NVMikhail Опубликовано 27 января, 2014 · Жалоба Имеем следующую схему сети (см.картинку). des3200-26 настроен как querier, des-1228me на доступ. При подключении к 26 порту des3200-26 NATа картинка у абонента начинает сыпаться. После долгих тестирований выяснили (заснеферили трафик на stalker), что в общий канал c 25 порта (в сторону сталкера и сервера вещания) в 1398 vlanе начинает переть трафик с ната - broadcast и unicast PC сети - 10.10.5.X. Так как уже перепробовали все варианты, думаем что именно это является причиной рассыпания картинки (левый траф сети 10.10.5.X просто забивает канал для мультикаста и 10.10.50.X сети). Вынести NAT и PC подсеть в другой vlan не можем так как на доступе должно быть только два vlan - для мультикаста (vlan1399) и broadcast (vlan1398) (iptv приставкам и PC тоже нужен интернет). Сейчас хотим просто проверить эту теорию запретив на 25 порту des3200-26 в сторону канала весь трафик из левых подсетей (т.е. PC - 10.10.5.X). Т.е. чтобы был только multicast в канале и трафик приставка<->stalker. Пробовали ограничивать вот этими правилами, но ничего не помогло. Левый траф c 25 порта все равно прет в канал: create access_profile ip destination_ip_mask 255.255.255.255 source_ip_mask 255.255.255.0 profile_id 1 config access_profile profile_id 1 add access_id 1 ip destination_ip 10.10.50.10 source_ip 10.10.50.1 port 25 permit create access_profile ip source_ip_mask 0.0.0.0 profile_id 2 config access_profile profile_id 2 add access_id 2 ip source_ip 0.0.0.0 port 25 deny Помогите пжлс с alc правилами чтобы на 25 порту пропускать траф только 10.10.50.X подсети ну и мультикаст P.S это продолжение темы http://forum.nag.ru/forum/index.php?showtopic=91357 Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
alibek Опубликовано 28 января, 2014 · Жалоба Какая-то загадочная схема. Если это операторский IPTV, то обычно мультикаст идет в отдельном VLAN и этот VLAN на портах доступа абонента не прописан. Для мультикастового VLAN настраивается MVR. Если не используется L3-доступ, то ACL вообще не нужны, делается сегментация трафика по портам. Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...
NVMikhail Опубликовано 28 января, 2014 (изменено) · Жалоба Какая-то загадочная схема. Если это операторский IPTV, то обычно мультикаст идет в отдельном VLAN и этот VLAN на портах доступа абонента не прописан. Для мультикастового VLAN настраивается MVR. Если не используется L3-доступ, то ACL вообще не нужны, делается сегментация трафика по портам. Ну собственно у это у нас и настроено ISM vlan (аналог MVR на Dlink). Просто в vlan1398 входят подсети 10.10.50.X и 10.10.5.X, а в vlan1399 - мультикаст. Так вот вопрос был в следующем - как на 25 порту 3200-26 запретить весь траф из 10.10.5.X подсети и пропускать только 10.10.50.X, т.е. траф от приставки к сталкеру. А про схему согласен да, немножко кривовата. Когда сталкер стоит на уровене ната (подключен к 3200-26 как и NAT) никаких проблем нет. Но переставить пока не можем - хотим один сталкер на всю нашу сеть запилить (на рисунке не показана еще одна ветка которая так же идет к другому NAT из канала) Изменено 28 января, 2014 пользователем NVMikhail Вставить ник Цитата Ответить с цитированием Поделиться сообщением Ссылка на сообщение Поделиться на других сайтах More sharing options...