Настройки безопасности xPON

27 May 2026

AAA по протоколу TACACS+

В данном разделе описано конфигурирование AAA по протоколу TACACS+ на OLT серий LTP-N/LTX/MA5160. В качестве сервера TACACS+ рекомендуется использовать Eltex NAICE.

Минимальная базовая конфигурация для настройки данного функционала должна включать настройки параметров управления.

LTP-N

configure terminal
    management ip 10.10.0.4
    management mask 255.255.0.0
    management gateway 10.10.0.1
    management vid 100
    interface front-port 1
        vlan allow 100
    exit
commit
exit

Пояснение

Переход в режим конфигурирования OLT
Указание адреса управления
Указание маски подсети управления
Указание шлюза по умолчанию
Указание VLAN управления
Переход в режим конфигурирования uplink-интерфейса front-port 1
Указание VLAN 100 (management) в режиме tagged на uplink-интерфейсе
Выход из режима конфигурирования front-port 1
Применение конфигурации
Выход из CLI

Если приведенная конфигурация загружается на OLT из файла по протоколам FTP/TFTP/HTTP, сохранение конфигурации в энергонезависимую память произойдет автоматически.

Если конфигурация применяется путем вставки приведенных команд в CLI, необходимо дополнительно выполнить команду save.

При изменении сетевых настроек устройства убедитесь в корректности применяемой конфигурации во избежание потери удаленного доступа до устройства.

Настройка AAA из CLI

LTP-N

LTP-16N# configure terminal
LTP-16N(configure)# aaa
LTP-16N(config)(aaa)# enable
LTP-16N(config)(aaa)# tacacs-server host 10.10.0.100
LTP-16N(config)(aaa)# tacacs-server host 10.10.0.100 key 1234567-r0
LTP-16N(config)(aaa)# tacacs-server host 10.10.0.100 port 444
LTP-16N(config)(aaa)# tacacs-server host 10.10.0.100 priority 1
LTP-16N(config)(aaa)# tacacs-server timeout 2
LTP-16N(config)(aaa)# authentication tacacs+ 
LTP-16N(config)(aaa)# authorization tacacs+ privilege commands
LTP-16N(config)(aaa)# accounting tacacs+ start-stop 
LTP-16N(config)(aaa)# accounting tacacs+ commands
LTP-16N(config)(aaa)# exit
LTP-16N(config)# exit
LTP-16N# commit
LTP-16N# save

Пояснение

Переход в режим конфигурирования OLT
Переход в режим конфигурирования AAA
Включение AAA
Указание адреса TACACS+-сервера
Указание ключа для TACACS+-сервера
Опционально: указание порта сервера (по умолчанию устанавливается порт 49)
Опционально: указание приоритета обращения к серверу (при настройке нескольких серверов)
Опционально: указание таймаута ожидания ответа от сервера (по умолчанию 3 секунды)
Включение аутентификации TACACS+
Включение авторизации TACACS+, выдача привилегий и доступных команд
Включение аккаунтинга start-stop TACACS+
Включение аккаунтинга команд TACACS+
Выход из режима конфигурирования AAA
Выход из режима конфигурирования
Применение выполненных изменений
Сохранение изменений в энергонезависимую память

Ключ сервера TACACS+ вводится при конфигурировании в открытом виде. В дальнейшем после применения настроек он будет зашифрован в конфигурации.

Всего в конфигурации может быть указано до трех серверов TACACS+. Порядок обращения к серверам определяется параметром priority.

Параметры AAA применяются одновременно ко всем способам подключения: Telnet, SSH, console. Исключение: доступ веб-интерфейсу. Доступ к веб-интерфейсу OLT осуществляется только под локальными учетными записями.

ARP Inspection

Функционал ARP Inspection предназначен для защиты от атак с использованием протокола ARP (например, ARP-spoofing — перехват ARP-трафика). Контроль протокола ARP осуществляется на основе соответствий IP- и MAC-адресов, зафиксированных следующими способами:

Динамически на основе информации, проходящей через OLT и зафиксированной в таблице DHCP Snooping.
Заданных статически в конфигурации.

