Sokolov blog

delete access_profile profile_id 5
# критерием выборки трафика считаем адрес получателя
create access_profile ip destination_ip_mask 255.255.255.255 profile_id 5
# поднимаем приоритет трафика адресованного серврам телефонии
config access_profile profile_id 5 add access_id 1 ip destination_ip XXX.XXX.XXX.XXX port 1-26 permit priority 7
config access_profile profile_id 5 add access_id 27 ip destination_ip ip XXX.XXX.XXX.XXX port 1-26 permit priority 7

# фильтруем трафик на основание протокола и порта получателя
delete access_profile profile_id 6
create access_profile packet_content_mask offset_16-31 0x0 0x0 0x000000ff 0x0 offset_32-47 0x0 0x0 0xffff0000 0x0 profile_id 6
# фильтруем 139 , 445 ,135 порты tcp на всех портах
config access_profile profile_id 6 add access_id 1 packet_content_mask offset_16-31 0x0 0x0 0x00000006 0x0 offset_32-47 0x0 0x0 0x01bd0000 0x0 port 1-26 deny
config access_profile profile_id 6 add access_id 27 packet_content_mask offset_16-31 0x0 0x0 0x00000006 0x0 offset_32-47 0x0 0x0 0x00870000 0x0 port 1-26 deny
config access_profile profile_id 6 add access_id 53 packet_content_mask offset_16-31 0x0 0x0 0x00000006 0x0 offset_32-47 0x0 0x0 0x008b0000 0x0 port 1-26 deny
# фильтруем 137 138 1900 UDP на всех портах
config access_profile profile_id 6 add access_id 79 packet_content_mask offset_16-31 0x0 0x0 0x00000011 0x0 offset_32-47 0x0 0x0 0x00890000 0x0 port 1-26 deny
config access_profile profile_id 6 add access_id 105 packet_content_mask offset_16-31 0x0 0x0 0x00000011 0x0 offset_32-47 0x0 0x0 0x008a0000 0x0 port 1-26 deny
config access_profile profile_id 6 add access_id 131 packet_content_mask offset_16-31 0x0 0x0 0x00000011 0x0 offset_32-47 0x0 0x0 0x076c0000 0x0 port 1-26 deny
# фильтруем 1234 UDP на портах 1-24
config access_profile profile_id 6 add access_id 157 packet_content_mask offset_16-31 0x0 0x0 0x00000011 0x0 offset_32-47 0x0 0x0 0x04d20000 0x0 port 1-24 deny

#занижаем приоритет трафика с 10/8 -> 10/8
# при этом хождение трафика автоматом разрешается
# по этому эти правила после всех фильтров
delete access_profile profile_id 7
create access_profile ip source_ip_mask 255.0.0.0 destination_ip_mask 255.0.0.0 profile_id 7
config access_profile profile_id 7 add access_id 1 ip destination_ip 10.0.0.0 source_ip 10.0.0.0 port 1-26 permit priority 1

# включаем igmp_snooping и фильтруем левый мультикаст трафик
# юзеры в влане "default"
enable igmp_snooping
config igmp_snooping querier default state disable
config igmp_snooping default state enable
config multicast port_filtering_mode all filter_unregistered_groups