Gruppi di VLAN basati sull'indirizzo MAC sugli switch Sx350 o Sx550 con CLI

Introduzione

Una LAN virtuale o VLAN (Virtual Local Area Network) consente di segmentare logicamente una LAN (Local Area Network) in più domini di broadcast. Quando sulla rete vengono trasmessi anche dati sensibili, la creazione di VLAN offre una maggiore sicurezza e il traffico viene quindi indirizzato a VLAN specifiche. Solo gli utenti che appartengono alla VLAN possono accedere e modificare i dati trasmessi su tale rete. L'uso delle VLAN inoltre può migliorare le prestazioni in quanto riduce la necessità di inviare pacchetti broadcast e multicast a destinazioni non necessarie.

Nota: per informazioni su come configurare le VLAN sullo switch con l'utility basata sul Web, fare clic qui. Per le istruzioni basate sulla CLI, fare clic qui.

I dispositivi di rete su cui sono in esecuzione più protocolli non possono essere raggruppati in una VLAN comune. I dispositivi non standard vengono usati per trasmettere il traffico tra VLAN diverse in modo da includere i dispositivi che partecipano a un protocollo specifico. Per questo motivo, non è possibile sfruttare le numerose funzionalità della VLAN.

I gruppi VLAN vengono usati per bilanciare il carico del traffico su una rete di layer 2. I pacchetti vengono distribuiti in base a classificazioni diverse e assegnati alle VLAN. Esistono molte classificazioni diverse e se è definito più di uno schema di classificazione, i pacchetti vengono assegnati alla VLAN nell'ordine seguente:

• Tag: il numero VLAN viene riconosciuto dal tag.
• VLAN basata su MAC: la VLAN viene riconosciuta dalla mappatura da MAC (Media Access Control) a VLAN dell'interfaccia in entrata.
• VLAN basata su subnet: la VLAN viene riconosciuta dal mapping tra subnet e VLAN di origine dell'interfaccia in entrata.
• VLAN basata sul protocollo: la VLAN è riconosciuta dalla mappatura Ethernet di tipo protocollo-VLAN dell'interfaccia in entrata.
• PVID: la VLAN è riconosciuta dall'ID VLAN predefinito della porta.

Per configurare i gruppi di VLAN sullo switch, attenersi alle seguenti linee guida:

1. Creare le VLAN. per informazioni su come configurare le VLAN sullo switch con l'utility basata sul Web, fare clic qui. Per le istruzioni basate sulla CLI, fare clic qui.

2. Configurare le interfacce sulle VLAN. Per istruzioni su come assegnare le interfacce alle VLAN con l'utility basata sul Web dello switch, fare clic qui. Per le istruzioni basate sulla CLI, fare clic qui.

Nota: Se l'interfaccia non appartiene alla VLAN, l'impostazione di configurazione dei gruppi basati sull'indirizzo MAC sulla VLAN non avrà effetto.

3. Configurare i gruppi di VLAN basati sull'indirizzo MAC sullo switch. Per istruzioni su come configurare i gruppi di VLAN basati sull'indirizzo MAC con l'utility basata sul Web dello switch, fare clic qui.

4. (Facoltativo) È inoltre possibile configurare i seguenti elementi:

• Gruppi di VLAN basati sulla subnet: per istruzioni su come configurare i gruppi di VLAN basati sulla subnet con l'utility basata sul Web dello switch, fare clic qui. Per le istruzioni basate sulla CLI, fare clic qui.
• Gruppi di VLAN basati sul protocollo: per istruzioni su come configurare i gruppi di VLAN basati sul protocollo con l'utility basata sul Web dello switch, fare clic qui. Per le istruzioni basate sulla CLI, fare clic qui.

Obiettivo

La classificazione della VLAN basata sull'indirizzo MAC permette di classificare i pacchetti in base all'indirizzo MAC di origine. È quindi possibile definire il mapping da MAC a VLAN per interfaccia. È inoltre possibile definire diversi gruppi di VLAN basati sull'indirizzo MAC, ciascuno dei quali contiene indirizzi MAC diversi. Questi gruppi basati su MAC possono essere assegnati a porte o LAG specifici. I gruppi di VLAN basati sull'indirizzo MAC non possono contenere intervalli di indirizzi MAC sovrapposti sulla stessa porta.