Для обеспечения работы ARP Inspection в динамическом режиме должен быть включен DHCP Snooping. Процесс настройки DHCP Snooping описан в одноименном разделе ниже.

Минимальная базовая конфигурация для настройки данного функционала должна включать настройки параметров управления, настройки DHCP Snooping, а также настройки, необходимые для регистрации ONT.

LTP-N

configure terminal
    management ip 10.10.0.4
    management mask 255.255.0.0
    management gateway 10.10.0.1
    management vid 100
    profile cross-connect Internet
        outer vid 999
    exit
    ip dhcp
        snooping enable vlan 1-4094
    exit
    interface ont 1/1
        serial ELTX12345678
        service 1 profile cross-connect "Internet" dba "dba1"
    exit
    interface front-port 1
        vlan allow 100,999
    exit
commit
exit

Пояснение

Переход в режим конфигурирования OLT
Указание адреса управления
Указание маски подсети управления
Указание шлюза по умолчанию
Указание VLAN управления
Переход в режим конфигурирования сервисного профиля cross-connect "Internet"
Указание сервисного vlan 999
Выход из режима конфигурирования сервисного профиля cross-connect "Internet"
Переход в режим настройки DHCP Snooping
Включение DHCP Snooping во всех VLAN (может быть включен только в необходимых VLAN)
Выход из режима настройки DHCP Snooping
Переход в режим конфигурирования интерфейса ont 1/1 (pon-port 1/ont id 1)
Указание PON serial ONT
Назначение сервисного профиля cross-connect "Internet" на ONT
Выход из режима конфигурирования интерфейса ont 1/1
Переход в режим конфигурирования uplink-интерфейса front-port 1
Указание VLAN 100 (management), 999 (Internet) в режиме tagged на uplink-интерфейсе
Выход из режима конфигурирования front-port 1
Применение конфигурации
Выход из CLI

Настройка ARP Inspection

LTP-N

LTP-16N# configure terminal
LTP-16N(configure)# ip arp-inspection enable
LTP-16N(configure)# ip arp-inspection enable vlan 999
LTP-16N(configure)# ip arp-inspection bind ip 172.16.10.100 mac AB:AB:AB:AB:AB:AB interface-ont 1/1 service 1
LTP-16N(configure)# exit
LTP-16N# commit
LTP-16N# save

Пояснение

Переход в режим конфигурирования OLT
Включение ARP Inspection во всех VLAN
Опционально: вместо глобального включения ARP Inspection можно включить его в отдельном VLAN
Опционально: формирование статической записи IP+MAC+ONT+Номер сервиса
Выход из режима конфигурирования OLT
Применение выполненных изменений
Сохранение изменений в энергонезависимую память

DHCP Option 82

DHCP Option 82 — функционал, применяемый для предоставления DHCP-серверу дополнительных данных о полученном DHCP-запросе. При включении данного функционала DHCP-запросы от пользователей, подключенных к OLT, могут быть модифицированы на OLT. Модификация заключается в добавлении в пользовательский DHCP-запрос дополнительного поля с дополнительной информацией. Это может быть идентификатор ONT в конфигурации OLT, пользовательский MAC, номер VLAN, в котором поступил DHCP-запрос, и так далее. Полный список параметров, доступных для подстановки в DHCP-опцию 82, доступен в руководстве по эксплуатации устройства.

LTP-N

configure terminal
    management ip 10.10.0.4
    management mask 255.255.0.0
    management gateway 10.10.0.1
    management vid 100
    profile cross-connect Internet
        outer vid 999
    exit
    ip dhcp
        snooping enable vlan 1-4094
    exit
    interface ont 1/1
        serial ELTX12345678
        service 1 profile cross-connect "Internet" dba "dba1"
    exit
    interface front-port 1
        vlan allow 100,999
    exit
commit
exit

