Списки контроля доступа (ACL — Access Control Lists) — мощный инструмент для фильтрации трафика, обеспечения безопасности и управления качеством обслуживания (QoS) в сетях. Однако даже опытные сетевые администраторы иногда сталкиваются с ситуацией, когда настроенный ACL кажется корректным, но не работает. Особенно это актуально при работе с коммутаторами D-Link, где реализованы как аппаратные (hardware), так и программные (software) ACL.
В этой статье разберём самые частые причины, по которым ACL на коммутаторах D-Link «не срабатывает», и как их избежать.
1. Вы перепутали тип ACL: hardware vs software
Одна из главных особенностей коммутаторов D-Link — разделение ACL на два типа:
- Hardware ACL — применяются на уровне ASIC (аппаратно), обрабатывают проходящий трафик между портами. Они быстрые, но не влияют на трафик, адресованный самому коммутатору (например, ping до IP-адреса управления).
- Software ACL — обрабатываются центральным процессором коммутатора и работают только с трафиком, направленным на CPU (например, SSH, SNMP, ICMP к IP-управления).
Ошибка:
Вы настроили hardware ACL, чтобы заблокировать ping до IP-адреса коммутатора — но он продолжает отвечать.
Решение:
Для фильтрации управляющего трафика используйте software ACL. Убедитесь, что вы применяете правильный тип ACL для вашей задачи.
2. ACL не привязан к нужному интерфейсу или направлению
ACL в D-Link нужно явно применить к порту и указать направление трафика: ingress (входящий) или egress (исходящий).
Ошибка:
ACL создан, но назначен на неправильный порт или направление трафика.
Помните, что на некоторых моделях коммутаторов ACL будет работать только для направления "in" (входящий в порт трафик). Например, таким образом работают ACL на коммутаторах с D-Link CLI
Решение:
Проверьте настройки ACL и исправьте ошибки.
3. Порядок правил важен: первое совпадение — последнее слово
ACL в D-Link обрабатываются сверху вниз, и применяется первое совпадающее правило. Если вы поставили разрешающее правило (permit) выше запрещающего (deny), то трафик будет пропущен.
Ошибка:
Вы добавили правило deny в конец списка, но выше уже есть permit для тех же критериев.
Решение:
Тщательно проверяйте порядок правил. Лучше начинать с самых конкретных условий и завершать общими.
4. Забыли про разрешающее правило в конце списка
В отличие от некоторых других вендоров (например, Cisco), в большинстве коммутаторов D-Link в конце каждого ACL-профиля действует неявное правило permit all. Это означает, что если ни одно из ваших правил не совпало с пакетом, он автоматически пропускается.
И помните, что коммутаторы имеют ограничения по количеству обрабатываемых правил. Информацию о максимальном количестве поддерживаемых правил можно найти в документации на используемое устройство.