управление ACL на каталистах по SNMP.

[desperado]

интересует сабж на 2950, в частности смена акцес-листа на физических интерфейсах. кому не лень и кто знает, киньте плиз ссылку на миб и оид. а то голова уже плавится от листания мибов...

 

так же интересует тоже самое на длинк DES-3526, правда на него я сам еще не искал.

Edited December 23, 2007 by desperado

[desperado]

извиняюсь если вопрос ламерский, но очень надо, а сам никак не осилю. кто знает, подскажите, пожалуйста, хоть какой миб ковырять.

[AlKov]

Пытался решить аналогичную задачу, правда не на циске, но на схожей по функционалу железке - так ничего подходящего и не нашел.. :( Пришлось ваять скрипт на перле со связкой Net::Telnet.

ИМХО, создалось мнение, что сие вообще не реализуется по SNMP ни на одной железке, имеющей в своем арсенале ACL. Хотя, возможно и ошибаюсь..

[desperado]

Пытался решить аналогичную задачу, правда не на циске, но на схожей по функционалу железке - так ничего подходящего и не нашел.. :( Пришлось ваять скрипт на перле со связкой Net::Telnet.

ИМХО, создалось мнение, что сие вообще не реализуется по SNMP ни на одной железке, имеющей в своем арсенале ACL. Хотя, возможно и ошибаюсь..

вроде как для цисок есть родной софт (забыл как называется, тот что бесплатный) который реализует весь функционал свитча, а со свитчем работает по SNMP. Хотя, тоже возможно ошибаюсь... ну не снифить же его трафик???

 

Net::Telnet очень медленно.... да и вообще перл я стараюсь не использовать... но пока других выходов не вижу!

 

PS

нужен только аналог команд (в контексте интерфейса)

ip access-group XXX in

ip access-group XXX out

Edited December 24, 2007 by desperado

[mgk]

по DES3526

добавление

 

snmpset .1.3.6.1.4.1.171.12.9.2.2.1.4.[pid].[aclid] a [user_ip] .1.3.6.1.4.1.171.12.9.2.2.1.5.[pid].[aclid] a 0.0.0.0 .1.3.6.1.4.1.171.12.9.2.2.1.20.[pid].[aclid] i 1 .1.3.6.1.4.1.171.12.9.2.2.1.21.[pid].[aclid] x [numberbin] .1.3.6.1.4.1.171.12.9.2.2.1.22.[pid].[aclid] i 4

удаление

snmpset 1.3.6.1.4.1.171.12.9.2.2.1.22.[pid].[aclid] i 6

pid-ID профиля

aclid -ID правила

numberbin -номер порта в хеше

делается он както так

80000000 -> Порт 1

8 -> 1000 (двоичный код) -> 1000 1 = порт 1 000 = порт 2 – порт 4

 

на php делаю так

function port2hash($number)//функция конвертирования номера порта в хеш для SNMP команд

{

$str = $number - (floor($number/4)*4);

if ($str==1)$str=8;

if ($str==2)$str=4;

if ($str==3)$str=2;

if ($str==0)$str=1;

$poz = ceil($number/4)-1;

$sSTR = '';

for($i=0;$i<8;$i++)

{

if ($i == $poz)

$sSTR .= $str;

else

$sSTR .= '0';

};

return $sSTR;

}

 

при добавлении команды желательно отправлять одновременно

иначе выдает ошибку.. но все равно прописывается

[puh]

PS

нужен только аналог команд (в контексте интерфейса)

ip access-group XXX in

ip access-group XXX out

посылай команду на чтение конфига по тфтп

 

считанный файл добавляется в running-config аддитивно, то есть если в файле на тфтп сервере будет

interface fastethernet x/y

ip access-group XXX in

ip access-group XXX out

 

то этого будет достаточно

[desperado]

2 mgk

благодарю! то что надо.

 

остались каталисты.

Edited December 24, 2007 by desperado

[desperado]

PS

нужен только аналог команд (в контексте интерфейса)

ip access-group XXX in

ip access-group XXX out

посылай команду на чтение конфига по тфтп

 

считанный файл добавляется в running-config аддитивно, то есть если в файле на тфтп сервере будет

interface fastethernet x/y

ip access-group XXX in

ip access-group XXX out

 

то этого будет достаточно

у этого варианта только одно преимущество - можно за раз сконфигурить несколько интерфейсов. в остальном это еще хуже чем net::telnet.

 

ЗЫ

поставить на каталисты консольный сервер с поддержкой SNMP не предлагать!

[AlKov]

вроде как для цисок есть родной софт (забыл как называется, тот что бесплатный) который реализует весь функционал свитча, а со свитчем работает по SNMP.

Недавно разговаривал на эту тему с одним из знакомых админов. Услышал такое мнение, что все "серьезные" железки должны обеспечивать полный функционал по SNMP. Но перелопатив еще раз snmpwalk-ом свою, так ничего похожего на листинг ACL не обнаружил.. То ли моя "железка" не относится к разряду "серъезных", то ли это дело snmpwalk-ом не вытащишь..

 

P.S. А как обстоят дела на "сейчас" у вас? Что-нибудь существенное относительно cisco удалось найти?

[desperado]

P.S. А как обстоят дела на "сейчас" у вас? Что-нибудь существенное относительно cisco удалось найти?

пока глухо. есть вероятность что нет акцеслистов в снмп вообще. на счет циско воркс я ошибался. листать снмпволком самому все параметры сильно лень... хотя для очистки совести наверное попробую это сделать. в принципе мне надо-то только номер акцес листа на интерфейсе сменить.