Пояснение

Переход в режим конфигурирования OLT
Указание адреса управления
Указание маски подсети управления
Указание шлюза по умолчанию
Указание VLAN управления
Переход в режим конфигурирования сервисного профиля cross-connect "Internet"
Указание сервисного vlan 999
Выход из режима конфигурирования сервисного профиля cross-connect "Internet"
Переход в режим настройки DHCP Snooping
Включение DHCP Snooping во всех VLAN (может быть включен только в необходимых VLAN)
Выход из режима настройки DHCP Snooping
Переход в режим конфигурирования интерфейса ont 1/1 (pon-port 1/ont id 1)
Указание PON serial ONT
Назначение сервисного профиля cross-connect "Internet" на ONT
Выход из режима конфигурирования интерфейса ont 1/1
Переход в режим конфигурирования uplink-интерфейса front-port 1
Указание VLAN 100 (management), 999 (Internet) в режиме tagged на uplink-интерфейсе
Выход из режима конфигурирования front-port 1
Применение конфигурации
Выход из CLI

Настройка DHCP Option 82

Рассмотрим пример добавления в каждый пользовательский DHCP-запрос следующей информации:

circuit-id: Номер PON-порта/ID ONT на канале/PON Serial/Номер сервисного VLAN

remote-id: Hostname/IP-адрес управления OLT

LTP-N

LTP-16N# configure terminal
LTP-16N(configure)# profile dhcp-opt82 For_Internet
LTP-16N(config)(profile-dhcp-opt82-For_Internet)# overwrite-opt82 enable 
LTP-16N(config)(profile-dhcp-opt82-test)# circuit-id format %PON-PORT%/%ONTID%/%PONSERIAL%/%VLAN0%
LTP-16N(config)(profile-dhcp-opt82-test)# remote-id format %HOSTNAME%/%MNGIP%
LTP-16N(config)(profile-dhcp-opt82-test)# exit
LTP-16N(configure)# ip dhcp 
LTP-16N(config)(dhcp)# opt82 profile For_Internet
LTP-16N(config)(dhcp)# opt82 profile For_Internet vid 999
LTP-16N(config)(dhcp)# exit
LTP-16N(configure)# interface ont 1/1
LTP-16N(config)(if-ont-1/1)# service 1 custom dhcp-opt82-profile For_Internet
LTP-16N(config)(if-ont-1/1)# exit
LTP-16N(configure)# exit
LTP-16N# commit
LTP-16N# save

Пояснение

Переход в режим конфигурирования OLT
Создание и переход в режим редактирования профиля opt82 "For_Internet"
Разрешить вставку/перезапись DHCP option 82 для входящих пользовательских запросов
Формирование circuit-id
Формирование remote-id
Выход из режима редактирования профиля opt82 "For_Internet"
Переход в режим настройки DHCP
Назначение созданного профиля глобально на все VLAN
Опционально: вместо предыдущей команды профиль может быть назначен только на определенный VLAN
Выход из режима настройки DHCP
Опционально: переход в режим настройки ONT для назначения индивидуальных профилей для разных ONT 
Опционально: назначение профиля opt82 для определенного сервиса определенного ONT
Выход из режима настройки ONT 1/1
Выход из режима конфигурирования OLT
Применение выполненных изменений
Сохранение изменений в энергонезависимую память

DHCP Snooping

DHCP Snooping — функционал, используемый для перехвата и обработки трафика на CPU OLT. Используется для контроля и мониторинга DHCP-сессий, а также для работы с DHCP-опцией 82 в DHCP-пакетах и работы такого функционала, как IP Source Guard и ARP Inspection.

Минимальная базовая конфигурация для настройки данного функционала должна включать настройки параметров управления, а также настройки, необходимые для регистрации ONT.

