Bloqueo de paquetes ARP con el uso de listas de acceso MAC y mapas de acceso VLAN en switches Catalyst series 2970, 3550, 3560 y 3750

Introducción

Este documento analiza la configuración para un Cisco Catalyst 3550 Series Switch. Puede utilizar Catalyst 2970, 3560 o 3750 Series Switch en este escenario para obtener los mismos resultados. El documento demuestra cómo configurar una lista de control de acceso (ACL) MAC para bloquear la comunicación entre los dispositivos dentro de una VLAN. Puede bloquear un solo host o una variedad de hosts, en función del fabricante del adaptador de la tarjeta de interfaz de red (NIC) del host. Puede bloquear un intervalo de hosts si no permite los paquetes ARP (del inglés Address Resolution Protocol, protocolo de resolución de direcciones) que se originan en estos dispositivos según las asignaciones OUI (del inglés IEEE Organizational Unique Identifier, identificador único de organización) e ID_de_empresa.

En una red, puede bloquear los paquetes de solicitud ARP para restringir el acceso del usuario. En algunos escenarios de red, desea bloquear los paquetes basados en ARP, no en la dirección IP, sino en las direcciones MAC de la Capa 2. Puede lograr este tipo de restricción si crea ACL de dirección MAC y mapas de acceso VLAN y los aplica a una interfaz VLAN.

Prerequisites

Requirements

Consulte IEEE OUI y las Asignaciones Company_id para determinar IEEE OUI y las asignaciones company_id.

Componentes Utilizados

La información en este documento se basa en el Cisco Catalyst 3550 Switch.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Productos Relacionados

Otros switches que admiten los comandos de esta configuración incluyen los switches Catalyst de las series 2970, 3560 o 3750.

Configurar

En esta sección encontrará la información para configurar las funciones descritas en este documento.

Para configurar el filtrado de la dirección MAC y aplicarlo a la interfaz VLAN, debe seguir varios pasos. Primero, cree los mapas de acceso VLAN para cada tipo de tráfico que debe filtrarse. Seleccione una dirección MAC o una variedad de direcciones MAC para bloquear. También debe identificar el tráfico ARP en la lista de acceso. De acuerdo con RFC 826, una trama ARP utiliza el tipo de protocolo Ethernet del valor 0x806. Puede filtrar en este tipo de protocolo como tráfico interesante para la lista de acceso.

1. En el modo de configuración global, cree una lista de acceso ampliada MAC con el nombre ARP_Packet.

   Ingrese el comando mac access-list extended ACL_name y agregue la dirección o direcciones MAC del host que desea bloquear.

   Switch(config)#mac access-list extended ARP_Packet
   Switch(config-ext-nacl)#permit host 0000.861f.3745 host 0006.5bd8.8c2f 0x806 0x0
   Switch(config-ext-nacl)#end
   Switch(config)#

2. Ingrese el comando vlan access-map map_ name y el comando action drop, que es la acción a realizar.

   El comando vlan access-map map_ name usa la lista de acceso MAC que ha creado para bloquear el tráfico ARP de los hosts.

   Switch(config)#vlan access-map block_arp 10
   
   Switch (config-access-map)#action drop
   Switch (config-access-map)#match mac address ARP_Packet
   

3. Agregue una línea adicional al mismo mapa de acceso de VLAN para reenviar el resto del tráfico.

   Switch(config)#vlan access-map block_arp 20
   Switch (config-access-map)#action forward
   

4. Elija un mapa de acceso de VLAN y aplíquelo a una interfaz VLAN.

   Ingrese el comando VLAN filter vlan_access_map_name vlan-list vlan_number.

   Switch(config)#vlan filter block_arp vlan-list 2
   

Configuración de muestra:

Este Ejemplo de Configuración crea tres listas de acceso MAC y tres mapas de acceso de VLAN. La configuración aplica el tercer mapa de acceso de VLAN a la interfaz VLAN 2.

mac access-list extended ARP_Packet
permit host 0000.861f.3745 host 0006.5bd8.8c2f 0x806 0x0

!--- This blocks communication between hosts with this MAC.

!
mac access-list extended ARP_ONE_OUI
permit 0000.8600.0000 0000.00ff.ffff any 0x806 0x0

!--- This blocks any ARP packet that originates from this vendor OUI.

!
mac access-list extended ARP_TWO_OUI
permit 0000.8600.0000 0000.00ff.ffff any 0x806 0x0
permit 0006.5b00.0000 0000.00ff.ffff any 0x806 0x0

!--- This blocks any ARP packet that originates from these two vendor OUIs.

!
vlan access-map block_arp 10
action drop
match mac address ARP_Packet
vlan access-map block_arp 20
action forward


vlan access-map block_one_oui 10
action drop
match mac address ARP_ONE_OUI
vlan access-map block_one_oui 20
action forward


vlan access-map block_two_oui 10
action drop
match mac address ARP_TWO_OUI
vlan access-map block_two_oui 20
action forward


!
vlan filter block_two_oui vlan-list 2

!--- This applies the MAC ACL name “block_two_oui” to VLAN 2.

Verificación

Utilize esta sección para confirmar que su configuración funcione correctamente.

Puede verificar si el switch ha aprendido la dirección MAC o la entrada ARP antes de que aplique el MAC ACL. Ingrese el comando show mac-address-table, como se muestra en este ejemplo.

El Analizador de Cisco CLI (solo clientes registrados) admite determinados comandos show. Utilice el Analizador CLI para ver un análisis del resultado del comando show.

switch#show mac-address-table dynamic vlan 2
          Mac Address Table
-------------------------------------------

Vlan   Mac Address   Type       Ports
----   -----------   --------   -----
   2  0000.861f.3745 DYNAMIC    Fa0/21
   2  0006.5bd8.8c2f DYNAMIC    Fa0/22
Total Mac Addresses for this criterion: 2

switch#show ip arp
Protocol  Address   Age (min)  Hardware Addr   Type  Interface
Internet  10.1.1.2         26  0000.861f.3745  ARPA  Vlan2
Internet  10.1.1.3         21  0006.5bd8.8c2f  ARPA  Vlan2
Internet  10.1.1.1          -  000d.65b6.9700  ARPA  Vlan2

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.

Información Relacionada

• Soporte de Productos de Switches
• Soporte de Tecnología de LAN Switching
• Soporte Técnico y Documentación - Cisco Systems