Este documento proporciona configuraciones de ejemplo para las técnicas de switching de link de datos más (DLSw+) Service Access Point (SAP) y filtrado de MAC.
El filtrado se puede utilizar para mejorar la escalabilidad de una red DLSw+. Por ejemplo, puede utilizar el filtrado para:
Reduzca el tráfico a través de un enlace WAN (especialmente importante en enlaces de muy baja velocidad y en entornos con NetBIOS).
Mejore la seguridad de una red controlando el acceso a determinados dispositivos.
Mejore el rendimiento de la CPU y la escalabilidad de los routers DLSw+ del Data Center.
DLSw+ ofrece varias opciones que se pueden utilizar para realizar el filtrado. El filtrado se puede realizar en direcciones MAC, nombres SAP o NetBIOS.
No hay requisitos específicos para este documento.
Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.
For more information on document conventions, refer to the Cisco Technical Tips Conventions.
En esta sección encontrará la información para configurar las funciones descritas en este documento.
Nota: Para encontrar información adicional sobre los comandos usados en este documento, utilice la Command Lookup Tool (sólo clientes registrados) .
Con la topología de red descrita en la sección Diagrama de red, el requisito es detener todo el tráfico NetBIOS en ubicaciones remotas para que no llegue al router central (Sao Paulo). DLSw+ ofrece varias opciones para realizar esta tarea, que se analizan en las secciones siguientes.
Nota: El tráfico NetBIOS utiliza valores SAP 0xF0 (para los comandos) y 0xF1 (para las respuestas). Normalmente, los administradores de red utilizan los valores SAP mencionados anteriormente para filtrar (aceptar o denegar) este protocolo.
Nota: Los clientes NetBIOS utilizan la dirección MAC funcional NetBIOS (C000.0000.0080) como MAC de destino (DMAC) en sus paquetes de consulta de nombre NetBIOS. Como se mencionó anteriormente, todas las tramas tienen valores SAP de 0xF0 o 0xF1.
Para esta prueba, el CCSpcC PC está configurado para conectarse a la dirección MAC del FEP mediante SAP 0xF0. En realidad, este tráfico se ve igual que NetBIOS, al menos desde una perspectiva SAP. Por lo tanto, puede observar las depuraciones correspondientes en el router DLSw+ cuando llega este tráfico.
Esta sección utiliza la configuración de red que se muestra en este diagrama.
En el diagrama de red, se representa un router del Data Center (Sao Paulo) con una conexión al mainframe. Este router recibe varias conexiones de peer DLSw+ de todas las sucursales remotas. Cada sucursal remota tiene clientes de arquitectura de red de sistemas (SNA) y NetBIOS. No hay servidores NetBIOS en el Data Center a los que se deba acceder desde las oficinas remotas.
Por simplicidad, se muestran los detalles de configuración de una sola oficina remota (Caracas). El diagrama de red también muestra el valor de la dirección MAC del procesador frontal (FEP) y del PC remoto denominado CCSpcC. Las direcciones MAC se muestran en formato canónico (Ethernet) y no canónico (Token Ring).
Con este método, todas las oficinas remotas deben configurarse con la opción lsap-output-list. No se requieren otros cambios de configuración en el router central.
La lista de resultados lsap se enlaza a una lista de acceso SAP (SAP ACL) que actualmente solo permite que los SAP SNA (por ejemplo, 0x00, 0x04, 0x08, etc.) vayan hacia el router central y niegue todo lo demás. Refiérase a Comprensión de las Listas de Control de Acceso de Punto de Acceso de Servicio para obtener más información sobre cómo realizar el filtrado basado en SAP.
CARACAS | SAO PAULO |
---|---|
Current configuration: ! hostname CARACAS ! dlsw local-peer peer-id 1.1.1.2 dlsw remote-peer 0 tcp 1.1.1.1 lsap-output-list 200 dlsw bridge-group 1 ! interface Ethernet0/0 no ip directed-broadcast bridge-group 1 ! interface Serial0/1 ip address 1.1.1.2 255.255.255.0 no ip directed-broadcast ! access-list 200 permit 0x0000 0x0D0D access-list 200 deny 0x0000 0xFFFF ! bridge 1 protocol ieee ! end |
Current configuration: ! hostname SAOPAULO ! source-bridge ring-group 3 dlsw local-peer peer-id 1.1.1.1 dlsw remote-peer 0 tcp 1.1.1.2 ! interface TokenRing0/0 no ip directed-broadcast ring-speed 16 source-bridge 10 1 3 source-bridge spanning ! interface Serial1/0 ip address 1.1.1.1 255.255.255.0 no ip directed-broadcast no ip mroute-cache clockrate 32000 ! end |
El comando debug dlsw se utiliza para ver cómo reacciona el router de Caracas cuando recibe el tráfico NetBIOS.
CARACAS#debug dlsw DLSw reachability debugging is on at event level for all protocol traffic DLSw peer debugging is on DLSw local circuit debugging is on DLSw core message debugging is on DLSw core state debugging is on DLSw core flow control debugging is on DLSw core xid debugging is on
Si el router de oficina remota (Caracas) no tiene información de disponibilidad para 4000.3745.0000, y obtiene un explorador que busca esa dirección MAC usando algunos de los SAP "prohibidos", la solicitud se bloquea.