LTP-N

configure terminal
    management ip 10.10.0.4
    management mask 255.255.0.0
    management gateway 10.10.0.1
    management vid 100
    profile cross-connect Internet
        outer vid 999
    exit
    interface ont 1/1
        serial ELTX12345678
        service 1 profile cross-connect "Internet" dba "dba1"
    exit
    interface front-port 1
        vlan allow 100,999
    exit
commit
exit

Пояснение

Переход в режим конфигурирования OLT
Указание адреса управления
Указание маски подсети управления
Указание шлюза по умолчанию
Указание VLAN-управления
Переход в режим конфигурирования сервисного профиля cross-connect "Internet"
Указание сервисного vlan 999
Выход из режима конфигурирования сервисного профиля cross-connect "Internet"
Переход в режим конфигурирования интерфейса ont 1/1 (pon-port 1/ont id 1)
Указание PON serial ONT
Назначение сервисного профиля cross-connect "Internet" на ONT
Выход из режима конфигурирования интерфейса ont 1/1
Переход в режим конфигурирования uplink-интерфейса front-port 1
Указание VLAN 100 (management), 999 (Internet) в режиме tagged на uplink-интерфейсе
Выход из режима конфигурирования front-port 1
Применение конфигурации
Выход из CLI

Настройка DHCP Snooping

LTP-N

LTP-16N# configure terminal
LTP-16N(configure)# ip dhcp
LTP-16N(config)(dhcp)# snooping enable vlan 999
LTP-16N(config)(dhcp)# snooping enable
LTP-16N(config)(dhcp)# do commit
LTP-16N(config)(dhcp)# do save

Пояснение

Переход в режим конфигурирования OLT
Переход в режим конфигурирования параметров DHCP
Включение DHCP Snooping для определенного VLAN (VLAN, в котором должны отслеживаться пользовательские сессии)
Опционально: данной командой включается DHCP Snooping для всего диапазона VLAN 1-4094
Применение выполненных изменений
Сохранение выполненных изменений в энергонезависимую память

IP Source Guard

Функционал IP Source Guard позволяет ограничить несанкционированное использование IP-адресов в сети путем привязки IP- и МАС-адресов клиента к конкретному сервису на конкретной ONT. Существует два режима работы:

Статический — для возможности прохождения какого-либо трафика от клиента необходимо задать соответствие IP- и MAC-адресов клиентского оборудования вручную в конфигурации.
Динамический — подразумевает получение адреса клиентским оборудованием по протоколу DHCP. На основании обмена клиентского оборудования с DHCP-сервером на OLT формируется таблица DHCP Snooping, содержащая в себе соответствие МАС-IP-GEM-порт, а также информацию о времени аренды. Пропускаются только те пакеты от клиента, в которых поля «МАС источника» и «IP источника» совпадают с записями в таблице DHCP Snooping. Для обеспечения работы клиентского оборудования, IP-адрес на котором был задан статически, в динамическом режиме возможно создание статических записей.

GEM-port — это виртуальный канал между OLT и ONT. По умолчанию для каждого сервиса на каждой ONT выделяется уникальный GEM-порт.

LTP-N

configure terminal
    management ip 10.10.0.4
    management mask 255.255.0.0
    management gateway 10.10.0.1
    management vid 100
    profile cross-connect Internet
        outer vid 999
    exit
    ip dhcp
        snooping enable vlan 1-4094
    exit
    interface ont 1/1
        serial ELTX12345678
        service 1 profile cross-connect "Internet" dba "dba1"
    exit
    interface front-port 1
        vlan allow 100,999
    exit
commit
exit

Пояснение

Переход в режим конфигурирования OLT
Указание адреса управления
Указание маски подсети управления
Указание шлюза по умолчанию
Указание VLAN управления
Переход в режим конфигурирования сервисного профиля cross-connect "Internet"
Указание сервисного vlan 999
Выход из режима конфигурирования сервисного профиля cross-connect "Internet"
Переход в режим настройки DHCP Snooping
Включение DHCP Snooping во всех VLAN (может быть включен только в необходимых VLAN)
Выход из режима настройки DHCP Snooping
Переход в режим конфигурирования интерфейса ont 1/1 (pon-port 1/ont id 1)
Указание PON serial ONT
Назначение сервисного профиля cross-connect "Internet" на ONT
Выход из режима конфигурирования интерфейса ont 1/1
Переход в режим конфигурирования uplink-интерфейса front-port 1
Указание VLAN 100 (management), 999 (Internet) в режиме tagged на uplink-интерфейсе
Выход из режима конфигурирования front-port 1
Применение конфигурации
Выход из CLI

