Всем привет!
Прошу помощи в настройке фильтрации пакетов в cisco IOS Version 12.2(18)SXF11.
Как можно запретить прохождения пакета от MAC адреса клиента на ip адрес и порт через рутер cisco. Для меня не совсем тривиально это сделать. На решение потратил уже много времени.
В ipfw FreeBSD это было бы:
deny tcp from any to 10.1.1.100 dst-port 21 MAC any 00:1a:4d:41:28:8b

C ip access-list все понятно, фильтр только по ip адресам. Как-то можно прикрутить к правилу mac адрес источника?
Или можно наложить жесткое правило на ip адрес, чтобы его можно было пропускать, если пакет содержит mac адрес определенного источника? Тогда можно свободно использовать ip access-list.

За помощь, большое спасибо!

• Фильтр пакета по MAC адресу источника,timur_m, 10:59 , 06-Мрт-08
• Фильтр пакета по MAC адресу источника,CrAzOiD, 11:02 , 06-Мрт-08
  • Фильтр пакета по MAC адресу источника,timur_m, 11:59 , 06-Мрт-08
    • Фильтр пакета по MAC адресу источника,CrAzOiD, 22:40 , 06-Мрт-08
• Фильтр пакета по MAC адресу источника,Bebop, 12:28 , 31-Авг-15

Похоже ни у кого на этот счет идей нет.
Может быть, есть мысль, в каком направлении развивать тему?

Поделитесь опытом...

>[оверквотинг удален]
>В ipfw FreeBSD это было бы:
>deny tcp from any to 10.1.1.100 dst-port 21 MAC any 00:1a:4d:41:28:8b
>
>C ip access-list все понятно, фильтр только по ip адресам. Как-то можно
>прикрутить к правилу mac адрес источника?
>Или можно наложить жесткое правило на ip адрес, чтобы его можно было
>пропускать, если пакет содержит mac адрес определенного источника? Тогда можно свободно
>использовать ip access-list.
>
>За помощь, большое спасибо!

access-list 700 permit 1111.1111.1111 ffff.ffff.ffff

>access-list 700 permit 1111.1111.1111 ffff.ffff.ffff

ОК, спасибо, только немного непонятно, дольше необходимо добавить правило для ip адресов:
access-list 2000 deny tcp 192.168.1.0 0.0.0.255 host 10.1.1.100 eq 21

и нужно его применить для отдельного интерфейса - вилана (vlan10):
но в конфигурации есть только ip access-group, параметры которой задаются только номерами или именным access-list'ами для ip-адресов.
Как можно access-list 700 применить для интерфейса? Сразу правило работать не будет, я правильно понимаю?...

>[оверквотинг удален]
>
>ОК, спасибо, только немного непонятно, дольше необходимо добавить правило для ip адресов:
>
>access-list 2000 deny tcp 192.168.1.0 0.0.0.255 host 10.1.1.100 eq 21
>
>и нужно его применить для отдельного интерфейса - вилана (vlan10):
>но в конфигурации есть только ip access-group, параметры которой задаются только номерами
>или именным access-list'ами для ip-адресов.
>Как можно access-list 700 применить для интерфейса? Сразу правило работать не будет,
>я правильно понимаю?...

ip access-group 700

комбинировать L2 и L3(L4) правила нельзя в одном ACL
хотя может есть какие способы через policy-map

>[оверквотинг удален]
> и порт через рутер cisco. Для меня не совсем тривиально это
> сделать. На решение потратил уже много времени.
> В ipfw FreeBSD это было бы:
> deny tcp from any to 10.1.1.100 dst-port 21 MAC any 00:1a:4d:41:28:8b
> C ip access-list все понятно, фильтр только по ip адресам. Как-то можно
> прикрутить к правилу mac адрес источника?
> Или можно наложить жесткое правило на ip адрес, чтобы его можно было
> пропускать, если пакет содержит mac адрес определенного источника? Тогда можно свободно
> использовать ip access-list.
> За помощь, большое спасибо!

Вот, в данном случае конкретно по пакету пппое:

mac access-list extended PPPOE
permit any any 0x8863 0x0
permit any any 0x8864 0x0
mac access-list extended PPPOE_incom
deny   any host ffff.ffff.ffff 0x8863 0x0
permit any any

#аксес листы конечно ваши
vlan access-map PPPOE_FILTER 10
action forward
match mac address PPPOE
vlan access-map PPPOE_FILTER 20
action drop

vlan filter PPPOE_FILTER vlan-list [номер влана]
vlan internal allocation policy ascending

вешается на аплинк:
mac access-group PPPOE_incom in