feature State
------------------- ---------
Router No
ACL Active
Policy based VLANs inActive
iSCSI inActive
Selective QinQ inActive

Настройку необходимо производить следующим образом:

ip access-list extended garbage
permit igmp any any
deny ip any any any 224.0.0.0 31.255.255.255
deny tcp any any any 135-139
deny tcp any any any 445
deny udp any any any 135-139
deny udp any any any 445
permit ip any any any any
exit

делаю
interface gigabitethernet 1/0/1
service-acl input garbage

Dhcp relayбольше не работает. Убираю service-acl input garbage, начинает работать.

Приведите, пожалуйста, конфигурацию коммутатора полностью.

Настроено так IP-MAC Binding Mode: acl disable. ARP Inspection: enable. IP-MAC Binding Ports Setting: c 1 по 24 enable loose. Allow Zero IP: enable. Forward DHCP Packet: enable. IP-MAC Binding DHCP Snooping Settings enable

[-Alt-] писал(а):ip access-list extended garbage
permit igmp any any
deny ip any any any 224.0.0.0 31.255.255.255
deny tcp any any any 135-139
deny tcp any any any 445
deny udp any any any 135-139
deny udp any any any 445
permit ip any any any any
exit

делаю
interface gigabitethernet 1/0/1
service-acl input garbage

Dhcp relayбольше не работает. Убираю service-acl input garbage, начинает работать.

Мешает правило deny ip any any any 224.0.0.0 31.255.255.255
Этим правилом вы ограничили диапазон 224.0.0.0 - 255.255.255.255
Соответственно отбрасывается dhcp броадкаст.
Вам следует изменить правило на deny ip any any any 224.0.0.0 15.255.255.255
Таким образом будет отбрасываться диапазон 224.0.0.0 - 239.255.255.255