CARACAS# *Mar 1 01:02:16.387: DLSW Received-ctlQ : CLSI Msg : TEST_STN.Ind dlen: 40 *Mar 1 01:02:16.387: CSM: Received CLSI Msg : TEST_STN.Ind dlen: 40 from DLSw Port0 *Mar 1 01:02:16.387: CSM: smac 0000.8888.0000, dmac 4000.3745.0000, ssap F0, dsap 0 *Mar 1 01:02:16.387: DLSw: dsap(0) ssap(F0) filtered to peer 1.1.1.1(2065) *Mar 1 01:02:16.387: DLSw: frame output access list filtered to peer 1.1.1.1(2065) *Mar 1 01:02:16.387: CSM: Write to peer 1.1.1.1(2065) not ok - PEER_FILTERED
Consideremos el caso en el que el router de oficina remota (Caracas) tiene información de disponibilidad para 4000.3745.0000. Por ejemplo, otra estación (que utiliza los SAP permitidos) ya solicitó la dirección MAC de FEP. En esta situación, el PC "infractor" (CCSpcC) envía su XID NULO, pero el router lo detiene.
CARACAS# *Mar 1 01:03:24.439: DLSW Received-ctlQ : CLSI Msg : ID_STN.Ind dlen: 46 *Mar 1 01:03:24.439: CSM: Received CLSI Msg : ID_STN.Ind dlen: 46 from DLSw Port0 *Mar 1 01:03:24.443: CSM: smac 0000.8888.0000, dmac 4000.3745.0000, ssap F0, dsap F0 *Mar 1 01:03:24.443: DLSw: new_ckt_from_clsi(): DLSw Port0 0000.8888.0000:F0->4000.3745.0000:F0 *Mar 1 01:03:24.443: DLSw: START-TPFSM (peer 1.1.1.1(2065)): event:CORE-ADD CIRCUIT state:CONNECT *Mar 1 01:03:24.443: DLSw: dtp_action_u(), peer add circuit for peer 1.1.1.1(2065) *Mar 1 01:03:24.443: DLSw: END-TPFSM (peer 1.1.1.1(2065)): state:CONNECT->CONNECT *Mar 1 01:03:24.443: DLSw: START-FSM (872415295): event:DLC-Id state:DISCONNECTED *Mar 1 01:03:24.443: DLSw: core: dlsw_action_a() *Mar 1 01:03:24.447: DISP Sent : CLSI Msg : REQ_OPNSTN.Req dlen: 116 *Mar 1 01:03:24.447: DLSw: END-FSM (872415295): state:DISCONNECTED->LOCAL_RESOLVE *Mar 1 01:03:24.447: DLSW Received-ctlQ : CLSI Msg : REQ_OPNSTN.Cfm CLS_OK dlen: 116 *Mar 1 01:03:24.447: DLSw: START-FSM (872415295): event:DLC-ReqOpnStn.Cnf state:LOCAL_RESOLVE *Mar 1 01:03:24.447: DLSw: core: dlsw_action_b() *Mar 1 01:03:24.447: CORE: Setting lf : bits 8 : size 1500 *Mar 1 01:03:24.451: DLSw: dsap(F0) ssap(F0) filtered to peer 1.1.1.1(2065) *Mar 1 01:03:24.451: DLSw: frame output access list filtered to peer 1.1.1.1(2065) *Mar 1 01:03:24.451: DLSw: peer 1.1.1.1(2065) unreachable - reason code 1 *Mar 1 01:03:24.451: DLSw: END-FSM (872415295): state:LOCAL_RESOLVE->CKT_START
El uso del comando dlsw icanottreach saps le permite filtrar los protocolos que sabe que no se pueden enviar a través de. Si sólo sabe lo que se debe denegar explícitamente, utilice el comando dlsw icanottreach saps en los routers centrales, como se muestra en estas configuraciones.
CARACAS | SAO PAULO |
---|---|
Current configuration: ! hostname CARACAS ! dlsw local-peer peer-id 1.1.1.2 dlsw remote-peer 0 tcp 1.1.1.1 dlsw bridge-group 1 ! interface Ethernet0/0 no ip directed-broadcast bridge-group 1 ! interface Serial0/1 ip address 1.1.1.2 255.255.255.0 no ip directed-broadcast ! bridge 1 protocol ieee ! end |
Current configuration: ! hostname SAOPAULO ! source-bridge ring-group 3 dlsw local-peer peer-id 1.1.1.1 dlsw remote-peer 0 tcp 1.1.1.2 dlsw icannotreach sap F0 ! interface TokenRing0/0 no ip directed-broadcast ring-speed 16 source-bridge 10 1 3 source-bridge spanning ! interface Serial1/0 ip address 1.1.1.1 255.255.255.0 no ip directed-broadcast no ip mroute-cache clockrate 32000 ! end |
Puede configurar el router central (incluya el comando dlsw icanottreach saps) sobre la marcha, incluso cuando los peers remotos ya estén activos. Esta salida muestra la depuración en uno de los routers remotos, que indica la recepción del mensaje CapExId. Este mensaje indica a las oficinas remotas que no envíen tramas con SAP 0xF0/F1 hacia el router central.