Настройка IP Source Guard

LTP-N

LTP-16N# configure terminal
LTP-16N(configure)# ip source-guard enable
LTP-16N(configure)# ip source-guard enable vlan 999
LTP-16N(configure)# ip source-guard one-dynamic-binding-for-mac enable
LTP-16N(configure)# ip source-guard bind ip 172.16.10.100 mac AB:AB:AB:AB:AB:AB interface-ont 1/1 service 1
LTP-16N(configure)# ip source-guard mode static
LTP-16N(configure)# exit
LTP-16N# commit
LTP-16N# save

Пояснение

Переход в режим конфигурирования OLT
Включение IPSG для всех VLAN
Опционально: вместо глобального включения IPSG можно включить его в отдельном VLAN
Опционально: разрешить получение разных IP для одного MAC
Опционально: формирование статической записи IP+MAC+ONT+Номер сервиса
Опционально: разрешить работу только со статическими записями, игнорировать динамические из таблицы Snooping
Выход из режима конфигурирования OLT
Применение выполненных изменений
Сохранение изменений в энергонезависимую память

Telnet-/SSH-доступ

Доступ к управлению OLT по протоколам Telnet (незащищенный) и SSH (защищенный шифрованием) включены по умолчанию. При необходимости один из них может быть отключен. Например, может быть отключен Telnet для сохранения только шифрованных подключений.

Отключение Telnet

LTP-N

LTP-16N# configure terminal
LTP-16N(configure)# no ip telnet enable 
LTP-16N(configure)# do commit
LTP-16N(configure)# do save

Пояснение

Переход в режим конфигурирования OLT
Отключение Telnet
Применение выполненных изменений
Сохранение выполненных изменений в энергонезависимой памяти

Пояснение

Переход в режим конфигурирования OLT
Отключение Telnet
Применение выполненных изменений
Сохранение выполненных изменений в энергонезависимой памяти

Логирование событий

Системный журнал работы syslog позволяет накапливать информацию об истории работы терминала и, в дальнейшем, осуществлять ее просмотр. Для настройки системного журнала используются понятия модуля, уровня фильтрации и устройства вывода. Принцип работы механизма логирования событий описывается диаграммой:

На OLT существует ряд системных модулей (служб), каждый из которых фиксирует события в процессе своей работы и перенаправляет их в syslog-журнал. За то, насколько детальным будет лог для каждого модуля, отвечают loglevel-фильтры, которые могут быть настроены для каждого модуля. По умолчанию для всех модулей настроен loglevel уровня notice. В свою очередь, устройства вывода данных настраиваются на прием сообщений определенного уровня логирования. Существуют следующие модули, уровни логирования и устройства вывода:

Модуль	Описание
aaa	Модуль сервиса AAA
acs-custom	Модуль встроенного сервера автоконфигурирования ONT
arp	Модуль обработчика ARP (ARP proxy)
cli	Модуль службы интерфейса командной строки
datapath	Модуль службы передачи данных datapath
dhcp	Модуль службы DHCP Snooping
dna	Основной сетевой модуль
fsm-pon	Модуль машины состояний PON
igmp	Модуль службы IGMP Snooping
ipsg	Модуль службы IP Source Guard
l3-agent	Модуль службы DHCP-RA
lacp	Модуль службы LACP
lldp	Модуль службы LLDP
logmgr	Модуль управления логированием
mac	Модуль службы FDB
netserve	Модуль взаимодействия с PON-чипом
networkd	Служба конфигурации IP-интерфейсов OLT
port	Модуль управления физическими интерфейсами OLT
pppoe	Модуль службы PPPOE-IA
snmp	Модуль службы SNMP
switch	Модуль управления встроенным коммутатором OLT
usermgr	Модуль службы работы с пользователями

Loglevel-фильтр	Описание
critical	Критически важные события
error	Ошибки в работе
warning	Предупреждения
notice	Важные события при нормальной работе
info	Информационные сообщения
debug	Отладочные сообщения

