ingress

Добавьте в конфигурирацию CLIPS на порту следующее: service clips dhcp source-mac

Да.

Если вы хотите использовать Non-DHCP CLIPS как L2, так и L3, то DHCP Server/Relay/Proxy должен быть запущен на стороннем устройстве, эти режимы поддерживаются только для DHCP CLIPS.

а ещё они едят младенцев и пьют кровь девственниц в полнолуние. по теме - на фумигаторах в этом году сэкономили.

Никак, если вы явно не настроите мост включающий порты или pvc.

у меня нет задачи переубедить вас в том что ваш linux/mikrotik хуже. у меня есть задача убедить вас, что те качества продукта которые есть в аппаратном решении на порядок отличаются от того что вы можете сделать на коленке, просто могу перечислить: 1.В 1RU железке 150G full duplex с packet length agnostic, 256М трансляций, CG-NAT с EIM/EIF и ALG модулями. 2.Active-Standby/Active-Active режим с синхронизацией сессий и состояний 3.Все технологии миграции к IPv6: от CGN до NAT64/DNS64,6rd,DS-Lite, NAT46,etc.) могут быть одновременно включены и без лицензий. 4.Продвинутые технологии логирования(оптимизация и сжатие логов на лету, вставка URL или MS-ISDN/IMSI в лог сообщения, все доступные транспортные контейнеры IPFIX, syslog, RADIUS) На вашей коленке получится 20G с помощью пакетного фильтра классического NAT, который складывается в забитые стойки серверов с холодным резервированием и балансировкой по PBR source подсетей.

я не вижу смысла сравнивать это с linux и с вендорами типа mikrotik, причину уже указал. ASA/SRX - enterprise коробки и по большей степени это FW со всеми примочками, кто то выдумал их использовать для SP по каким то причинам, абсолютно странный выбор на мой взгляд. если хотите знать с чем сравнивать А10, то это F5 Networks и сервисные платы для С6500/7600, ASR9k, Cisco CRS-1/3, Juniper MX, ALU, Hua...etc. про сервисный модуль от Cisco здесь уже написали, экстраполируйте на все остальные так же.

вы использовали классический NAT или CG-NAT? под CG-NAT имеется ввиду RFC4787,RFC5382,RFC5508, Механизмы Endpoint Independent Mapping/Filtering и draft-nishitani-cgn (RFC6888) а так же логгирование трансляций и/или аллокаций портблоков с помощью Netflow v9/syslog/RADIUS. какой вариант пакетного фильтра реализует его под Linux/FreeBSD?

это спор из серии "а я поставлю микротик и буду консультироваться бесплатно с сумасшедшими на форумах, чем куплю <...>(подставьте что угодно)", он бессмысленный по своей природе.

AX3530 это на секунду 16х10GE и соответствующий перфоманс, по загрузке дата плейна в 4-5% на 10гигах трафика это видно.

т.е. цель предотвратить подделку IP заголовков? это можно решить без ACL, включив uRPF в профиле абонента: ! subscriber default ip source-validation ! и демультиплексацию CLIPS сессий на основе src MAC: ! port ethernet 1/1 service clips dhcp source-mac ! ADF попробую проверить.

покажите что вы пытаетесь возвратить в ADF?

Наверно надо почитать про реализацию OpenFlow Switch на разных платформах http://yuba.stanford.edu/~jnaous/papers/ancs-openflow-08.pdf - OFS на FPGA http://wand.net.nz/sites/default/files/joestringer-520-report.pdf - OFS на x86 ( в рамках openvswitch )

"1. Программно-конфигурируемым коммутаторам, представляющим собой сервер с достаточно мощным (и) микропроцессором (ами), сетевыми интерфейсами и специализированной операционной системой:" Если вкратце то есть реализации OFS на ASIC, NPU и x86, различаются глубиной лукапа от 5-tuple (openflow 1.0) до 39+ tuple(openflow 1.3+), и порядком потоков - от тысяч до десятков миллионов. Авторский очерк про ПК-коммутаторы несколько однобок.