CARACAS#debug dlsw peers DLSw peer debugging is on *Mar 1 18:30:30.388: DLSw: START-TPFSM (peer 1.1.1.1(2065)): event:SSP-CAP MSG RCVD state:CONNECT *Mar 1 18:30:30.388: DLSw: dtp_action_p() runtime cap rcvd for peer 1.1.1.1(2065) *Mar 1 18:30:30.392: DLSw: Recv CapExId Msg from peer 1.1.1.1(2065) *Mar 1 18:30:30.392: DLSw: received fhpr capex from peer 1.1.1.1(2065): support: false, fst-prio: false *Mar 1 18:30:30.392: DLSw: Pos CapExResp sent to peer 1.1.1.1(2065) *Mar 1 18:30:30.392: DLSw: END-TPFSM (peer 1.1.1.1(2065)): state:CONNECT->CONNECT
Después de recibir el mensaje CapExId, el router de Caracas se entera de que Sao Paulo no soporta SAP 0xF0.
CARACAS#show dlsw capabilities DLSw: Capabilities for peer 1.1.1.1(2065) vendor id (OUI) : '00C' (cisco) version number : 2 release number : 0 init pacing window : 20 unsupported saps : F0 num of tcp sessions : 1 loop prevent support : no icanreach mac-exclusive : no icanreach netbios-excl. : no reachable mac addresses : none reachable netbios names : none V2 multicast capable : yes DLSw multicast address : none cisco version number : 1 peer group number : 0 peer cluster support : no border peer capable : no peer cost : 3 biu-segment configured : no UDP Unicast support : yes Fast-switched HPR supp : no NetBIOS Namecache length : 15 local-ack configured : yes priority configured : no cisco RSVP support : no configured ip address : 1.1.1.1 peer type : conf version string : Cisco Internetwork Operating System Software IOS (tm) C2600 Software (C2600-JK2O3S-M), Version 12.0(7)T, RELEASE SOFTWARE (fc2) Copyright (c) 1986-1999 by cisco Systems, Inc.
El resultado del comando show que se muestra aquí, tomado en el router central, muestra el cambio de configuración donde no se soporta SAP 0xF0.
SAOPAULO#show dlsw capabilities local DLSw: Capabilities for local peer 1.1.1.1 vendor id (OUI) : '00C' (cisco) version number : 2 release number : 0 init pacing window : 20 unsupported saps : F0 num of tcp sessions : 1 loop prevent support : no icanreach mac-exclusive : no icanreach netbios-excl. : no reachable mac addresses : none reachable netbios names : none V2 multicast capable : yes DLSw multicast address : none cisco version number : 1 peer group number : 0 peer cluster support : yes border peer capable : no peer cost : 3 biu-segment configured : no UDP Unicast support : yes Fast-switched HPR supp. : no NetBIOS Namecache length : 15 cisco RSVP support : no current border peer : none version string : Cisco Internetwork Operating System Software IOS (tm) C2600 Software (C2600-JK2O3S-M), Version 12.0(7)T, RELEASE SOFTWARE (fc2) Copyright (c) 1986-1999 by cisco Systems, Inc.
Este es el resultado debug del router de Caracas cuando la estación de PC NetBIOS intenta la conexión:
CARACAS#debug dlsw peers DLSw peer debugging is on *Mar 1 18:40:27.575: DLSw: new_ckt_from_clsi(): DLSw Port0 0000.8888.0000:F0->4000.3745.0000:F0 *Mar 1 18:40:27.575: DLSw: START-TPFSM (peer 1.1.1.1(2065)): event:CORE-ADD CIRCUIT state:CONNECT *Mar 1 18:40:27.579: DLSw: dtp_action_u(), peer add circuit for peer 1.1.1.1(2065) *Mar 1 18:40:27.579: DLSw: END-TPFSM (peer 1.1.1.1(2065)): state:CONNECT->CONNECT *Mar 1 18:40:27.579: DLSw: START-FSM (1409286242): event:DLC-Id state:DISCONNECTED *Mar 1 18:40:27.579: DLSw: core: dlsw_action_a() *Mar 1 18:40:27.579: DISP Sent : CLSI Msg : REQ_OPNSTN.Req dlen: 116 *Mar 1 18:40:27.579: DLSw: END-FSM (1409286242): state:DISCONNECTED->LOCAL_RESOLVE *Mar 1 18:40:27.583: DLSW Received-ctlQ : CLSI Msg : REQ_OPNSTN.Cfm CLS_OK dlen: 116 *Mar 1 18:40:27.583: DLSw: START-FSM (1409286242): event:DLC-ReqOpnStn.Cnf state:LOCAL_RESOLVE *Mar 1 18:40:27.583: DLSw: core: dlsw_action_b() *Mar 1 18:40:27.583: CORE: Setting lf : bits 8 : size 1500 *Mar 1 18:40:27.583: peer_cap_filter(): Filtered by SAP to peer 1.1.1.1(2065), s: F0 d:F0 *Mar 1 18:40:27.583: DLSw: frame cap filtered (1) to peer 1.1.1.1(2065) *Mar 1 18:40:27.583: DLSw: peer 1.1.1.1(2065) unreachable - reason code 1
La configuración del comando dlsw icanreach saps es útil cuando se sabe exactamente qué tipo de tráfico se permite y se desea asegurarse de que se deniegue el resto del tráfico. Por ejemplo, cuando configura dlsw icanreach saps 4, rechaza explícitamente todos los saps excepto 0x04 (y 0x05, la respuesta).
