المحتويات

المقدمة

المشكلة

الحل

المقدمة

يصف هذا المستند سلوك قائمة التحكم في الوصول إلى MAC (قائمة التحكم في الوصول إلى MAC) على حركة مرور البيانات غير الخاصة ب IP على محولات Catalyst 4500 Series. يمكن إستخدام قائمة التحكم في الوصول (ACL) إلى MAC لتصفية حركة المرور غير الخاصة ب IP على شبكة VLAN وعلى منفذ الطبقة المادية 2 (L2).

لمزيد من المعلومات حول البروتوكولات غير IP المدعومة في الأمر MAC access-list extended، ارجع إلى Catalyst 4500 Series Switch Cisco IOS® Command Reference.

المشكلة

افترض هذا التكوين:

mac access-list extended udld

deny any host 0100.0ccc.cccc

permit any any

!

interface GigabitEthernet2/4

switchport mode trunk

udld port aggressive

mac access-group udld in

!

ملاحظة: لا ترفض قائمة التحكم في الوصول هذه حركة مرور مستوى التحكم L2 مثل إطارات CDP/UDLD/VTP/PAgP مع غاية MAC = 0100.0ccc.cccc التي تأتي واردة في واجهة GigabitEthernet2/4.

في محولات Catalyst 4500 switches، هناك قائمة تحكم في الوصول (ACL) مدمجة تم إنشاؤها بواسطة النظام تقوم بلكم حركة مرور مستوى التحكم من L2 إلى وحدة المعالجة المركزية (CPU) والتي تكون لها الأولوية على قائمة التحكم في الوصول (ACL) المعرفة من قبل المستخدم، لتصنيف حركة المرور هذه. وبالتالي، لا تحقق قائمة التحكم في الوصول (ACL) المعرفة من قبل المستخدم هذا الغرض. هذا السلوك خاص لمادة حفازة 4500 منصة، آخر منصة قد يكون له سلوك مختلف.

الحل

يمكن إستخدام هذه الطريقة لإسقاط حركة المرور في منفذ الدخول أو في وحدة المعالجة المركزية، إذا كانت هناك حاجة إلى القيام بذلك.

تحذير: الغرض من الخطوات هنا هو إسقاط جميع الإطارات التي تحتوي على MAC الوجهة = 0100.0ccc.cccc التي تأتي على واجهة معينة. يستعمل هذا {upper}mac address ب UDLD/DTP/VTP/PagP تحكم مستوى معطيات وحدة (PDUs).

إذا كان الهدف هو تنظيم حركة المرور هذه وعدم إسقاطها كلها، فإن تنظيم مستوى التحكم هو الحل المفضل. أحلت يشكل تحكم مستوى تنظيم على مادة حفازة 4500

الخطوة 1. تمكين جودة الخدمة (QoS) لحزمة التحكم ل CDP-VTP:

Catalyst4500(config)#qos control-packets cdp-vtp

تقوم هذه الخطوة بإنشاء قائمة تحكم في الوصول (ACL) تم إنشاؤها بواسطة النظام:

Catalyst4500#show run | begin system-control

mac access-list extended system-control-packet-cdp-vtp

permit any host 0100.0ccc.cccc

ملاحظة: يمكن أيضا إستخدام قائمة تحكم في الوصول (ACL) إلى MAC معرفة من قبل المستخدم (كما هو موضح هنا) بدلا من قائمة التحكم في الوصول (ACL) المعرفة من قبل النظام كما تم إنشاؤها سابقا. يمكنك إستخدام قائمة التحكم في الوصول (ACL) التي تم إنشاؤها بواسطة النظام أو والمحددة من قبل المستخدم لحفظ موارد الذاكرة القابلة للتوجيه (TCAM) للمحتوى الثالث.

mac access-list extended udld

permit any host 0100.0ccc.cccc

الخطوة 2. قم بإنشاء خريطة فئة لمطابقة حركة المرور التي تصل إلى قائمة التحكم في الوصول (ACL) هذه:

Catalyst4500(config)#class-map cdp-vtp

Catalyst4500(config-cmap)#match access-group name system-control-packet-cdp-vtp

Catalyst4500(config-cmap)#end

Catalyst4500#

الخطوة 3. قم بإنشاء خريطة سياسة وحركة مرور شرطة تطابق فئة الخطوة 2 مع إجراء مطابقة = إسقاط وتجاوز الإجراء = إسقاط:

Catalyst4500(config)#policy-map cdp-vtp-policy

Catalyst4500(config-pmap)#class cdp-vtp

Catalyst4500(config-pmap-c)#police 32000 conform-action drop exceed-action drop

Catalyst4500(config-pmap-c-police)#end

Catalyst4500#

الخطوة 4. تطبيق خريطة السياسة الواردة على منفذ L2 حيث يلزم إسقاط حركة المرور هذه:

Catalyst4500(config)#int gigabitEthernet 2/4

Catalyst4500(config-if)#service-policy input cdp-vtp-policy

Catalyst4500(config-if)#end

!

interface GigabitEthernet2/4

switchport mode trunk

udld port aggressive

service-policy input cdp-vtp-policy

end

يمكن إستخدام قوائم التحكم في الوصول (ACL) المماثلة التي تم إنشاؤها بواسطة النظام لإطارات التحكم الأخرى من المستوى الثاني في حالة الحاجة إلى تنظيمها أو إسقاطها. ارجع إلى جودة خدمة حزمة التحكم من الطبقة 2 للحصول على تفاصيل وكما هو موضح في الصورة.

Catalyst4500(config)#qos control-packets ?

bpdu-range       Enable QoS on BPDU-range packets

cdp-vtp          Enable QoS on CDP and VTP packets

eapol            Enable QoS on EAPOL packets

lldp             Enable QoS on LLDP packets

protocol-tunnel  Enable QoS on protocol tunneled packets

sstp             Enable QoS on SSTP packets

<cr>