Устройство вывода	Описание
console	Вывод с терминала при консольном подключении
file	Вывод в файл, хранящийся на OLT локально
remote	Вывод на указанный в настройках syslog-сервер
rsh	Вывод в терминал Telnet/SSH при подключении к CLI

Настройка логирования

Настройка логирования осуществляется в logging-разделе CLI. Наиболее полным и информативным является отладочный уровень сообщений. Однако использовать данный уровень рекомендуется только для диагностики (для выявления каких-либо проблем). После снятия отладочного лога рекомендуется возвращать дефолтный уровень логирования — notice. Рассмотрим пример настройки вывода отладочных сообщений для логирования деталей активации и работы определенного ONT, а также некоторых других модулей. Дополнительно рассмотрим настройку отправки отладочных сообщений на удаленный syslog-сервер.

LTP-N

LTP-16N# configure terminal
LTP-16N(configure)# logging
LTP-16N(config)(logging)# module dna interface ont 1/1 loglevel debug
LTP-16N(config)(logging)# module switch loglevel debug
LTP-16N(config)(logging)# file loglevel debug
LTP-16N(config)(logging)# console loglevel debug
LTP-16N(config)(logging)# remote loglevel debug
LTP-16N(config)(logging)# remote server ip 10.10.0.111
LTP-16N(config)(logging)# exit
LTP-16N(configure)# exit
LTP-16N# commit
LTP-16N# save

Пояснение

Переход в режим конфигурирования OLT
Переход в режим конфигурирования логирования
Включение отладки по модулю DNA с фильтром по ONT с индексом 1/1
Включение отладки по модулю встроенного коммутатора OLT
Включение записи сообщений уровня debug в локальный файл
Включение вывода сообщений уровня debug в терминал консольного подключения
Включение отправки сообщений уровня debug на удаленный syslog-сервер
Указание адреса удаленного syslog-сервера
Опционально: включение сохранения логов в энергонезависимую память OLT (по умолчанию хранятся в RAM)
Выход из режима конфигурирования логирования
Выход из режима конфигурирования OLT
Применение выполненных настроек
Сохранение изменений в энергонезависимую память

Просмотр отладочных сообщений возможен на удаленном syslog-сервере либо локально в CLI. Кроме того, локальный syslog-файл может быть выгружен на удаленный TFTP/HTTP/FTP-сервер.

LTP-N

LTP-16N# show log files
LTP-16N# show log system.log.1
copy fs://logfile/system.log.1 tftp://10.10.0.112/system.log.1

Пояснение

Просмотр списка локальных файлов логов на OLT
Просмотр содержимого лог-файла (system.log.1 — имя файла)
Выгрузка лог-файла на удаленный сервер (в примере TFTP-сервер с адресом 10.10.0.112)

Настройка ACL для трафика

ACL (Access Control Lists или Списки доступа) — набор правил, выполняющих фильтрацию трафика по определенным критериям. В качестве критериев могут выступать определенные MAC-/IP-адреса или их диапазоны, номера портов TCP/UDP, ethertype, номер VLAN, метки 802.1p/DSCP и так далее. ACL распространяются как на транзитный трафик, проходящий через OLT без обработки, так и на трафик, обрабатываемый OLT (управление, трафик попадающий под DHCP/IGMP/PPPoE Snooping).

Списки доступа, настраиваемые на OLT, при их применении распространяются только на трафик, поступающий на интерфейсы (ingress).

По умолчанию списки доступа на OLT работают в режиме blacklist (разрешено всё, что не запрещено). Возможно также формирование whitelist, в этом случае после перечисления в списке доступа разрешающих правил последним правилом необходимо указать: deny any any

Для данной схемы рассмотрим ограничение на OLT входящих со стороны абонентов фреймов PPPoE (ethertype 0x8863, 0x8864), а также поступающих со стороны сети запросов DHCP (UDP-порт источника 68).