CARACAS | SAO PAULO |
---|---|
Current configuration: ! hostname CARACAS ! dlsw local-peer peer-id 1.1.1.2 dlsw remote-peer 0 tcp 1.1.1.1 dlsw bridge-group 1 ! interface Ethernet0/0 no ip directed-broadcast bridge-group 1 ! interface Serial0/1 ip address 1.1.1.2 255.255.255.0 no ip directed-broadcast ! bridge 1 protocol ieee ! end |
Current configuration: ! hostname SAOPAULO ! source-bridge ring-group 3 dlsw local-peer peer-id 1.1.1.1 dlsw remote-peer 0 tcp 1.1.1.2 dlsw icanreach sap 0 4 ! interface TokenRing0/0 no ip directed-broadcast ring-speed 16 source-bridge 10 1 3 source-bridge spanning ! interface Serial1/0 ip address 1.1.1.1 255.255.255.0 no ip directed-broadcast no ip mroute-cache clockrate 32000 ! end |
Observe en este resultado del comando show que el router de Caracas reconoce que Sao Paulo solamente soporta tramas destinadas a las tramas 0x04 y 0x05. Todos los demás saps no son compatibles.
CARACAS#show dlsw capabilities DLSw: Capabilities for peer 1.1.1.1(2065) vendor id (OUI) : '00C' (cisco) version number : 2 release number : 0 init pacing window : 20 unsupported saps : 0 2 6 8 A C E 10 12 14 16 18 1A 1C 1E 20 22 24 26 28 2A 2C 2E 30 32 34 36 38 3A 3C 3E 40 42 44 46 48 4A 4C 4E 50 52 54 56 58 5A 5C 5E 60 62 64 66 68 6A 6C 6E 70 72 74 76 78 7A 7C 7E 80 82 84 86 88 8A 8C 8E 90 92 94 96 98 9A 9C 9E A0 A2 A4 A6 A8 AA AC AE B0 B2 B4 B6 B8 BA BC BE C0 C2 C4 C6 C8 CA CC CE D0 D2 D4 D6 D8 DA DC DE E0 E2 E4 E6 E8 EA EC EE F0 F2 F4 F6 F8 FA FC FE num of tcp sessions : 1 loop prevent support : no icanreach mac-exclusive : no icanreach netbios-excl. : no reachable mac addresses : none reachable netbios names : none V2 multicast capable : yes DLSw multicast address : none cisco version number : 1 peer group number : 0 peer cluster support : no border peer capable : no peer cost : 3 biu-segment configured : no UDP Unicast support : yes Fast-switched HPR supp. : no NetBIOS Namecache length : 15 local-ack configured : yes priority configured : no cisco RSVP support : no configured ip address : 1.1.1.1 peer type : conf version string : Cisco Internetwork Operating System Software IOS (tm) C2600 Software (C2600-JK2O3S-M), Version 12.0(7)T, RELEASE SOFTWARE (fc2) Copyright (c) 1986-1999 by cisco Systems, Inc.
Puede utilizar el comando show dlsw capabilities local para verificar que los cambios de configuración en el router central aparezcan en el código DLSw+.
SAOPAULO#show dlsw capabilities local DLSw: Capabilities for local peer 1.1.1.1 vendor id (OUI) : '00C' (cisco) version number : 2 release number : 0 init pacing window : 20 unsupported saps : 0 2 6 8 A C E 10 12 14 16 18 1A 1C 1E 20 22 24 26 28 2A 2C 2E 30 32 34 36 38 3A 3C 3E 40 42 44 46 48 4A 4C 4E 50 52 54 56 58 5A 5C 5E 60 62 64 66 68 6A 6C 6E 70 72 74 76 78 7A 7C 7E 80 82 84 86 88 8A 8C 8E 90 92 94 96 98 9A 9C 9E A0 A2 A4 A6 A8 AA AC AE B0 B2 B4 B6 B8 BA BC BE C0 C2 C4 C6 C8 CA CC CE D0 D2 D4 D6 D8 DA DC DE E0 E2 E4 E6 E8 EA EC EE F0 F2 F4 F6 F8 FA FC FE num of tcp sessions : 1 loop prevent support : no icanreach mac-exclusive : no icanreach netbios-excl. : no reachable mac addresses : none reachable netbios names : none V2 multicast capable : yes DLSw multicast address : none cisco version number : 1 peer group number : 0 peer cluster support : yes border peer capable : no peer cost : 3 biu-segment configured : no UDP Unicast support : yes Fast-switched HPR supp. : no NetBIOS Namecache length : 15 cisco RSVP support : no current border peer : none version string : Cisco Internetwork Operating System Software IOS (tm) C2600 Software (C2600-JK2O3S-M), Version 12.0(7)T, RELEASE SOFTWARE (fc2) Copyright (c) 1986-1999 by cisco Systems, Inc.
Usando el diagrama de red que se muestra en este documento, haga que el router central reciba tramas destinadas a la dirección MAC FEP (4000.3745.0000) solamente.
