أستخدم قائمة التحكم بالوصول الخاصة بالتحكم في الوصول للطبقة 2 لإطارات التحكم على محولات Catalyst 4500 Series Switches

المقدمة

يصف هذا المستند سلوك قائمة التحكم في الوصول إلى MAC (قائمة التحكم في الوصول إلى MAC) على حركة مرور البيانات غير الخاصة ب IP على محولات Catalyst 4500 Series. يمكن إستخدام قائمة التحكم في الوصول (ACL) إلى MAC لتصفية حركة المرور غير الخاصة ب IP على شبكة VLAN وعلى منفذ الطبقة المادية 2 (L2).

لمزيد من المعلومات حول البروتوكولات غير IP المدعومة في الأمر MAC access-list extended، ارجع إلى Catalyst 4500 Series Switch Cisco IOS® Command Reference.

المشكلة

افترض هذا التكوين:

mac access-list extended udld
 deny any host 0100.0ccc.cccc
 permit any any
!
interface GigabitEthernet2/4
 switchport mode trunk
 udld port aggressive
 mac access-group udld in
!

ملاحظة: لا ترفض قائمة التحكم في الوصول هذه حركة مرور مستوى التحكم L2 مثل إطارات CDP/UDLD/VTP/PAgP مع غاية MAC = 0100.0ccc.cccc التي تأتي واردة في واجهة GigabitEthernet2/4.

في محولات Catalyst 4500 switches، هناك قائمة تحكم في الوصول (ACL) مدمجة تم إنشاؤها بواسطة النظام تقوم بلكم حركة مرور مستوى التحكم من L2 إلى وحدة المعالجة المركزية (CPU) والتي تكون لها الأولوية على قائمة التحكم في الوصول (ACL) المعرفة من قبل المستخدم، لتصنيف حركة المرور هذه. وبالتالي، لا تحقق قائمة التحكم في الوصول (ACL) المعرفة من قبل المستخدم هذا الغرض. هذا السلوك خاص لمادة حفازة 4500 منصة، آخر منصة قد يكون له سلوك مختلف.

الحل

يمكن إستخدام هذه الطريقة لإسقاط حركة المرور في منفذ الدخول أو في وحدة المعالجة المركزية، إذا كانت هناك حاجة إلى القيام بذلك.

تحذير: الغرض من الخطوات هنا هو إسقاط جميع الإطارات التي تحتوي على MAC الوجهة = 0100.0ccc.cccc التي تأتي على واجهة معينة. يستعمل هذا {upper}mac address ب UDLD/DTP/VTP/PagP تحكم مستوى معطيات وحدة (PDUs).

إذا كان الهدف هو تنظيم حركة المرور هذه وعدم إسقاطها كلها، فإن تنظيم مستوى التحكم هو الحل المفضل. أحلت يشكل تحكم مستوى تنظيم على مادة حفازة 4500

الخطوة 1. تمكين جودة الخدمة (QoS) لحزمة التحكم ل CDP-VTP:

Catalyst4500(config)#qos control-packets cdp-vtp 

تقوم هذه الخطوة بإنشاء قائمة تحكم في الوصول (ACL) تم إنشاؤها بواسطة النظام:

Catalyst4500#show run | begin system-control

mac access-list extended system-control-packet-cdp-vtp
 permit any host 0100.0ccc.cccc

ملاحظة: يمكن أيضا إستخدام قائمة تحكم في الوصول (ACL) إلى MAC معرفة من قبل المستخدم (كما هو موضح هنا) بدلا من قائمة التحكم في الوصول (ACL) المعرفة من قبل النظام كما تم إنشاؤها سابقا. يمكنك إستخدام قائمة التحكم في الوصول (ACL) التي تم إنشاؤها بواسطة النظام أو والمحددة من قبل المستخدم لحفظ موارد الذاكرة القابلة للتوجيه (TCAM) للمحتوى الثالث.

mac access-list extended udld
 permit any host 0100.0ccc.cccc 

الخطوة 2. قم بإنشاء خريطة فئة لمطابقة حركة المرور التي تصل إلى قائمة التحكم في الوصول (ACL) هذه:

Catalyst4500(config)#class-map cdp-vtp
Catalyst4500(config-cmap)#match access-group name system-control-packet-cdp-vtp        
Catalyst4500(config-cmap)#end
Catalyst4500#

الخطوة 3. قم بإنشاء خريطة سياسة وحركة مرور شرطة تطابق فئة الخطوة 2 مع إجراء مطابقة = إسقاط وتجاوز الإجراء = إسقاط:

Catalyst4500(config)#policy-map cdp-vtp-policy    
Catalyst4500(config-pmap)#class cdp-vtp
Catalyst4500(config-pmap-c)#police 32000 conform-action drop exceed-action drop        
Catalyst4500(config-pmap-c-police)#end
Catalyst4500#

الخطوة 4. تطبيق خريطة السياسة الواردة على منفذ L2 حيث يلزم إسقاط حركة المرور هذه:

Catalyst4500(config)#int gigabitEthernet 2/4
Catalyst4500(config-if)#service-policy input cdp-vtp-policy    
Catalyst4500(config-if)#end

!
interface GigabitEthernet2/4
 switchport mode trunk
 udld port aggressive
 service-policy input cdp-vtp-policy
end

يمكن إستخدام قوائم التحكم في الوصول (ACL) المماثلة التي تم إنشاؤها بواسطة النظام لإطارات التحكم الأخرى من المستوى الثاني في حالة الحاجة إلى تنظيمها أو إسقاطها. ارجع إلى جودة خدمة حزمة التحكم من الطبقة 2 للحصول على تفاصيل وكما هو موضح في الصورة.

Catalyst4500(config)#qos control-packets ?
  bpdu-range       Enable QoS on BPDU-range packets
  cdp-vtp          Enable QoS on CDP and VTP packets
  eapol            Enable QoS on EAPOL packets
  lldp             Enable QoS on LLDP packets
  protocol-tunnel  Enable QoS on protocol tunneled packets
  sstp             Enable QoS on SSTP packets
  <cr>