на каком уровне OSI работает firewall в тике?

[linkodd]

Озадачился возможностью сделать полную изоляцию портов(но нужно также добавить подсеть для управления всеми устройствами) и создание одного аплинка. Но вот у меня сомнения. Будет ли справляться тик также хорошо как коммутатор Л2 с изоляцией нежелательного широковещательного трафика и подобных проблем? Ведь по идее файрвол не работает на канальном уровне. Или я все же намудрил с рассуждениями?

 

планировал либо в фильтрах бриджа создать правило, либо в самом файрволе все дропать.

 

 

п.с. на данный момент сеть состоит их нескольких десятков тиков, некоторые стоят последовательно.

Edited August 19, 2013 by linkodd

[SSD]

Озадачился возможностью сделать полную изоляцию портов(но нужно также добавить подсеть для управления всеми устройствами) и создание одного аплинка. Но вот у меня сомнения. Будет ли справляться тик также хорошо как коммутатор Л2 с изоляцией нежелательного широковещательного трафика и подобных проблем? Ведь по идее файрвол не работает на канальном уровне. Или я все же намудрил с рассуждениями?

 

планировал либо в фильтрах бриджа создать правило, либо в самом файрволе все дропать.

 

 

п.с. на данный момент сеть состоит их нескольких десятков тиков, некоторые стоят последовательно.

Свич это лучший вариант. С МТ можно нахватать глюков на ровном месте, к тому же его производительность будет существенно ниже.

[linkodd]

согласен. Данная схема рассчитывается на 5-10 абонентов или как промежуточный шлюз с кучей вланов(без большой нагрузки, до 50 мбит), а свичи либо большие слишком или если Л3, то не бюджетно.

Edited August 19, 2013 by linkodd

[NewUse]

У того же MT есть 250GS/260GS на SwOS (L2).

 

У RouterOS есть два пакетных фильтра: iptables и ebtables, первый работает на L3, второй на L2, но все крутятся н уровне ядра Linux, и грузят CPU, а интерфейс не позволяет однозначно определить, какой из фильтров будет задействован.

[Saab95]

Если вы connection tracking отключите то можно больше мегабит профильтровать. Лучше все делать в фильтрах бриджа, это немного быстрее. И потом во время работы посмотреть по счетчикам, какое правило чаще всего выполняется - его поместите в самый верх, а остальные по убыванию.

[snark]

Лучше все делать в фильтрах бриджа

 

А не в фильтрах свич-чипа?

[Saab95]

Лучше все делать в фильтрах бриджа

 

А не в фильтрах свич-чипа?

 

Можно и там делать, это еще быстрее. Но тогда не сможете обрабатывать данные файрволом при необходимости.