• proto XX - номер или имя протокола из файла /etc/protocols
• tos XX - проверка на совпадения с полем TOS IP пакета
• port [s|d|b]num [s|d|b]num ... - описывает TCP или UDP трафик на указанные порты. список портов - числа или диапозоны, отделенные пробелом.
  если перед числом стоит буква s(ource) - совпадение происходит только если совпадает порт в поле SRC пакета, d(estination) - в DST пакета, отсутствие буквы или b(oth) - SRC или DST.
  Ограничение на число элементов (отдельных портов или диапозонов) в списке - 10. Диапозоны задаются с помощью двоеточия или тире.
  например: target proto tcp port 25 описывает весь SMTP (почтовый)трафик, target proto tcp port s80:82 s8080 примененная к клиентскому компьютеру (юниту), считает входящий веб-трафик.
  
• as [s|d|b]num [s|d|b]num ... - описывает трафик по указанным AS. список AS - числа или диапозоны, отделенные пробелом.
  если перед числом стоит буква s(ource) - совпадение происходит только если совпадает AS источника пакета, d(estination) - с номером AS получателя пакета, отсутствие буквы или b(oth) - SRC AS или DST AS.
  Ограничение на число элементов AS в списке - 10, диапазоны задаются с помощью двоеточия или тире.
  (Начиная с версии 3.3.0(2266))
• vlan N1 [ N2 ] ... совпадает, если пакеты были инкапсулированы с VLAN-тэгом N, применимо к data-source libpcap
• ds N1 [ N2 ] ... совпадает, если пакеты пришли от data-source номер N
• units oid XXXX трафик, при том что другая сторона (по IP заголовку) является NetUnit с индексом XXXX
  
• file YYYY совпадает, если другая сторона (по IP заголовку) совпадает с адресом из файла таблицы префиксов YYYY
  Файл префиксов содержит записи в следующих форматах:
  A.B.C.D /N или A.B.C.D /MASK или A.B.C.D/N или A.B.C.D/MASK
  где:
        A.B.C.D - адрес сети, например 10.1.1.0
        MASK - маска (255.255.255.0)
        N - количество единичных бит в сетевой маске, например 24 (255.255.255.0). Смотрите также подробное описание.
  
• addr addr ... - ip адреса участники соединения.
• ifindex [s|d|b]num [s|d|b]num ... - номера (индексы) интерфейсов в таблице роутинга. В настоящее время актуально только для netflow данных.
• ingress|egress - способ сбора netflow информации на роутере. В настоящее время актуально только для netflow v9 данных.
• policy-or [!]{NAME|OID} ... [!]{NAME|OID} - политика совпадет, если совпадет проверка ЛЮБОЙ из перечисленных политик. Флажок ! означает инвертирование проверки к которой он относится.
• policy-and [!]{NAME|OID} ... [!]{NAME|OID} - политика совпадет, если совпадет проверка ВСЕХ из перечисленных политик. Флажок ! означает инвертирование проверки к которой он относится.
• time timespec - совпадает, если пакет пришел в указанный временной интервал timespec. Это строка, содержащая диапазон времени в часах:минутах (24-часовая схема), при этом нулевые минуты можно пропускать:
  target time 9-18
  target time 00:40-21:30
• day dayspec - совпадает, если пакет пришел в день недели, указанный в dayspec. Это строка, содержащая трехбуквенное название дня недели, или диапазон дней:
  target day Mon-Fri
  target day Sun
  

default  { acct-policy | fw-policy } NAME|OID ... NAME|OID

restrict all {drop|pass} local {drop|pass}

auto-assign A.B.C.D E.F.G.H

auto-units N type {host|user} naming {by-dns| prefix1 PPP |prefix2 QQQ} 
	[group GROUPNAME]

• N - номер записи auto-units
• type host или type user - тип создаваемого юнита
• naming - как будет присваиваться имя:
        by-dns - имя будет определяться через DNS, который должен у вас быть уже настроен и обеспечивать обратное преобразование адресов
  Если имя не получено, то в качестве имени будет использоваться IP адрес.
        prefix1 PPP - будет взят последний октет адреса, и спереди перед ним поставлена строчка PPP
        prefix2 QQQ - будут взяты два последних октет адреса, и спереди перед ними поставлена строчка QQQ
• group GROUPNAME - в какую группу помещать созданный юнит (необязательно)(версии начиная с 17 марта 2004).
  

unit {host|group|cluster|net|user} 
	[oid OID] 
	name NAME 
	parameters 
	[parent GROUP]
	[no-local-pass]
	[email addr]
	[password passwd]
	[description "any describing words"]
	[mac "XX:XX:XX:XX:XX:XX"]
	[sys-XXXX]
	[bw { speed in speed out | speed } ]
	[nodefault] [ap-nodefault] [fp-nodefault]
	[acct-policy [!][%]p_name [p_name] ...]
	[fw-policy [!][%]p_name [p_name] ... ]
	[ds-list 1,2,3...]
	[auto-units X]

