Добрый день. Хотелось послушать мнение людей, имеющих опыт работы с коммутаторами d-link.
Периодически появляются проблемы с тем, что некоторые роутеры блокируются ipmb при включении.
В случаях, когда роутер при загрузке превращается в тупой свитч, он появляется в списке блокировки (show address_binding blocked all) и далеко не всегда выбирается оттуда сам. Абонент звонит нам, мы вручную гасим порт, чистим привязку ipmac, просим абонента перезагрузить роутер и после полной прогрузки включаем порт обратно.
Так же бывают совсем мистические ситуации, когда роутер не отображается ни в таблице маков, ни в таблице блокировки биндингом. В d-link это объяснили тем, что некоторые роутеры при старте могут высылать не dhcp пакеты, а какие-то другие и порт сразу блокируется. В этом случае нам помогает только отключение strict на этом порту, либо замена роутера у абонента.
Можем ли мы без последствий отключить arp_inspection и заменить его хотя бы на ip_inspection, при условии:
коммутаторы: des-3200-28, dgs-3120-24sc;
абоненты не во влане управления;
включены: dhcp_server_screening, traffic control, traffic_segmentation
абоненты получают ip адреса по dhcp, со статически привязанному адресу к порту коммутатора
конфиг:
1-27 - порты для абонентов, 28 - аплинк, 15 - влан управления, 50 - влан для абонентов.
config traffic control 1-27 broadcast enable multicast enable unicast disable action drop broadcast_threshold 64 multicast_threshold 64 unicast_threshold 64 countdown 0 time_interval 5config traffic control auto_recover_time 0config traffic trap noneconfig traffic control log state enableenable loopdetectconfig loopdetect ports 1-27 state enableconfig loopdetect ports 28 state disableconfig loopdetect recover_timer 600 interval 5 mode port-basedconfig loopdetect trap noneconfig loopdetect log state enable# VLANenable pvid auto_assignconfig vlan default delete 1-28config vlan default advertisement enablecreate vlan manager tag 15config vlan manager add tagged 28 advertisement disablecreate vlan vlan50 tag 50config vlan vlan50 add tagged 28 advertisement disableconfig vlan vlan50 add untagged 1-27 advertisement disabledisable gvrpdisable asymmetric_vlandisable vlan_trunk# ADDRBINDenable address_binding dhcp_snoopconfig address_binding dhcp_snoop max_entry ports 1-27 limit 5config address_binding ip_mac ports 1-27 arp_inspection strict ip_inspection disable allow_zeroip enable forward_dhcppkt enable stop_learning_threshold 5config address_binding ip_mac ports 28 forward_dhcppkt disableenable address_binding trap_logconfig address_binding dhcp snooping recovery_timer 300disable address_binding dhcp_snoop ipv6disable address_binding nd_snoop# DhcpServerScreeningconfig filter netbios all state enableconfig filter extensive_netbios all state enableconfig filter dhcp_server ports 1-27 state enableconfig filter dhcp_server ports 28 state disable# IPconfig ipif System vlan manager ipa xx.xx.xx.yy/24 st encreate iproute default xx.xx.xx.zz# DHCP_LOCAL_RELAYenable dhcp_local_relayconfig dhcp_local_relay option_82 circuit_id defaultconfig dhcp_local_relay option_82 remote_id defaultconfig dhcp_local_relay vlan vlanid 50 state enableconfig dhcp_local_relay option_82 ports 28 policy keepconfig dhcp_local_relay option_82 ports 1-27 policy replace
Интересует защита от атак с переполнением таблиц на свитче + защита от того, что абонент пропишет себе статический ip адрес другого клиента и продолжит работу в интернете без оплаты и возможно еще какие-то моменты, которые я не учел.
От первого, как я понимаю, защищает port_security, а от второго dhcp_snooping ip_inspection, но одновременно их включить нельзя.
