Master239 Posted January 19, 2007 Posted January 19, 2007 сабж. оно и должно тормозить ? или я тото не так делаю ? сколько юзеров source ip guard может потянуть на 37 каталисте ? Вставить ник Quote
PommeFritz Posted January 19, 2007 Posted January 19, 2007 сабж. оно и должно тормозить ? или я тото не так делаю ? сколько юзеров source ip guard может потянуть на 37 каталисте ? "тормозит" это как?юзеров думаю столько сколько вмещает его DHCP Snooping Binding Database, 8192 а вообще, неплохо бы было увидеть show run для начала Вставить ник Quote
UglyAdmin Posted January 19, 2007 Posted January 19, 2007 Может, ACL'и не умещаются в железо? Всёж-таки 1000 юзеров - это нехило... Вставить ник Quote
Nailer Posted January 19, 2007 Posted January 19, 2007 сабж. оно и должно тормозить ? или я тото не так делаю ? сколько юзеров source ip guard может потянуть на 37 каталисте ? Вообще ip source guard - фича для уровня доступа, и применять ее имеет смысл именно на акцссных портах, к которым подключен один клиент. В ядре, конечно, тоже можно, но смысла особого нет.. Вставить ник Quote
UglyAdmin Posted January 19, 2007 Posted January 19, 2007 Из доков: http://www.cisco.com/univercd/cc/td/doc/pr...2.htm#wp1284618 IP Source Guard Configuration Guidelines .... •If the number of ternary content addressable memory (TCAM) entries exceeds the maximum available, the CPU usage increases. Вставить ник Quote
Master239 Posted January 22, 2007 Author Posted January 22, 2007 Из доков: http://www.cisco.com/univercd/cc/td/doc/pr...2.htm#wp1284618IP Source Guard Configuration Guidelines .... •If the number of ternary content addressable memory (TCAM) entries exceeds the maximum available, the CPU usage increases. именно по этому и спрашаваю ;)собственно когда наступает тот самый "entries exceeds" у кого какие значения получились ? Вставить ник Quote
Master239 Posted January 22, 2007 Author Posted January 22, 2007 Вообще ip source guard - фича для уровня доступа, и применять ее имеет смысл именно на акцссных портах, к которым подключен один клиент. В ядре, конечно, тоже можно, но смысла особого нет.. вы что предлагаете 37 каталисты на ацес ставить ? ГЫ.как раз на акцесе смысла в ipsg нет. Вставить ник Quote
Nailer Posted January 22, 2007 Posted January 22, 2007 Вообще ip source guard - фича для уровня доступа, и применять ее имеет смысл именно на акцссных портах, к которым подключен один клиент. В ядре, конечно, тоже можно, но смысла особого нет.. вы что предлагаете 37 каталисты на ацес ставить ? ГЫ.как раз на акцесе смысла в ipsg нет. Я их туда регулярно и ставлю, я же жадный интегратор-освоятель бюджетов :-) Вот именно на акцессе и работают фичи DHCP Snooping, IP Source Guard, Dynamic ARP inpection. Почитайте Cisco SAFE. Вставить ник Quote
UglyAdmin Posted January 22, 2007 Posted January 22, 2007 (edited) именно по этому и спрашаваю ;)собственно когда наступает тот самый "entries exceeds" у кого какие значения получились ? А банально посчитать?На юзера заводится 2 строчки. К сожалению, не нашел размер TCAM у 3750. вы что предлагаете 37 каталисты на ацес ставить ? ГЫ.как раз на акцесе смысла в ipsg нет. Опять доки:If you are enabling IP source guard on a trunk interface with multiple VLANs and DHCP snooping is enabled on all the VLANs, the source IP address filter is applied on all the VLANs.Как раз поэтому ipsg не имеет смысла где-либо, кроме доступа. Edited January 22, 2007 by UglyAdmin Вставить ник Quote