Con el comando dlsw icanreach mac-address, todas las oficinas remotas tienen una entrada en su tabla de alcance DLSw+ para la dirección MAC del host que apunta a la dirección IP del router central. Esta entrada se encuentra en el estado UNCONFIRM, que indica que si el router de la oficina remota recibe una prueba local o XID para el host, envía un mensaje CUR_ex (Can U Reach Explorer) sólo al router central.
CARACAS | SAO PAULO |
---|---|
Current configuration: ! hostname CARACAS ! dlsw local-peer peer-id 1.1.1.2 dlsw remote-peer 0 tcp 1.1.1.1 dlsw bridge-group 1 ! interface Ethernet0/0 no ip directed-broadcast bridge-group 1 ! interface Serial0/1 ip address 1.1.1.2 255.255.255.0 no ip directed-broadcast ! bridge 1 protocol ieee ! end |
Current configuration: ! hostname SAOPAULO ! source-bridge ring-group 3 dlsw local-peer peer-id 1.1.1.1 dlsw remote-peer 0 tcp 1.1.1.2 dlsw icanreach mac-address 4000.3745.0000 mask ffff.ffff.ffff ! interface TokenRing0/0 no ip directed-broadcast ring-speed 16 source-bridge 10 1 3 source-bridge spanning ! interface Serial1/0 ip address 1.1.1.1 255.255.255.0 no ip directed-broadcast no ip mroute-cache clockrate 32000 ! end |
Aquí, el router de Caracas ha creado una entrada permanente en su caché de alcance. Si la entrada no está fresca, el estado es UNCONFIRM. Refiérase al Capítulo de Accesibilidad de la Guía de Troubleshooting de DLSw+ para obtener más información sobre cómo los routers DLSw+ almacenan en caché las direcciones MAC y los nombres de NetBIOS.
CARACAS#show dlsw reachability DLSw Local MAC address reachability cache list Mac Addr status Loc. port rif 0000.8888.0000 FOUND LOCAL TBridge-001 --no rif-- DLSw Remote MAC address reachability cache list Mac Addr status Loc. peer 4000.3745.0000 UNCONFIRM REMOTE 1.1.1.1(2065) DLSw Local NetBIOS Name reachability cache list NetBIOS Name status Loc. port rif DLSw Remote NetBIOS Name reachability cache list NetBIOS Name status Loc. peer
La salida del comando show dlsw capabilities en el router de Caracas confirma que esta oficina remota sabe que la dirección MAC 4000.3745.0000 se puede alcanzar a través del peer 1.1.1.1. Observe también la línea que dice "icanreach mac-private : no". Indica que el router central es capaz de alcanzar otras direcciones MAC además del host. Por lo tanto, si alguna de las oficinas remotas busca otra dirección MAC, pueden enviar sus solicitudes al router central. Sin embargo, con la inclusión del comando icanreach mac-address 4000.3745.0000, todas las ramas remotas son conscientes de la ubicación de este importante recurso. Si desea establecer más restricciones sobre las tramas que llegan al router central, consulte Configuración de dlsw icanreach mac-private en el router central.
CARACAS#show dlsw capabilities DLSw: Capabilities for peer 1.1.1.1(2065) vendor id (OUI) : '00C' (cisco) version number : 2 release number : 0 init pacing window : 20 unsupported saps : none num of tcp sessions : 1 loop prevent support : no icanreach mac-exclusive : no icanreach netbios-excl. : no reachable mac addresses : 4000.3745.0000reachable netbios names : none V2 multicast capable : yes DLSw multicast address : none cisco version number : 1 peer group number : 0 peer cluster support : no border peer capable : no peer cost : 3 biu-segment configured : no UDP Unicast support : yes Fast-switched HPR supp. : no NetBIOS Namecache length : 15 local-ack configured : yes priority configured : no cisco RSVP support : no configured ip address : 1.1.1.1 peer type : conf version string : Cisco Internetwork Operating System Software IOS (tm) C2600 Software (C2600-JK2O3S-M), Version 12.0(7)T, RELEASE SOFTWARE (fc2) Copyright (c) 1986-1999 by cisco Systems, Inc.
Puede utilizar el parámetro mask como dlsw icanreach mac-address 4000.3745.0000 mask ffff.ffff.ffff . Cuando utilice este parámetro, tenga en cuenta que las direcciones MAC se presentan normalmente en formato hexadecimal (0x4000.3745.0000). Por lo tanto, una máscara de todo unos (en binario) se representa con el número hexadecimal 0xFFFF.FFFF.FFFF.
A continuación se muestra un ejemplo de cómo determinar si un MAC de entrada determinado se incluye bajo un comando dlsw icanreach mac-address ya configurado:
Comience con un router configurado con el comando dlsw icanreach mac-address 4000.3745.0000 mask ffff.ffff 0000.
Evalúe si la dirección MAC de entrada 4000.3745.0009 está incluida o no por el comando de configuración del router anterior.
En primer lugar, convierta la dirección MAC (4000.3745.0009) y la MASK configurada (FFFF.FFFF.0000) de una representación hexadecimal a binaria. Las dos primeras filas de esta tabla muestran este paso.
A continuación, realice una operación AND lógica entre esos dos números binarios y convierta el resultado en una representación hexadecimal (4000.3745.0000). El resultado de esta operación se representa en la tercera fila de esta tabla.