LTP-N

configure terminal
    management ip 10.10.0.4
    management mask 255.255.0.0
    management gateway 10.10.0.1
    management vid 100
    profile cross-connect Internet
        outer vid 999
    exit
    interface ont 1/1
        serial ELTX12345678
        service 1 profile cross-connect "Internet" dba "dba1"
    exit
    interface front-port 1
        vlan allow 100,999
    exit
commit
exit

Пояснение

Переход в режим конфигурирования OLT
Указание адреса управления
Указание маски подсети управления
Указание шлюза по умолчанию
Указание VLAN управления
Переход в режим конфигурирования сервисного профиля cross-connect "Internet"
Указание сервисного vlan 999
Выход из режима конфигурирования сервисного профиля cross-connect "Internet"
Переход в режим конфигурирования интерфейса ont 1/1 (pon-port 1/ont id 1)
Указание PON serial ONT
Назначение сервисного профиля cross-connect "Internet" на ONT
Выход из режима конфигурирования интерфейса ont 1/1
Переход в режим конфигурирования uplink-интерфейса front-port 1
Указание VLAN 100 (management), 999 (Internet) в режиме tagged на uplink-интерфейсе
Выход из режима конфигурирования front-port 1
Применение конфигурации
Выход из CLI

Настройка ACL

LTP-N

LTP-16N# configure terminal
LTP-16N(configure)# access-list mac PPPoE_block
LTP-16N(config)(access-list-mac-PPPoE_block)# deny any any vlan any ethertype 0x8863 0xFFFF index 1
LTP-16N(config)(access-list-mac-PPPoE_block)# deny any any vlan any ethertype 0x8864 0xFFFF index 2
LTP-16N(config)(access-list-mac-PPPoE_block)# exit
LTP-16N(configure)# access-list ip DHCP_block
LTP-16N(config)(access-list-ip-DHCP_block)# deny udp any 68 any any index 1
LTP-16N(config)(access-list-ip-DHCP_block)# exit
LTP-16N(configure)# interface pon-port 1
LTP-16N(config)(if-pon-1)# access-list mac PPPoE_block
LTP-16N(config)(if-pon-1)# exit
LTP-16N(configure)# interface front-port 1
LTP-16N(config)(if-front-1)# access-list ip DHCP_block
LTP-16N(config)(if-front-1)# exit
LTP-16N(configure)# exit
LTP-16N# commit
LTP-16N# save

Пояснение

Переход в режим конфигурирования OLT
Создание MAC ACL "PPPoE_block" и переход в режим его конфигурирования
Указание правила запрета прохождения фреймов с ethertype 0x8863
Указание правила запрета прохождения фреймов с ethertype 0x8864
Выход из режима конфигурирования MAC ACL "PPPoE_block"
Создание IP ACL "DHCP_block" и переход в режим его конфигурирования
Указание правила запрета прохождения пакетов с source UDP port 68
Выход из режима конфигурирования IP ACL "DHCP_block"
Переход в режим конфигурирования интерфейса pon-port 1
Применение к интерфейсу ACL "PPPoE_block"
Выход из режима конфигурирования интерфейса pon-port 1
Переход в режим конфигурирования интерфейса front-port 1
Применение к интерфейсу ACL "DHCP_block"
Выход из режима конфигурирования интерфейса front-port 1
Выход из режима конфигурирования OLT
Применение выполненных изменений
Сохранение выполненных изменений в энергонезависимую память

Настройка Management ACL

Management ACL — это списки контроля доступа, предназначенные для фильтрации трафика управления самим сетевым устройством, но не для транзитного трафика. На OLT серий LTP-N/LTX/MA5160 management ACL применяются только для всех VLAN управления и всех подсетей управления, настроенных на устройстве.

