Начать стоит с того, что ipmb dhcp_snoop на acl на фильтрацию трафика не занимает ресурсов проца, производит ее на весь трафик, ресурсами матрицы, т.е. без задержек н апродвижение трафика, иначе гвооря, на скорости провода. На этом можно и закончить..

Ну, если человек хочет просто, эникей и настроилось, то выглядит оно как то так: http://dlink.ru/up//support/FAQ/Switch/dhcp_snooping.pdf

Спасибо!

Тут про сам DHCP снупинг, если речь про защиту от стороннего серва, т.е. сервер скрининг: https://www.youtube.com/watch?v=0lAzRfFtYSg

Это и требовалось, спасибо. А по скорости что быстрее будет работать данный метод, либо через ACL

Для рядового пользователя на обычной сети - разница не ощущается, а включить проще

Screening всеж отдельная  штука ,

Ну, я его отдельно и вывел

Я вот правда не знаю на чем он выполняется  аапаратно на матрице или силами cpu

ACLный более правильный. в ARP режиме комут контролит процом только арпы с порта. и в случае, если слышит "левый" арп, то блочит порт, но продолжает слушать с него арпы. Если услышит правильный - разблочит. Или админ ручками разблочит. ACL режим  крутится на матрице, контролит весь трафик, пропускает трафик от правильных сетевых реквизитов, но блочит от реквизитов, отличающихся от полученных от дхцп. Таким образом, имхо, АЦЛ режим более дружественный.

ACL не резиновый, профилей на все не напасешься.

а на 3200 revC их ваще кот наплакал, 4 раза, да? :)

но штука хорошая , работает хорошо , спасает  от полоумных тыкателей  не тем концом  принесенных на работу  вифи рухтеров.

Куда же вы столько профилей используете? :)

Ну, примерно вот такое мы сделали на сети, где должен быть только интернет в рамках PPPoE

create access_profile  ethernet  ethernet_type  profile_id 1
config access_profile profile_id 1  add access_id 1  ethernet  ethernet_type 0x806       port 1-28 permit
config access_profile profile_id 1  add access_id 2  ethernet  ethernet_type 0x9000      port 1-28 permit
config access_profile profile_id 1  add access_id 3  ethernet  ethernet_type 0x86DD      port 1-28 deny
config access_profile profile_id 1  add access_id 4  ethernet  ethernet_type 0x8863      port 1-28 permit
config access_profile profile_id 1  add access_id 5  ethernet  ethernet_type 0x8864      port 1-28 permit
config access_profile profile_id 1  add access_id 6  ethernet  ethernet_type 0x8137      port 1-28 deny
create access_profile  ethernet  source_mac 00-00-00-00-00-00  profile_id 5
config access_profile profile_id 5  add access_id 1  ethernet  source_mac 00-00-00-00-00-00  port 25-28 permit
create access_profile  ethernet  destination_mac FF-FF-FF-FF-FF-FF  profile_id 10
config access_profile profile_id 10  add access_id 1  ethernet  destination_mac FF-FF-FF-FF-FF-FF  port 1-28 deny
create access_profile  ip  destination_ip 255.240.0.0      profile_id 15
config access_profile profile_id 15  add access_id 1  ip  destination_ip 172.16.0.0       port 1-28 deny
create access_profile  ip  destination_ip 255.255.0.0      profile_id 20
config access_profile profile_id 20  add access_id 1  ip  destination_ip 192.168.0.0      port 1-28 deny
create access_profile  ip  icmp  profile_id 25
config access_profile profile_id 25  add access_id 1  ip  icmp  port 1-28 permit
create access_profile  ip  destination_ip 255.0.0.0        profile_id 30
config access_profile profile_id 30  add access_id 1  ip  destination_ip 10.0.0.0         port 1-28 deny
create access_profile  ip  udp dst_port 0xFFFF    profile_id 35
config access_profile profile_id 35  add access_id 1  ip  udp dst_port 53        port 1-28 permit
config access_profile profile_id 35  add access_id 2  ip  udp dst_port 67        port 1-28 permit
config access_profile profile_id 35  add access_id 3  ip  udp dst_port 68        port 1-28 deny
config access_profile profile_id 35  add access_id 4  ip  udp dst_port 69        port 1-28 deny
config access_profile profile_id 35  add access_id 5  ip  udp dst_port 137       port 1-28 deny
config access_profile profile_id 35  add access_id 6  ip  udp dst_port 138       port 1-28 deny
config access_profile profile_id 35  add access_id 7  ip  udp dst_port 1900      port 1-28 deny
create access_profile  ip  tcp dst_port 0xFFFF    profile_id 40
config access_profile profile_id 40  add access_id 1  ip  tcp dst_port 80        port 1-28 permit
config access_profile profile_id 40  add access_id 2  ip  tcp dst_port 135       port 1-28 deny
config access_profile profile_id 40  add access_id 3  ip  tcp dst_port 139       port 1-28 deny
config access_profile profile_id 40  add access_id 4  ip  tcp dst_port 445       port 1-28 deny
create access_profile  ip  source_ip 255.255.255.0    profile_id 100
config access_profile profile_id 100  add access_id 1  ip  source_ip 10.101.255.0     port 1-28 deny
disable cpu_interface_filtering

А ещё тв и юрики.

Да, с верху ещё легли запреты v6. Ну и в целом, профиля всё, кончились =)

И в рамках этой песни, переносить функционал, который есть отдельно тоже в ACL - не обдуманно.

какие до боли знакомые ACL

круто, значит ACLками и буду делать! У нас они до сих пор не использовались так, что  думаю это будет самым оптимальным решением