pppoe only acl на dgs-1510-52

[jone31]

 

Добрый день,

подскажите, пробую на dgs-1510-52 ограничить на порту любой трафик кроме PPPoE-пакетов(ethtype 8863+8864) с помощью MAC ACL:
 

mac access-list extended PPPoE_only 7999
10 permit any any ethernet-type 0x8863 0x0
20 permit any any ethernet-type 0x8864 0x0
30 deny any any

interface ethernet 1/0/1
spanning-tree state disable
loopback-detection
mac access-group PPPoE_only in
switchport mode access
switchport access vlan 2
no ddp

но сторонний трафик все равно проходит... 
подскажите, что не так?

 

Edited Wednesday at 11:14 AM by jone31

[jone31]

коллеги, прошу помощи

[passer]

Это же делинк! Прошивка распоследняя? Если нет - обновиться и перепроверить.

[vurd]

Эээ. а давно там циско кли появилось? Сдаётся мне, что длинк стоит уровнем ниже, а ограничение пытаются на чем-то другом вводить.

[passer]

1 час назад, vurd сказал:

Эээ. а давно там циско кли появилось?

Следующие модели после DGS-3120 и DGS-1210ME были уже с cisco-like. Это в плане политики выпуска прошивок не поменяло практически ничего.

[vurd]

52 минуты назад, passer сказал:

Следующие модели после DGS-3120 и DGS-1210ME были уже с cisco-like. Это в плане политики выпуска прошивок не поменяло практически ничего.

у меня есть на сети dgs 1510, правда ME серии. там обычная стандартная длинковская кля. а обычный 1510 это вообще чуть ли не веб-смарт должен быть

[passer]

Мне казалось, что не ME серии делинк вообще выпускал для галочки. Потому что если ME серии доводились до ума в лучшем случае спустя год-два и несколько десятков сборок прошивок, то что говорить о свитчах, у которых весь цикл разработки часто неполный десяток сборок прошивок...

[Andrei]

create access_profile ethernet ethernet_type profile_id 2

config access_profile profile_id 2 add access_id auto_assign ethernet ethernet_type 0x8863 port 1-24 permit
config access_profile profile_id 2 add access_id auto_assign ethernet ethernet_type 0x8864 port 1-24 permit

create access_profile ethernet source_mac 00-00-00-00-00-00 profile_id 3

config access_profile profile_id 3 add access_id auto_assign ethernet source_mac 00-00-00-00-00-00 port 1-24 deny

Вот так вроде делал на des-1210-28/ME

Может и в вашей серии так же.

[jone31]

В 26.12.2025 в 08:48, Andrei сказал:

create access_profile ethernet ethernet_type profile_id 2

config access_profile profile_id 2 add access_id auto_assign ethernet ethernet_type 0x8863 port 1-24 permit
config access_profile profile_id 2 add access_id auto_assign ethernet ethernet_type 0x8864 port 1-24 permit

create access_profile ethernet source_mac 00-00-00-00-00-00 profile_id 3

config access_profile profile_id 3 add access_id auto_assign ethernet source_mac 00-00-00-00-00-00 port 1-24 deny

Вот так вроде делал на des-1210-28/ME

Может и в вашей серии так же.

в мое модели нет такого раздела конфига, только MAC-ACL и тот почему то не отработывает... возможно я что-то недопонимаю из документации... https://ftp.dlink.de/dgs/dgs-1510/documentation/dgs-1510_man_reva_CLI_Manual_en.pdf (страница 48)

[passer]

@jone31 я отнюдь не шутил, когда спрашивал о версии прошивки свитча.
Сравните версию залитого в коммутатор с тем, что есть на dlink.ru, если у вас старее - подумайте над тем чтобы обновиться.

что касается вашего ACL, то есть пару замечаний:
cos == 0x0 не указывайте, только 
 

permit any any ethernet-type

Далее, на большинстве оборудования в конце любой ACL подразумевается deny any any, поэтому  третья строка в ACL избыточна.

[jone31]

1 час назад, passer сказал:

@jone31 я отнюдь не шутил, когда спрашивал о версии прошивки свитча.

версия ПО последняя из доступной на сайте для серии:
 

Unit ID    Module Name            Versions
-------  ------------------  ---------------------
   1      DGS-1510-52         H/W:A1
                              Bootloader:1.00.017
                              Runtime:1.81.B006

 

1 час назад, passer сказал:

cos == 0x0 не указывайте, только 

это ethtype mask, пробовал и 0x0 и0xFFFF

sw#20 permit any any ethernet-type 0x8864 ?
  <0x0-0xFFFF>  EtherType mask in hex

[passer]

14 часов назад, jone31 сказал:

это ethtype mask, пробовал и 0x0 и0xFFFF

ммм, это не wild card, а потому 0xffff должно быть

можете попробовать написать в техподдержку dlink, они отвечают, может у них есть какая-то бета-версия прошивки, которую они не публиковали...

и как вариант, попробовать использовать expert access-list, этот гибрид ip с mac acl в теории можно использовать как mac acl