0 | 1 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 1 | 1 | 0 | 1 | 1 | 1 | 0 | 1 | 0 | 0 | 0 | 1 | 0 | 1 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 1 | 0 | 0 | 1 | 4000.3745.0009 | |||||||||||
1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 1 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | ffff.ffff.0000 | |||||||||||
0 | 1 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 1 | 1 | 0 | 1 | 1 | 1 | 0 | 1 | 0 | 0 | 0 | 1 | 0 | 1 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 0 | 4000.3745.0000 |
Si el resultado de la operación AND coincide con la dirección MAC en el comando dlsw icanreach mac-address (en nuestro ejemplo, 4000.3745.0000), la dirección MAC de entrada (4000.3745.0009) es permitida por dlsw comando icanreach mac-address. En nuestro ejemplo, cualquier dirección MAC de entrada dentro del rango 4000.3745.0000 a 4000.3745.FFFF se incluye mediante el comando dlsw icanreach mac-address. Puede verificar esto repitiendo los mismos pasos para cualquier dirección MAC en este rango.
Estos son algunos ejemplos más:
dlsw icanreach mac-address 4000.3745.0000 mask ffff.ffff.ffff: Este comando sólo incluye la dirección MAC 4000.3745.0000. Ninguna otra dirección MAC pasa esta máscara.
dlsw icanreach mac-address 4000.000.3745 mask ffff.0000.ffff —Este comando incluye todas las direcciones MAC en el rango 4000.XXXX.3745 donde XXXX es 0x0000-0xFFFF ...
Con el comando dlsw icanreach mac-private configurado en el router central, se asegura de que sólo se permitan los paquetes destinados a las direcciones MAC definidas previamente (en este caso 4000.3745.0000) en la ubicación central.
Tenga en cuenta que esta información de filtrado se intercambia entre todos los pares DLSw+ que utilizan mensajes CapExId. Para ahorrar ancho de banda WAN, configure la información de filtrado en la ubicación central, aunque las acciones (como las tramas de bloqueo) se produzcan en los propios routers remotos.
CARACAS | SAO PAULO |
---|---|
Current configuration: ! hostname CARACAS ! dlsw local-peer peer-id 1.1.1.2 dlsw remote-peer 0 tcp 1.1.1.1 dlsw bridge-group 1 ! interface Ethernet0/0 no ip directed-broadcast bridge-group 1 ! interface Serial0/1 ip address 1.1.1.2 255.255.255.0 no ip directed-broadcast ! bridge 1 protocol ieee ! end |
Current configuration: ! hostname SAOPAULO ! source-bridge ring-group 3 dlsw local-peer peer-id 1.1.1.1 dlsw remote-peer 0 tcp 1.1.1.2 dlsw icanreach mac-exclusive dlsw icanreach mac-address 4000.3745.0000 mask ffff.ffff.fffff ! interface TokenRing0/0 no ip directed-broadcast ring-speed 16 source-bridge 10 1 3 source-bridge spanning ! interface Serial1/0 ip address 1.1.1.1 255.255.255.0 no ip directed-broadcast no ip mroute-cache clockrate 32000 ! end |
Observe en este resultado que el router de Caracas sabe que la dirección MAC 4000.3745.0000 es accesible a través del peer 1.1.1.1. La diferencia entre este ejemplo y el escenario anterior es que aquí mostramos "icanreach mac-private : sí", lo que significa que las oficinas remotas no envían tramas hacia el router central que no sean aquellas destinadas a 4000.3745.0000.
CARACAS#show dlsw capabilities DLSw: Capabilities for peer 1.1.1.1(2065) vendor id (OUI) : '00C' (cisco) version number : 2 release number : 0 init pacing window : 20 unsupported saps : none num of tcp sessions : 1 loop prevent support : no icanreach mac-exclusive : yes icanreach netbios-excl. : no reachable mac addresses : 4000.3745.0000reachable netbios names : none V2 multicast capable : yes DLSw multicast address : none cisco version number : 1 peer group number : 0 peer cluster support : no border peer capable : no peer cost : 3 biu-segment configured : no UDP Unicast support : yes Fast-switched HPR supp. : no NetBIOS Namecache length : 15 local-ack configured : yes priority configured : no cisco RSVP support : no configured ip address : 1.1.1.1 peer type : conf version string : Cisco Internetwork Operating System Software IOS (tm) C2600 Software (C2600-JK2O3S-M), Version 12.0(7)T, RELEASE SOFTWARE (fc2) Copyright (c) 1986-1999 by cisco Systems, Inc.
La salida debug aquí muestra cómo reacciona el router de Caracas al tráfico entrante destinado a cualquier dirección MAC que no sea 4000.3745.0000 (aquí se utiliza 4000.3745.0080). Caracas no utiliza Sao Paulo para tramas no destinadas al host (4000.3745.0000). En este caso, Sao Paulo es el único par remoto configurado en Caracas, por lo que este router no tiene otro par al que enviarlo.