L'inoltro dei pacchetti basati sugli indirizzi MAC dei dispositivi richiede la configurazione di gruppi di indirizzi MAC e la successiva mappatura di tali gruppi sulle VLAN. È possibile configurare fino a 256 indirizzi MAC, host o intervalli, da mappare a uno o più gruppi di VLAN basati sull'indirizzo MAC.

Questo articolo fornisce istruzioni su come configurare i gruppi basati sull'indirizzo MAC su uno switch dalla CLI.

Dispositivi interessati

• Serie Sx350
• Serie SG350X
• Serie Sx500
• Serie Sx550X

Versione del software

• 1.4.7.06 Sx500
• 2.2.8.04 - Sx350, SG350X, Sx550X

Configurazione dei gruppi di VLAN basati sull'indirizzo MAC sullo switch dalla CLI

Crea gruppo VLAN basato su MAC

Passaggio 1. Accedere alla console dello switch. Il nome utente e la password predefiniti sono cisco/cisco. Se sono stati configurati un nuovo nome utente o password, immettere queste credenziali.

Nota: i comandi possono variare a seconda del modello di switch in uso. Nell'esempio, è possibile accedere allo switch SG350X in modalità Telnet.

Passaggio 2. In modalità di esecuzione privilegiata dello switch, accedere alla modalità di configurazione globale immettendo quanto segue:

SG350X#configure

Passaggio 3. In modalità di configurazione globale, configurare una regola di classificazione basata su MAC immettendo quanto segue:

SG350X(config)#vlan database

Passaggio 4. Per mappare un indirizzo MAC o un intervallo di indirizzi MAC a un gruppo di indirizzi MAC, immettere quanto segue:

SG350X(config-vlan)#map mac [mac-address] [prefix-mask | host] macs-group [group-id]

Le opzioni sono:

• mac-address: specifica l'indirizzo MAC da mappare al gruppo VLAN. Questo indirizzo MAC non può essere assegnato ad altri gruppi VLAN.
• prefix-mask: specifica il prefisso dell'indirizzo MAC. Viene analizzata solo una sezione dell'indirizzo MAC (da sinistra a destra) e quindi inserita in un gruppo. Più basso è il numero di lunghezza, minore sarà il numero di bit da esaminare. È quindi possibile assegnare contemporaneamente un numero elevato di indirizzi MAC a un gruppo VLAN.
• host - Specifica l'host di origine dell'indirizzo MAC. L'intero indirizzo MAC a 48 bit viene esaminato e inserito in un gruppo.
• group-id: specifica il numero di gruppo da creare. L'ID gruppo può variare da uno a 2147483647.

Nota: Nell'esempio, vengono creati i gruppi di VLAN 1 e 2 basati sull'indirizzo MAC. Il gruppo 1 filtra l'indirizzo MAC completo 0a:1b:2c:4d:5e:6f, mentre il gruppo 2 filtra i primi 32 bit dell'indirizzo MAC 00:11:00:22:00:00.

Passaggio 5. Per uscire dal contesto di configurazione interfaccia, immettere quanto segue:

SG350X(config-vlan)#exit

A questo punto, i gruppi di VLAN basati sull'indirizzo MAC sono configurati sullo switch dalla CLI.

Mappare un gruppo di VLAN basato su MAC alla VLAN

Passaggio 1. In modalità di configurazione globale, accedere al contesto di configurazione interfaccia immettendo quanto segue:

SG350X#Interface [interface-id | range interface-range]

Le opzioni sono:

• interface-id: specifica un ID di interfaccia da configurare.
• range interface-range: per specificare un elenco di VLAN. Per separare le VLAN non consecutive, non usare spazi ma virgole. Per definire un intervallo di VLAN, usare un trattino.

