pavel.odintsov Posted March 17, 2015 Posted March 17, 2015 Всем привет! Интересует такой софт, который позволит рулить ACL'ями на любой свиче без вникания в конкретный синтаксис. В основном требуется возможность блокировки/разблокировки определенных IP, портов, подсеток. Нужен основной охват - Juniper, Cisco, Extreme, Dell, HP и D-LINK, наверное. Но интересуют все же не конкретные вендоры, а универсальный движок, на который можно быстро добить поддержку нужной железки. Вставить ник Quote
xcme Posted March 17, 2015 Posted March 17, 2015 (edited) Не знаю как у других вендоров, но на D-Link ACL всегда надо рассматривать в совокупности и в контексте ситуации. Есть лимиты на количество правил, лимиты на количество оффсетов, функционал, расходующий оффсеты, специфичность очередности профилей или правил. Отсюда имеем ситуации, когда все вроде бы верно, но работает не так, как ожидалось. Так что "без вникания" с D-Link'ами не получится, увы. p.s. Вот некоторые особенности для DES-3028. Есть там и другие приколы, их не стал писать. Edited March 17, 2015 by xcme Вставить ник Quote
pppoetest Posted March 17, 2015 Posted March 17, 2015 Всем привет! Интересует такой софт, который позволит рулить ACL'ями на любой свиче без вникания в конкретный синтаксис. В основном требуется возможность блокировки/разблокировки определенных IP, портов, подсеток. Нужен основной охват - Juniper, Cisco, Extreme, Dell, HP и D-LINK, наверное. Но интересуют все же не конкретные вендоры, а универсальный движок, на который можно быстро добить поддержку нужной железки. Универсальных, имхо, не бывает. Проще накатать что-то свое, с пачкой шаблонов для необходимых вендоров и видов железок. Вставить ник Quote
pavel.odintsov Posted March 17, 2015 Author Posted March 17, 2015 Тут в том и вопрос, мне нужен общий движок, чтобы управлять чужими свичами из своего софта. Найти все свичи и написать самому - нереальщина :( Вставить ник Quote
FATHER_FBI Posted March 17, 2015 Posted March 17, 2015 Тут в том и вопрос, мне нужен общий движок, чтобы управлять чужими свичами из своего софта. Найти все свичи и написать самому - нереальщина :( Задавался этим вопросом в свое время. Все это реализуемо, но только через telnet, нужен только толковый кодер на PHP и база шаблонов под каждого вендора. Вставить ник Quote
pavel.odintsov Posted March 17, 2015 Author Posted March 17, 2015 В коде вопроса нету, я сам напишу что нужно и еще и расшарю :) Вот шаблоны - было бы интересно крайне. Вставить ник Quote
BETEPAH Posted March 17, 2015 Posted March 17, 2015 Может пригодится: http://forum.dlink.ru/viewtopic.php?f=2&t=41670 http://forum.dlink.ru/viewtopic.php?f=2&t=115953 а готового и универсального тоже не встречал Вставить ник Quote
xcme Posted March 17, 2015 Posted March 17, 2015 В коде вопроса нету, я сам напишу что нужно и еще и расшарю :) Вот шаблоны - было бы интересно крайне. Делал что-то похожее. Не ACL, но идея близка. На свичиках доступа выделил несколько типов портов, которые определяются вручную в биллинге. Изначально все порты 1-24 числятся "Пользовательскими", но при желании можно указать и другие типы: "VIP-клиент", "Оборудование", "Uplink", "Магистраль", "Неисправный" и т.п. Для каждого типа порта предусмотрены свои настройки. Так, для магистральных, vip и uplink-портов не применяются никакие блокирующие ACL. Магистральные и абонентские порты имеют свои настройки для MVR, LLDP, LDB и т.п. То есть очевидно, что порты настраиваются по разному. Специальный демон через некоторые интервалы забирает из биллинга все устройства и все их порты и хранит в памяти. Этот же демон эмулирует TFTP-сервер. При получении запроса, основываясь на IP клиента (или на команде, встроенной в имя файла), он генерирует диапазоны портов (например "Сабскрайберы:1-24", "Аплинк:25", "Магистрали:26-28") и впихивает эти диапазоны в шаблон конфига конкретной железки. То есть зайдя на коммутатор и просто написав "download cfg_fromTFTP <IP> config increment" получаешь конфиг конкретно под эту железку. При этом копия конфига падает в базу MongoDB и можно посмотреть что именно выгрузилось и сравнить с предыдущим конфигом. Можно скопировать конфиг в обратную сторону - от коммутатора к серверу - и он тоже попадет в базу. В итоге достаточно удобная получилась штука. Но писать шаблоны и продумывать идею ACL все равно надо самому. :) Вставить ник Quote
Negator Posted March 17, 2015 Posted March 17, 2015 Довольно много наработок по длинку SNMP у нас есть. Мы делаем ACL (обычные и PCF) по SNMP, автоматически генерируем привязку IP к порту и т.д. В итоге привязки можно снять/добавить вручную одной кнопкой в биллинге, ну и ночью все автоматически проставляется, генерит отчет о проблемах и отсылает мылом. В остальном у нас немного попроще чем у xcme, но идея в общем та же. Определяем типы портов и другие нужные переменные в биллинге, на основе этого автоматически генерится готовый конфиг для коммутатора по шаблону. и тоже все хранится. Если нужно изменить конфигурацию коммутатора(у нас они разные для разных районов) - просто меняем шаблон, далее конфиги генерируются автоматически. Так, для магистральных, vip и uplink-портов не применяются никакие блокирующие ACL у нас для випов просто прописывается первым профилем разрешающий нужные вещи для нужного порта/влана. Вставить ник Quote
pavel.odintsov Posted March 19, 2015 Author Posted March 19, 2015 Круто, спасибо! Очень полезные наработки. А что что думает про протокол netconf? Вставить ник Quote
ollsanek Posted March 20, 2015 Posted March 20, 2015 (edited) ... А что что думает про протокол netconf? juniper-EX - не поддерживает таки-поддерживает, б/у 3550 которые тут так любят - тоже, про д-линки - сильно сомневаюсь. вобщем, свичи уровне аксеса/агрегации эту штуку не поддерживают, а АСЛи, я так понимаю, нужны именно там. Edited October 19, 2015 by ollsanek Вставить ник Quote
ollsanek Posted March 20, 2015 Posted March 20, 2015 ... универсальный движок, на который можно быстро добить поддержку нужной железки. Opendaylight - единственный контроллер который я нашёл с snmp как southbound api, ну а если свичи покруче, тo крутите чем хотите, хоть и нетконф/опенфлоу. Вставить ник Quote
.png.5d2afa2996cc6a85d0f2c09b92dd0a28.png)
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.