На Habr разобрали гибкую фильтрацию трафика на коммутаторах Huawei на примере стека из двух S6730: запрет нескольких подсетей, выборочные разрешения для отдельных хостов и обход отсутствия Object-Group через ACL.
Мнение эксперта
- Huawei остаётся одним из ключевых вендоров в российских проектах, поэтому рабочие схемы обхода отсутствия Object-Group напрямую сокращают трудозатраты на миграции с Cisco и других западных платформ.
- Интегратору стоит зафиксировать такие шаблоны ACL во внутренней документации и передавать их в поддержку: разбор сложных правил без описания при аварии занимает часы.
- Перед вводом в эксплуатацию нужно проверить, что фильтрация сегментов согласуется с требованиями ИБ и регуляторов, и заложить регрессионные тесты правил.
