QoS UserPorts

QoS UserPorts bilden eine Möglichkeit bestimmte Protokolle an Endgeräte Ports zu verbieten. Das kann einerseits mit „filter“ herausgefiltert werden, andererseits kann der Port mit „Shutdown deaktiviert werden. Unterstützte Protokolle sind

• bpdu (Bridge Protocol Data Units aka Spanning tree Packete=
• bgp (BGP Traffic)
• ospf (OSPF Traffic)
• rip (RIP Traffic)
• vrrp (VRRP Pakete)
• dhcp-server (DHCP Replys - das sollte nur vom DHCP Server kommen, nicht von z.b. einer VM/Fritzbox eines Users)
• pim (Protocol Indipendent Multicast)
• dvmrp (Distance Vector Multicast Routing Protocol)
• isis (Intermediate System to Intermediate System Protocol)
• dns-reply (DNS Antworten- das sollte nur vom DNS Server kommen)

Eine mögliche Konfiguration ist beispielsweise:

qos user-port shutdown bpdu bgp ospf rip vrrp dhcp-server pim dvmrp isis dns-reply 
policy port group UserPorts   1/1-10 2/2-48 
qos apply

Standardmäßig schickt der Switch bei einer Violation (nicht aber wenn man die pakete nur filtert) eine Trap an die Management Station.

Möchte man nachschauen, was für ein Paket da gedroppt wurde kann man sich das mitgeschickte Fragment in wireshark laden. das geht am einfachsten, indem man:

1. Den Hexcode in eine textdatei kopiert
2. eine 000000 vorne anfügt
3. das Ganze dann im wireshark über File → Import from Hex Dump importiert

Nachdem nur die erste 64Byte im Trap mitgeschickt wurden (Schreibfehler im Omnivista, welches behauptet es sind 512 Byte - es sind 512 Bit) ist das Paket nicht vollständig, aber ein paar Header kann man sehen.

Im Beispiel erkennt man das ein Client eine BOOTP Anfrage gestellt hat und dieses zum Drop des Paketes geführt hat. Ob das in dem Fall wirklich ein DHCP Server ist ist zumindest fraglich, die Dokumentation von Alcatel, was genau getriggert wird ist (mir) nicht bekannt.