Jump to content
Калькуляторы

ACL на procurve 5300 Настройка ACL

Уважаемые Господа специалисты. У меня возникла небольшая проблема, суть проблемы в том, что я приобрел Procurve 5300 и мне нужно на этом самом 5300 запретить некоторым товарищам доступ к фтп и позакрывать некоторые существующие фтп сервера. Но как я ни старался ну не получается у меня закрыть фтп - шные порты (. Помогите кто может. Буду очень благодарен. Надеюсь на пооддержку и взаимопонимание. За раннее огромное спасибо.

Share this post


Link to post
Share on other sites

Эту идею лучше сразу забыть. У 5300 прокурвы есть "небольшая засада" с ACL.

Если вы указываете TCP или UDP порты в ACL, свитчинг уходит на процессор и умирает на скоростях всего около сотни мегабит. Сам спотыкался, отрезая 135-139 порты, затем пуская всех железка убивалась до 100% CPU и потерь трафика на скоростях 100-150 мегабит. Долго и безрезультатно бодались с местным супортом, который был весьма слабенький, потом, через главного прокурвовского технаря удалось отправить запрос буржуям, откуда был получен такой ответ, что уходим на процесс свитчинг. Похоже, что иначе не умеет работать сам чип. Более того, буржуи крайне удивились, кому такая вот фигня может понадобиться?!

Edited by SergeiK

Share this post


Link to post
Share on other sites

Это у вас какая-то очень старая информация, из прошлого века, мне кажется. У нас в 2003-2005-м были тесты, кажется, не помню, на 300 ACEs - нагрузка на проц под гигабитом флуда не выбиралась больше 3%. Точнее, она была 1.5% в состоянии покоя и под флудом от ста ACEs вышла на 3-3.5% и больше не поднималась, на третьей сотне стало неинтересно, ситуация не менялась. ACL отрабатываются на ASIC. В проц идут только изменения таблицы коммутации. Ими убить реально, если не включен Virus Throttling.

 

У меня возникла небольшая проблема, суть проблемы в том, что я приобрел Procurve 5300 и мне нужно на этом самом 5300 запретить некоторым товарищам доступ к фтп и позакрывать некоторые существующие фтп сервера. Но как я ни старался ну не получается у меня закрыть фтп - шные порты

Почитай книжечку Advanced Traffic Management Guide с сайта. Там в примерах есть. Но закрывать надо будет управляющее соединение. Кстати, ты его б/у чтоли купил?

Share this post


Link to post
Share on other sites

Ага причем за нормальную цену взял, вот теперь голова бо-бо ).

Всем спасибо ).

 

Тоесть грубо говоря если у меня управляющее соединение 192.168.1.2 и мне нужно его закрыть по 21 порту, то это будет звучать так:

deny tcp 192.168.1.2/32 eq 21 any eq 21

permit ip any any

exit

Правильно я понял, подскажите пожалуйста ).

 

 

Edited by Scripa4

Share this post


Link to post
Share on other sites

Все все огромное спасибо, я разобрался ).

Оказывается немного не то писал ).

Share this post


Link to post
Share on other sites
Это у вас какая-то очень старая информация, из прошлого века, мне кажется. У нас в 2003-2005-м были тесты, кажется, не помню, на 300 ACEs - нагрузка на проц под гигабитом флуда не выбиралась больше 3%. Точнее, она была 1.5% в состоянии покоя и под флудом от ста ACEs вышла на 3-3.5% и больше не поднималась, на третьей сотне стало неинтересно, ситуация не менялась. ACL отрабатываются на ASIC. В проц идут только изменения таблицы коммутации. Ими убить реально, если не включен Virus Throttling.

Нет, не старая. В 2006-2007 году разбирались, даже с Вами беседовали. Ответ был из Бельгии, совершенно точно не помню, но что-то вроде, что если в ACL сначало идут строки с TCP или UDP портами, а потом указаны целые сети/подсети, то обработка уходит на процессор. Если только IP - все хорошо.

Share this post


Link to post
Share on other sites

т.е. речь про extended IP ACL... жаль, не могу проверить теперь. Но попытаюсь спросить коллег.

Если не сложно, и если это вам важно, не потрудитьесь ли открыть сейчас сервис тикет по этому вопросу и сюда ответ оттранслировать? К сожалению, я уже не партнёр ProCurve ... :-(

Share this post


Link to post
Share on other sites
т.е. речь про extended IP ACL... жаль, не могу проверить теперь. Но попытаюсь спросить коллег.

Если не сложно, и если это вам важно, не потрудитьесь ли открыть сейчас сервис тикет по этому вопросу и сюда ответ оттранслировать? К сожалению, я уже не партнёр ProCurve ... :-(

И я тоже :). И вряд ли я найду тот ответ сейчас, но поискать попробую. Я вам личкой писал выдержки, посмотрите, может остались. В 2007 году переписывались.

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this