• Тип:
  host - хост, только один IP адрес
  group - группа (возможно пустая)
  cluster - хост с несколькими ip-адресами (кластер)
  net - подсеть, которая определяется сетевым адресом и маской
  user - аналог типа хост, используется для динамического задания ip адресов и привязке к пользователям
  
• oid OID - уникальный идентификатор сетевой единицы, создается автоматически
• name NAME - название объекта в виде строки (2-8 символов)
• parameters - специфические для данного типа объекта параметры:
  для хоста: ip A.B.C.D - адрес этого хоста
  для группы: нет
  для кластера: ip A.B.C.D [ip A.B.C.E [..]] - список адресов
  для подсети: ip A.B.C.D mask E.F.G.H - сетевой адрес и маска
  для пользователя: ip A.B.C.D - адрес с которого работает пользователь
  
• parent GROUP [GROUP1 [..]] - название родительских для данного объекта групп
• no-local-pass - при указании этого флага ip-пакет, совпавший с этим юнитом, не будет считаться локальным, к нему применится политика фильтрации restrict all, а не restrict local (полезно для подсетей)
• email addr - адрес электронной почты ответственного за этот юнит человека
• password passwd - пароль для данного юнита. Может использоваться как для авторизации (unit user), так и для просмотра статистики, если включен htaccess yes в сервисе html.
• description "any describing words" - описание юнита, может содержать пробелы и русские буквы (в кавычках).
• mac "XX:XX:XX:XX:XX:XX" - задает аппаратный Ethernet-адрес (MAC-адрес) юнита типа USER или HOST. Используется для проверки соответствия (mac-control ...) и RADIUS-авторизации.
• sys-{allow|deny}-XXX - т.н. "системная политика", возможные значения:
  sys-allow - разрешить все, те снять все запреты
  sys-deny - запретить все, остальные запреты тоже остаются
  sys-{deny|allow}-ACTION - запретить|разрешить действие ACTION(auth, block, login, money, quota, mac)
  возможна комбинация нескольких подобных политик.
  sys-deny-OID - запретить работу с юнитом OID вне зависимости от других ограничений
  sys-allow-OID - разрешить работу с юнитом OID вне зависимости от других ограничений
  
• bw { speed in speed out | speed } - позволяет ограничивать входящий и/или исходящий трафик для данного юнита по скорости. Параметр speed указывается в битах в секунду; можно применять множители K и M для указания килобит и мегабит. Если не указано направление in или out, подразумевается выставление одинакового лимита скорости на оба направления одновременно. Возможно также задать fw-политику ограничения скорости (см. выше). ВАЖНО! Чтобы ограничение скорости работало, необходимо пересобрать NeTAMS с включенной опцией HAVE_BW. Это делается так: make distclen && FLAGS=-DHAVE_BW make
  
• nodefault, ap-nodefault, fp-nodefault - отменяет, для данного юнита, политики по умолчанию (все, acct-policy или fw-policy, соответственно)
  
• acct-policy [!][%]p_name - разделенный пробелами список политик учета трафика для данного объекта
  ! - Если вы ставите восклицательный знак перед именем политики (без пробела), например !all-icmp, то совпадение/несовпадение данной политики применительно к пакету будет ИНВЕРТИРОВАНО, т.е. в данном случае будет учитываться ВЕСЬ НЕ-ICMP трафик.
  % - Если вы ставите знак процента при указании политики acct-policy, это значит , что при совпадении данной политики для пакета, дальнейший просмотр списка политик прекращается и подсчет заканчивается.
• fw-policy [!][%]p_name - разделенный пробелами список политик фильтрации трафика для данного объекта
  Для версий netams 3.1.xx, 3.2.xx и 3.3.xx до build 2117:
  ! - Если вы ставите восклицательный знак перед именем политики (без пробела), например !all-icmp, то совпадение/несовпадение данной политики применительно к пакету будет ИНВЕРТИРОВАНО, т.е. в данном случае будет пропускаться ВЕСЬ НЕ-ICMP трафик.
  % - Если вы ставите знак процента при указании политики fw-policy, это значит что при совпадении данной политики для пакета дальнейший просмотр списка политик прекращается, и вердикт пропускать/не пропускать пакет будет сделан сразу же.
  Для версий netams 3.3.xx после build 2117, в частности 3.3.0-release и далее:
  Перечисляются политики, трафик которых нужно пропускать. Все остальное будет заблокировано. Можно также указать политику ограничения скорости (которая имеет target... bw XX). Флаги [!][%] сохраняют свое действие, но их применение не имеет особого смысла.
  Подробнее про "направление действия" смотрите этот документ.
  
• ds-list no,[no,no,...] - список источников данных, которые будут связаны с этим сетевым объектом
• auto-units X - номер записи auto-units в сервисе processor, согласно которой будут автоматически создаваться учетные записи для новых хостов в сети. Этот параметр применяется только к юниту типа net. Подробнее об этой функции можно прочитать здесь.

access-script path

#!/usr/bin/perl -w
print shift, " ", shift, " ", shift, " ", shift, "\n";