запретить трафик между сабинтерфейсами на cisco 2811

[poweruser]

нужно, чтобы сабинтерфейсы например для FE0 не видели друг друга, при этом смело ходили на интерфейс FE1. как можно реализовать?

обсуждалось здесь http://certification.ru/cgi-bin/forum.cgi?...ad&id=25960

не могу определиться как сделать

[poweruser]

vlan на подобных коробках никто не терминирует? тьфу.. сидел бы под фрей дальше, нет черт дернул..

[puh]

access-list не пробовал вешать?

[A79]

vlan на подобных коробках никто не терминирует?

железка не та у тебя :) для термирования

[poweruser]

access-list не пробовал вешать?

думаю как свести их количество к минимуму, если по другому никак

 

будет нарезано примерно так

 

fe 0/0.1 ip 192.168.1.1/28

fe 0/0.2 ip 192.168.1.17/28

...

fe 0/0.x ip 192.168.x.x/28

 

как лучше развесить acl?

 

vlan на подобных коробках никто не терминирует?

железка не та у тебя :) для термирования

да это понятно, на данный момент какой-нить 6500 не будет использоваться и на 10 % Edited June 29, 2007 by poweruser

[puh]

элементарно, тебе нужен только 1 ACL, который нужно будет повесить на каждый сабинтерфейс твоего fasteth 0/0

 

ip access-list extended MYACL

deny ip any 192.168.0.0 0.0.255.255

permit ip any any

 

и далее

interface fastethernet 0/0.1

ip access-group MYACL in

[poweruser]

элементарно, тебе нужен только 1 ACL, который нужно будет повесить на каждый сабинтерфейс твоего fasteth 0/0

 

ip access-list extended MYACL

deny ip any 192.168.0.0 0.0.255.255

permit ip any any

 

и далее

interface fastethernet 0/0.1

ip access-group MYACL in

мне кажется или действительно при такой схеме я не смогу допустим

со 192.168.1.2 достучаться не только на другие сабинтерфейсы, но и на шлюз 192.168.1.1

при fe 0/0.1 ip 192.168.1.1/28

Edited June 29, 2007 by poweruser

[UglyAdmin]

На шлюз не сможете, а зачем?

Трафик через него ходить будет.

[poweruser]

На шлюз не сможете, а зачем?

Трафик через него ходить будет.

если трафик ходить будет - уже лучше, но как-то некошерно получается, случись что, диагностировать проблему сложней.

не думал я, что циска на младших моделях такую свинью подложит.

[puh]

вам не кажется, это действительно так и есть. Однако в стартпосте и не говорилось, что будет трафик с destination ip адресом сабинтерфейса. Да и нужно ли вам это?

[poweruser]

Однако в стартпосте и не говорилось, что будет трафик с destination ip адресом сабинтерфейса. Да и нужно ли вам это?

дело привычки наверное, пусть будет так. всем спасибо за помощь.