Nailer Posted January 22, 2007 Posted January 22, 2007 именно по этому и спрашаваю ;) собственно когда наступает тот самый "entries exceeds" у кого какие значения получились ? А банально посчитать?На юзера заводится 2 строчки. К сожалению, не нашел размер TCAM у 3750. вы что предлагаете 37 каталисты на ацес ставить ? ГЫ.как раз на акцесе смысла в ipsg нет. Опять доки:If you are enabling IP source guard on a trunk interface with multiple VLANs and DHCP snooping is enabled on all the VLANs, the source IP address filter is applied on all the VLANs.Как раз поэтому ipsg не имеет смысла где-либо, кроме доступа. Размер областей меняется в зависимости от sdm template, суммарно в основном 12000, в некоторых 20000 записей (если не ошибаюсь). Вот из какой области пойдут использоваться записи - вопрос, хотя скорее всего из области ACL. Нет под руками 3750, но по памяти то ли 1000 записей, то ли 500, зависит от темплейта. Вставить ник Quote
olebedev Posted January 22, 2007 Posted January 22, 2007 Выполните sh platform tcam utilization и хотя бы примерно оцените на сколько они у Вас заняты (если не такой команды - обновляйте IOS) Вставить ник Quote
PommeFritz Posted January 22, 2007 Posted January 22, 2007 http://www.cisco.com/en/US/products/hw/swi....html#wp1065283 около 1000 аклей Вставить ник Quote
Master239 Posted January 22, 2007 Author Posted January 22, 2007 хотел привязать MAC к IP с помощью этой штуки. но похоже не судьба... слишком мало юзеров оно потянет что на 37 можно сделать для привязки MAC к IP ? PS не надо говорить про то что сегодня это не модно ;) задача стоит именно такая... Вставить ник Quote
Nailer Posted January 23, 2007 Posted January 23, 2007 хотел привязать MAC к IP с помощью этой штуки. но похоже не судьба... слишком мало юзеров оно потянетчто на 37 можно сделать для привязки MAC к IP ? PS не надо говорить про то что сегодня это не модно ;) задача стоит именно такая... Арпами привязать :-) Вставить ник Quote
Master239 Posted January 23, 2007 Author Posted January 23, 2007 да но как тогда отключать локалку ? Вставить ник Quote
Nailer Posted January 23, 2007 Posted January 23, 2007 да но как тогда отключать локалку ? Да никак, ровно как и в случае применения этой фичи не на акцессе, а в ядре. Поэтому я и говорю, что фича чисто аксессная. Вставить ник Quote
Master239 Posted January 23, 2007 Author Posted January 23, 2007 насколько я понимаю с ipsg проблема только в том если юзер поменяет себе IP и MAC на правельную пару. любой другой трафик оно не пропустит. так что на 37 кошке нет возможности привязать MAC к IP да так чтобы у других(кого нет в этих привязках) ничего не работало ? Вставить ник Quote
Nailer Posted January 23, 2007 Posted January 23, 2007 (edited) насколько я понимаю с ipsg проблема только в том если юзер поменяет себе IP и MAC на правельную пару. любой другой трафик оно не пропустит. так что на 37 кошке нет возможности привязать MAC к IP да так чтобы у других(кого нет в этих привязках) ничего не работало ? Почитайте внимательно, как оно работает. http://www.cisco.com/en/US/products/hw/swi...00807743c6.html Юзер обязан получить адрес по DHCP, или связка mac-ip-port-vlan должна быть настроена руками (это костыль, так лучше не делать). Если из порта летят пакеты с source, не равным тому, что в базе, то такие пакеты идет лесом. Вариантов поэтому немного - либо с правильным ip, либо никак. В случае, если адрес получается по DHCP (нормальный вариант) mac вообще ни при чем. В этом-то и есть вся соль функции. Edited January 23, 2007 by Nailer Вставить ник Quote
Master239 Posted January 24, 2007 Author Posted January 24, 2007 ну да именно так я это и понимаю. если бы оно при этом позволяло хотябы 1000 юзеров обрабатывать это и было бы привязка мак-ип + АСЛ для всех остальных. Вставить ник Quote
vIv Posted January 24, 2007 Posted January 24, 2007 Привязать IP subnet к VLAN можно на CISCO 4948 - до 1000 CVLAN Вставить ник Quote
Agent2006 Posted January 24, 2007 Posted January 24, 2007 Привязать IP subnet к VLAN можно на CISCO 4948 - до 1000 CVLAN vIv, а на каталисте 4500 с Sup IV? Вставить ник Quote
.png.5d2afa2996cc6a85d0f2c09b92dd0a28.png)
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.