LTP-N

configure terminal
    management ip 10.10.0.4
    management mask 255.255.0.0
    management gateway 10.10.0.1
    management vid 100
    interface front-port 1
        vlan allow 100
    exit
commit
exit

Пояснение

Переход в режим конфигурирования OLT
Указание адреса управления
Указание маски подсети управления
Указание шлюза по умолчанию
Указание VLAN управления
Переход в режим конфигурирования uplink-интерфейса front-port 1
Указание VLAN 100 (management) в режиме tagged на uplink-интерфейсе
Выход из режима конфигурирования front-port 1
Применение конфигурации
Выход из CLI

Пояснение

Переход в режим конфигурирования OLT
Указание адреса управления
Указание маски подсети управления
Указание шлюза по умолчанию
Указание VLAN управления
Переход в режим конфигурирования uplink-интерфейса front-port 1
Указание VLAN 100 (management) в режиме tagged на uplink-интерфейсе
Выход из режима конфигурирования front-port 1
Применение конфигурации
Выход из CLI

Пояснение

LTP-16N# configure terminal
LTP-16N(configure)# ip telnet access-control
LTP-16N(configure)# ip ssh access-control
LTP-16N(configure)# ip snmp access-control
LTP-16N(configure)# ip telnet allow ip 172.16.0.0 mask 255.255.255.0
LTP-16N(configure)# ip ssh allow ip 172.16.0.0 mask 255.255.255.0
LTP-16N(configure)# ip snmp allow ip 172.16.0.0 mask 255.255.255.0
LTP-16N(configure)# ip telnet allow ip 10.0.0.250
LTP-16N(configure)# ip ssh allow ip 10.0.0.250
LTP-16N(configure)# ip snmp allow ip 10.0.0.250
LTP-16N(configure)# exit
LTP-16N# commit
LTP-16N# save

Настройка management ACL

Согласно приведенной схеме доступ к управлению устройством по протоколам Telnet, SSH, SNMP должен быть ограничен для для хоста 10.0.0.200. При этом доступ должен быть разрешен для хоста 10.0.0.250 и всех хостов подсети 172.16.0.0/24. Рассмотрим настройку данного сценария.

Пояснение

Переход в режим конфигурирования OLT
Включение management ACL для Telnet
Включение management ACL для SSH
Включение management ACL для SNMP
Разрешение подсети 172.16.0.0/24 для Telnet
Разрешение подсети 172.16.0.0/24 для SSH
Разрешение подсети 172.16.0.0/24 для SNMP
Разрешение хоста 10.0.0.250 для Telnet (отсутствие маски равносильно указанию маски /32)
Разрешение хоста 10.0.0.250 для SSH (отсутствие маски равносильно указанию маски /32)
Разрешение хоста 10.0.0.250 для SNMP (отсутствие маски равносильно указанию маски /32)
Выход из режима конфигурирования OLT
Применение выполненных изменений
Сохранение изменений в энергонезависимую память

Все перечисленные политики доступа применяются только ко всем адресам управления OLT: как к настроенному параметром management ip, так и к настроенному на других vlan при помощи параметра ip interface management access allow. Список разрешенных подсетей для доступа к OLT используется единый для всех интерфейсов управления.

Management ACL на OLT работает по правилу whitelist – запрещено всё, что не разрешено. Поэтому перед применением настроек убедитесь в том, что все необходимые адреса и подсети указаны в применяемой конфигурации и указаны корректно во избежание потери удаленного управления устройством.

Шифрование на PON-каналах

Для обеспечения безопасности при передаче данных по волоконно-оптической линии связи стандарт GPON ITU-T G.984.3 предусматривает возможность шифрования сигнала, передаваемого от OLT к ONT по стандарту AES-128. Функционал включается на каждом pon-port отдельно либо может быть включен на указанном диапазоне pon-port.

Настройка шифрования

LTP-N

LTP-16N# configure terminal
LTP-16N(configure)# interface pon-port 1-3
LTP-16N(config)(if-pon-1-3)# encryption enable 
LTP-16N(config)(if-pon-1-3)# encryption key-exchange interval 2
LTP-16N(config)(if-pon-1-3)# exit
LTP-16N(configure)# exit
LTP-16N# commit
LTP-16N# save

Пояснение

Переход в режим конфигурирования OLT
Переход в режим конфигурирования диапазона pon-port 1-3
Включение шифрования
Указание интервала обновления ключей шифрования в минутах (по умолчанию 1 минута)
Выход из режима конфигурирования pon-port
Выход из режима конфигурирования OLT
Применение выполненных изменений
Сохранение изменений в энергонезависимую память

В статье упоминается

Оборудование xPON