CARACAS#debug dlsw DLSw reachability debugging is on at event level for all protocol traffic DLSw peer debugging is on DLSw local circuit debugging is on DLSw core message debugging is on DLSw core state debugging is on DLSw core flow control debugging is on DLSw core xid debugging is on *Mar 1 22:41:33.200: DLSW Received-ctlQ : CLSI Msg : TEST_STN.Ind dlen: 40 *Mar 1 22:41:33.204: CSM: Received CLSI Msg : TEST_STN.Ind dlen: 40 from DLSw Port0 *Mar 1 22:41:33.204: CSM: smac 0000.8888.0000, dmac 4000.3745.0080, ssap 4 , dsap 0 *Mar 1 22:41:33.204: broadcast filter failed mac check *Mar 1 22:41:33.204: CSM: Write to all peers not ok - PEER_NO_CONNECTIONS
Si configura un router con el comando dlsw icanreach mac-only sin definir ninguna dirección MAC mediante el comando dlsw icanreach mac-address, el router anuncia a sus pares que no puede alcanzar ninguna dirección MAC en absoluto. Por lo tanto, perderá la comunicación a través de ese par.
Nota: La configuración de ejemplo aquí se muestra sólo como ejemplo. Es un error y no debería usarse.
SAO PAULO |
---|
Current configuration: ! hostname SAOPAULO ! source-bridge ring-group 3 dlsw local-peer peer-id 1.1.1.1 dlsw remote-peer 0 tcp 1.1.1.2 dlsw icanreach mac-exclusive ! interface TokenRing0/0 no ip directed-broadcast ring-speed 16 source-bridge 10 1 3 source-bridge spanning ! interface Serial1/0 ip address 1.1.1.1 255.255.255.0 no ip directed-broadcast no ip mroute-cache clockrate 32000 ! end |
Esta salida de debug indica lo que sucede en el router de Caracas cuando recibe una trama destinada a 4000.3745.0000. Observe que Caracas sólo tiene un par remoto DLSw (Sao Paulo), pero en la configuración anterior, Sao Paulo indicó a sus pares que no puede alcanzar ninguna dirección MAC.
CARACAS#show debug DLSw: DLSw Peer debugging is on DLSw RSVP debugging is on DLSw reachability debugging is on at verbose level for SNA traffic DLSw basic debugging for peer 1.1.1.1(2065) is on DLSw core message debugging is on DLSw core state debugging is on DLSw core flow control debugging is on DLSw core xid debugging is on DLSw Local Circuit debugging is on CARACAS# Mar 2 21:37:42.570: DLSW Received-ctlQ : CLSI Msg : TEST_STN.Ind dlen: 40 Mar 2 21:37:42.570: CSM: update local cache for mac 0000.8888.0000, DLSw Port0 Mar 2 21:37:42.570: DLSW+: DLSw Port0 I d=4000.3745.0000-0 s=0000.8888.0000-F0 Mar 2 21:37:42.570: CSM: test_frame_proc: ws_status = NO_CACHE_INFO Mar 2 21:37:42.570: CSM: mac address NOT found in PEER reachability list Mar 2 21:37:42.570: broadcast filter failed mac check Mar 2 21:37:42.574: CSM: Write to all peers not ok - PEER_NO_CONNECTIONS Mar 2 21:37:42.574: CSM: csm_peer_put returned rc_ssp not OK
En este ejemplo, cada router de oficina remota se configura manualmente y se dirige al router central deseado cuando se buscan direcciones MAC específicas. Esto reduce el tráfico innecesario que va al par equivocado. Si la oficina remota sólo tiene un par remoto configurado, esta configuración no es beneficiosa. Sin embargo, si se configuran varios peers remotos, esta configuración dirige el router del sitio remoto al lugar adecuado sin desperdiciar ancho de banda WAN.
Se configura un nuevo par remoto DLSw+ (2.2.2.1) en el router de Caracas.
CARACAS | SAO PAULO |
---|---|
Current configuration: ! hostname CARACAS ! dlsw local-peer peer-id 1.1.1.2 dlsw remote-peer 0 tcp 1.1.1.1 dlsw remote-peer 0 tcp 2.2.2.1 dlsw mac-addr 4000.3745.0000 remote-peer ip-address 1.1.1.1 dlsw bridge-group 1 ! interface Ethernet0/0 no ip directed-broadcast bridge-group 1 ! interface Serial0/1 ip address 1.1.1.2 255.255.255.0 no ip directed-broadcast ! interface Serial0/2 ip address 2.2.2.2 255.255.255.0 no ip directed-broadcast clockrate 64000 ! bridge 1 protocol ieee ! end |
Current configuration: ! hostname SAOPAULO ! source-bridge ring-group 3 dlsw local-peer peer-id 1.1.1.1 dlsw remote-peer 0 tcp 1.1.1.2 ! interface TokenRing0/0 no ip directed-broadcast ring-speed 16 source-bridge 10 1 3 source-bridge spanning ! interface Serial1/0 ip address 1.1.1.1 255.255.255.0 no ip directed-broadcast no ip mroute-cache clockrate 32000 ! end |
A partir de una tabla de alcance vacía en el router de Caracas, observe que la entrada para FEP está en estado UNCONFIRM:
CARACAS#show dlsw reachability DLSw Local MAC address reachability cache list Mac Addr status Loc. port rif DLSw Remote MAC address reachability cache list Mac Addr status Loc. peer 4000.3745.0000 UNCONFIRM REMOTE 1.1.1.1(2065) max-lf(4472) DLSw Local NetBIOS Name reachability cache list NetBIOS Name status Loc. port rif DLSw Remote NetBIOS Name reachability cache list NetBIOS Name status Loc. peer
Cuando llega el primer paquete buscando FEP, sólo se envían los paquetes al peer 1.1.1.1 (Sao Paulo) y no al 2.2.2.1. Por lo tanto, ahorra ancho de banda WAN y recursos de CPU en los otros peers.
