URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID6
Нить номер: 21286
[ Назад ]
Исходное сообщение
"mac acl в cisco-1811"
Отправлено ll75 , 09-Июл-10 11:54 

добавил mac acl в конфигурацию...

gateway#sh access-lists
Bridge address access list 700
    deny   00e0.4c50.3bf0   0000.0000.0000

а к интерфейсам он не применим ((:

gateway(config-if)#ip access-group ?
  <1-199>      IP access list (standard or extended)
  <1300-2699>  IP expanded access list (standard or extended)
  WORD         Access-list name

Знающие люди подскахали, что L2 ACL только для L2 интерфейсов.
попробовал еще так:

access-list 700 deny 0050.04bb.c76c 0000.0000.0000
access-list 700 permit 0000.0000.0000 ffff.ffff.ffff

gateway#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
gateway(config)#int Dialer3
gateway(config-if)#access-expression input smac(700)

но юзера все равно пускает ((
может быть нужно исп-ть

gateway(config)#access-list 1101 deny 00e0.4c50.3bf0 0000.0000.0000 ffff.ffff.ffff ffff.ffff.ffff

только не знаю как его потом применить к интерфейсу....

ведь должен же быть способ банить бзеров по мак-адресу....

Содержание
Сообщения в этом обсуждении
"mac acl в cisco-1811"
Отправлено Valery12 , 09-Июл-10 13:33 
>[оверквотинг удален]
>gateway(config-if)#access-expression input smac(700)
>
>но юзера все равно пускает ((
>может быть нужно исп-ть
>
>gateway(config)#access-list 1101 deny 00e0.4c50.3bf0 0000.0000.0000 ffff.ffff.ffff ffff.ffff.ffff
>
>только не знаю как его потом применить к интерфейсу....
>
>ведь должен же быть способ банить бзеров по мак-адресу....

а не L2-filter

"mac acl в cisco-1811"
Отправлено EvgenD , 13-Июл-10 09:44 
Не знаню как на 1811. У меня на 3750 так:

mac access-list extended sacz
deny   host 0000.230e.0685 any
deny   host 000e.8c8c.aeab any

interface GigabitEthernet1/0/6
description Sacz
switchport access vlan 201
switchport mode access
mac access-group sacz in

"mac acl в cisco-1811"
Отправлено ll75 , 13-Июл-10 09:51 
>[оверквотинг удален]
>
>mac access-list extended sacz
> deny   host 0000.230e.0685 any
> deny   host 000e.8c8c.aeab any
>
>interface GigabitEthernet1/0/6
> description Sacz
> switchport access vlan 201
> switchport mode access
> mac access-group sacz in

неа, у меня не позволяет:

gateway(config-if)#mac-address ?
  H.H.H  MAC address

"mac acl в cisco-1811"
Отправлено Valery12 , 13-Июл-10 12:32 
>[оверквотинг удален]
>>interface GigabitEthernet1/0/6
>> description Sacz
>> switchport access vlan 201
>> switchport mode access
>> mac access-group sacz in
>
>неа, у меня не позволяет:
>
>gateway(config-if)#mac-address ?
>  H.H.H  MAC address

сейчас добрался до 1811, действительно там не так, как я думал
команда access-expression input|output mac-acl
только mac-acl нужна по-моему не именованная а обычная диапазон 700-799

"mac acl в cisco-1811"
Отправлено ll75 , 14-Июл-10 09:24 

>сейчас добрался до 1811, действительно там не так, как я думал
>команда access-expression input|output mac-acl
>только mac-acl нужна по-моему не именованная а обычная диапазон 700-799

попробовал таким образом:

access-list 700 deny   00e0.4c50.3bf0   0000.0000.0000
access-list 700 permit 0000.0000.0000   ffff.ffff.ffff

gateway(config)#int Dialer3
gateway(config-if)# access-expression input smac(700)

ничего не произошло... юзера всё равно в инет пускает с того мак-адреса ((

"mac acl в cisco-1811"
Отправлено Valery12 , 14-Июл-10 12:00 
>[оверквотинг удален]
>попробовал таким образом:
>
>access-list 700 deny   00e0.4c50.3bf0   0000.0000.0000
>access-list 700 permit 0000.0000.0000   ffff.ffff.ffff
>
>gateway(config)#int Dialer3
>gateway(config-if)# access-expression input smac(700)
>
>ничего не произошло... юзера всё равно в инет пускает с того мак-адреса
>((

что то не понятно, а где находится этот юзер относительно gateway
как я понимаю интерфейс Dialer3 как раз и смотрит в инет, а что тогда юзер за ним делает

"mac acl в cisco-1811"
Отправлено ll75 , 14-Июл-10 12:47 

>что то не понятно, а где находится этот юзер относительно gateway
>как я понимаю интерфейс Dialer3 как раз и смотрит в инет, а
>что тогда юзер за ним делает

я пробовал аналогичным образом и на интерфейс Vlan1 повесить access-expression...то же самое ...

"mac acl в cisco-1811"
Отправлено Valery12 , 14-Июл-10 16:05 

>
>я пробовал аналогичным образом и на интерфейс Vlan1 повесить access-expression...то же самое
>...

покажите все таки конфиг с роутера.

"mac acl в cisco-1811"
Отправлено EvgenD , 13-Июл-10 14:15 
>неа, у меня не позволяет:
>
>gateway(config-if)#mac-address ?
>  H.H.H  MAC address

Сравни:   mac-address ?
          mac access-group
Но не факт что у тебя это есть.