Nota: nell'esempio viene usata l'interfaccia ge1/0/12.

Passaggio 2. Nel contesto di configurazione interfaccia, usare il comando switchport mode per configurare la modalità appartenenza della VLAN:

SG350X(config-if)#switchport mode general

• generale — L'interfaccia può supportare tutte le funzioni definite nella specifica IEEE 802.1q. L'interfaccia può essere un membro con o senza tag di una o più VLAN.

Passaggio 3. (Facoltativo) Per riassegnare la porta alla VLAN predefinita, immettere quanto segue:

SG350X(config-if)#no switchport mode general

Passaggio 4. Per configurare una regola di classificazione basata su MAC, immettere quanto segue:

SG350X(config-if)#switchport general map macs-group [group] vlan [vlan-id]

Le opzioni sono:

• group - specifica l'ID gruppo basato su MAC per filtrare il traffico attraverso la porta. L'intervallo è compreso tra 1 e 2147483647.
• vlan-id: per specificare l'ID VLAN a cui inoltrare il traffico proveniente dal gruppo VLAN. L'intervallo è compreso tra 1 e 4094.

Nota: Nell'esempio, l'interfaccia è assegnata al gruppo 1 basato su MAC mappato sulla VLAN 20.

Passaggio 5. Per uscire dal contesto di configurazione interfaccia, immettere quanto segue:

SG350X(config-if)#exit

Passaggio 6. (Facoltativo) Per rimuovere la regola di classificazione dalla porta o dall'intervallo di porte, immettere quanto segue:

SG350X(config-if)#no switchport general map mac-groups group

Passaggio 7. (Facoltativo) Ripetere i passaggi da 1 a 6 per configurare le porte più generali e assegnarle ai gruppi di VLAN basati sull'indirizzo MAC corrispondenti.

Nota: nell'esempio, le interfacce che vanno da ge1/0/13 a 20 sono assegnate al gruppo 2 basato su MAC e alla VLAN 30.

Passaggio 8. Per tornare in modalità di esecuzione privilegiata, immettere il comando end:

SG350X(config-if-range)#end

A questo punto, è necessario mappare i gruppi di VLAN basati sull'indirizzo MAC alle VLAN sullo switch dalla CLI.

Mostra gruppi di VLAN basati sull'indirizzo MAC

Passaggio 1. Per visualizzare gli indirizzi MAC che appartengono alle regole di classificazione basate su MAC definite, immettere quanto segue in modalità di esecuzione privilegiata:

SG350X#show vlan macs-groups

Passaggio 2. (Facoltativo) Per visualizzare le regole di classificazione di una porta specifica sulla VLAN, immettere quanto segue:

SG350X#show interfaces switchport [interface-id]

• interface-id: specifica un ID di interfaccia.

Nota: Ogni modalità porta ha la propria configurazione privata. Il comando show interfaces switchport visualizza tutte queste configurazioni, ma è attiva solo la configurazione della porta corrispondente alla modalità porta corrente visualizzata nell'area Modalità amministrativa.

Nota: nell'esempio vengono visualizzati gli stati amministrativo e operativo dell'interfaccia ge1/0/13. La tabella Regole di classificazione mostra che l'interfaccia è stata mappata a un gruppo VLAN 2 basato su MAC e il relativo traffico verrà inoltrato alla VLAN 30.

Passaggio 3. (Facoltativo) In modalità di esecuzione privilegiata dello switch, salvare le impostazioni configurate nel file della configurazione di avvio, immettendo quanto segue:

SG350X#copy running-config startup-config

Passaggio 4. (Facoltativo) Premere Y per Sì o N per No sulla tastiera quando compare il prompt Overwrite file [startup-config]… (Sovrascrivi file [startup-config]).

A questo punto, le impostazioni di configurazione della porta e del gruppo di VLAN basati sull'indirizzo MAC sono visualizzate sullo switch.

Importante: per continuare a configurare le impostazioni dei gruppi di VLAN sullo switch, attenersi alle linee guida menzionate sopra.