CARACAS#debug dlsw reachability verbose sna DLSw reachability debugging is on at verbose level for SNA traffic *Mar 2 18:38:59.324: CSM: update local cache for mac 0000.8888.0000, DLSw Port0 *Mar 2 18:38:59.324: DLSW+: DLSw Port0 I d=4000.3745.0000-0 s=0000.8888.0000-F0 *Mar 2 18:38:59.324: CSM: test_frame_proc: ws_status = UNCONFIRMED *Mar 2 18:38:59.324: CSM: Write to peer 1.1.1.1(2065) ok *Mar 2 18:38:59.324: CSM: csm_peer_put returned rc_ssp 1 *Mar 2 18:38:59.328: CSM: adding new icr pend record - test_frame_proc *Mar 2 18:38:59.328: CSM: update local cache for mac 0000.8888.0000, DLSw Port0 *Mar 2 18:38:59.328: CSM: Received CLSI Msg : TEST_STN.Ind dlen: 40 from DLSw Port0
En este punto, se modifican el diagrama de red y los requisitos de diseño. Este es el nuevo ejemplo de red:
En este ejemplo, se agrega un nuevo dispositivo SNA (4000.3746.0000) en la ubicación de Sao Paulo. Esta máquina necesita establecer comunicación con un dispositivo en otra ubicación (peer 3.3.3.1). El router Sao Paulo ejecuta esta configuración.
SAO PAULO |
---|
Current configuration: ! hostname SAOPAULO ! source-bridge ring-group 3 dlsw local-peer peer-id 1.1.1.1 dlsw remote-peer 0 tcp 1.1.1.2 dlsw remote-peer 0 tcp 3.3.3.1 dlsw icanreach mac-exclusive dlsw icanreach mac-address 4000.3745.0000 mask ffff.ffff.ffff ! interface TokenRing0/0 no ip directed-broadcast ring-speed 16 source-bridge 10 1 3 source-bridge spanning ! interface Serial1/0 ip address 1.1.1.1 255.255.255.0 no ip directed-broadcast no ip mroute-cache clockrate 32000 ! end |
Con esta configuración de Sao Paulo, el router de Sao Paulo informa a todos sus pares que, debido al comando mac-only, sólo puede alcanzar la dirección MAC 4000.3745.0000. Como se muestra en esta salida de debug, esto también evita que el nuevo dispositivo SNA (4000.3746.0000) establezca la comunicación a través de DLSw+.
SAOPAULO#debug dlsw reachability verbose sna DLSw reachability debugging is on at verbose level for SNA traffic SAOPAULO# Mar 3 00:20:27.737: CSM: Deleting Reachability cache Mar 3 00:20:44.485: CSM: mac address NOT found in LOCAL list Mar 3 00:20:44.485: CSM: 4000.3746.0000 DID NOT pass local mac excl. filter Mar 3 00:20:44.485: CSM: And it is a test frame - drop frame
Para corregir esto, realice estos cambios en la configuración de Sao Paulo.
SAO PAULO |
---|
Current configuration: ! hostname SAOPAULO ! source-bridge ring-group 3 dlsw local-peer peer-id 1.1.1.1 dlsw remote-peer 0 tcp 1.1.1.2 dlsw icanreach mac-exclusive remote dlsw icanreach mac-address 4000.3745.0000 mask ffff.ffff.ffff ! interface TokenRing0/0 no ip directed-broadcast ring-speed 16 source-bridge 10 1 3 source-bridge spanning ! interface Serial1/0 ip address 1.1.1.1 255.255.255.0 no ip directed-broadcast no ip mroute-cache clockrate 32000 ! end |
Con la palabra clave remote, se permiten otros dispositivos en el router central (que no se especifican en el comando dlsw icanreach mac-address) para realizar conexiones salientes. Esta es la salida debug en Sao Paulo cuando el dispositivo 4000.3746.0000 inició su conexión.
SAOPAULO#debug dlsw reachability verbose sna DLSw reachability debugging is on at verbose level for SNA traffic Mar 3 00:28:26.916: CSM: update local cache for mac 4000.3746.0000, TokenRing0/0 Mar 3 00:28:26.916: CSM: Received CLSI Msg : TEST_STN.Ind dlen: 40 from TokenRing0/0 Mar 3 00:28:26.916: CSM: smac c000.3746.0000, dmac 0000.8888.0000, ssap 4 , dsap 0 Mar 3 00:28:26.916: CSM: test_frame_proc: ws_status = FOUND Mar 3 00:28:26.920: CSM: sending TEST to TokenRing0/0 Mar 3 00:28:26.924: CSM: update local cache for mac 4000.3746.0000, TokenRing0/0 Mar 3 00:28:26.924: CSM: Received CLSI Msg : ID_STN.Ind dlen: 54 from TokenRing0/0 Mar 3 00:28:26.924: CSM: smac c000.3746.0000, dmac 0000.8888.0000, ssap 4 , dsap 8 Mar 3 00:28:26.924: CSM: new_connection: ws_status = FOUND Mar 3 00:28:26.924: CSM: Calling csm_to_core with CLSI_START_NEWDL