Перейти к основному содержимому

Настройка userdefined-access-list на коммутаторах SNR

Глоссарий

  • userdefined-access-list - нумерованный тип ACL;
  • Offset - смещение относительно начала заголовка;
  • Unit - единица измерения смещения;
  • Window - окно, в котором находятся значимые байты;
  • Mask - маска для содержимого окна.

Принципиальный алгоритм

  • Определить смещения относительно начала заголовка в модели OSI. Смещения определяются глобально, то есть распространяются для всех правил во всех userdefined-access-list, которые будут созданы. Возможно создание различных ACL или одного ACL с несколькими правилами;

  • Создание ACL и правил фильтрации с возможностью permit\deny для значений окон;

  • Значения задаются в шестнадцатеричной системе счисления (HEX). Ведущие нули в содержимом отбрасываются автоматически, в готовой конфигурации их не видно;

  • Значение маски требуется указывать для всех байт содержимого окна.

Пример настройки userdefined-access-list

Размер окна (Window) для коммутаторов серий S2965 и S2985G составляет 2 байта. Смещение выбирается относительно начала заголовка l2start, l3start или l4start. Единица смещения (Unit) составляет 1 байт:

Блокировка по Destination MAC-address 00:1F:29:AD:3E:F7:

userdefined-access-list standard offset window1 l2start 0 window2 l2start 2 window3 l2start 4
userdefined-access-list standard 1200 deny window1 1f ffff window2 29ad ffff window3 3ef7 ffff

Блокировка по Source/Destination IP-address 192.168.1.2/192.168.1.5:

userdefined-access-list standard offset window1 l3start 12 window2 l3start 14 window3 l3start 16 window4 l3start 18
userdefined-access-list standard 1202 deny packet-type ipv4 window1 c0a8 ffff window2 102 ffff
userdefined-access-list standard 1203 deny packet-type ipv4 window3 c0a8 ffff window4 105 ffff

Запрет NetBIOS по Source/Destination портам UDP 137/137 и 138/138:

userdefined-access-list standard offset window1 l4start 0 window2 l4start 2
userdefined-access-list standard 1204 deny packet-type ipv4 window1 89 ffff window2 89 ffff
userdefined-access-list standard 1204 deny packet-type ipv4 window1 8a ffff window2 8a ffff

Блокировка всех ARP-сообщений по полю Ethertype (0x0806):

userdefined-access-list standard offset window1 l2start 12
userdefined-access-list standard 1200 deny packet-type l2-eth2 window1 806 ffff

Блокировка ARP-сообщений (0x0806) с Source MAC-address D0:BF:9C:58:2B:3B:

userdefined-access-list standard offset window1 l2start 6 window2 l2start 8 window3 l2start 10 window4 l2start 12
userdefined-access-list standard 1201 deny packet-type l2-eth2 window1 d0bf ffff window2 9c58 ffff window3 2b3b ffff window4 806 ffff

Блокировка ARP-запросов (Who has?) с Source IP-address из подсети 192.168.0.0/23:

userdefined-access-list standard offset window1 l2start 12 window2 l3start 12 window3 l3start 14
userdefined-access-list standard 1200 deny window1 806 ffff window2 c0a8 ffff window3 0 fe00