Introdução
Este original descreve o comportamento do Access Control List MAC (MAC ACL) no tráfego não-IP do plano do controle em Catalyst 4500 Series Switch. O MAC ACL pode ser usado a fim filtrar o tráfego não-IP em um VLAN e em uma porta da camada física 2 (L2).
Para obter mais informações sobre dos protocolos não-IP apoiados no comando estendido lista de acesso MAC, consulte a referência de comandos do ® do Cisco IOS do Catalyst 4500 Series Switch.
Problema
Supõe esta configuração:
mac access-list extended udld
deny any host 0100.0ccc.cccc
permit any any
!
interface GigabitEthernet2/4
switchport mode trunk
udld port aggressive
mac access-group udld in
!
Note: Este ACL não nega o tráfego plano do controle L2 como quadros CDP/UDLD/VTP/PAgP com MAC de destino = 0100.0ccc.cccc que vem de entrada na relação GigabitEthernet2/4.
Em Catalyst 4500 Switch, há um sistema o ACL inerente gerado que tráfego plano do controle dos pontapés L2 ao CPU que toma a precedência sobre um ACL definido pelo utilizador, a fim classificar este tráfego. Daqui, um ACL definido pelo utilizador não consegue esta finalidade. Este comportamento é específico à plataforma do Catalyst 4500, outras Plataformas pôde ter comportamentos diferentes.
Solução
Este método pode ser usado para deixar cair o tráfego na porta de ingresso ou no CPU, se há uma necessidade de fazer assim.
Caution: As etapas aqui são pretendidas deixar cair todos os quadros que têm o MAC de destino = o 0100.0ccc.cccc que vem dentro em uma relação específica. Este MAC address é usado pelas unidades de dados de protocolo do plano do controle UDLD/DTP/VTP/Pagp (PDU).
Se o objetivo é policiar este tráfego e não deixar cair todo o ele, o Policiamento do plano de controle é uma solução preferida. Consulte configurando o Policiamento do plano de controle no Catalyst 4500
Etapa 1. Permita o Qualidade de Serviço (QoS) do pacote de controle para o CDP-VTP:
Catalyst4500(config)#qos control-packets cdp-vtp
Esta etapa gerencie um ACL gerado sistema:
Catalyst4500#show run | begin system-control
mac access-list extended system-control-packet-cdp-vtp
permit any host 0100.0ccc.cccc
Note: Um MAC Nomeado definido pelo utilizador ACL (como mostrado aqui) pode igualmente ser usado em vez do ACL definido sistema como gerado mais cedo. Use o ACL gerado ou definido pelo utilizador do sistema a fim salvar recursos do Ternary Content Addressable Memory (TCAM).
mac access-list extended udld
permit any host 0100.0ccc.cccc
Etapa 2. Crie um mapa de classe a fim combinar o tráfego que bate este ACL:
Catalyst4500(config)#class-map cdp-vtp
Catalyst4500(config-cmap)#match access-group name system-control-packet-cdp-vtp
Catalyst4500(config-cmap)#end
Catalyst4500#
Etapa 3. Crie um mapa de política e um tráfego da polícia que classe de etapa 2 dos fósforos com conform action = gota e ação excedada = gota:
Catalyst4500(config)#policy-map cdp-vtp-policy
Catalyst4500(config-pmap)#class cdp-vtp
Catalyst4500(config-pmap-c)#police 32000 conform-action drop exceed-action drop
Catalyst4500(config-pmap-c-police)#end
Catalyst4500#
Etapa 4. Aplique o mapa de política de entrada na porta L2 onde este tráfego precisa de ser deixado cair:
Catalyst4500(config)#int gigabitEthernet 2/4
Catalyst4500(config-if)#service-policy input cdp-vtp-policy
Catalyst4500(config-if)#end
!
interface GigabitEthernet2/4
switchport mode trunk
udld port aggressive
service-policy input cdp-vtp-policy
end
Sistema similar os ACL gerados podem ser usados para outros frames de controle L2 caso que precisam de ser policiados ou deixado cair. Consulte o pacote de controle QoS da camada 2 para detalhes e segundo as indicações da imagem.
Catalyst4500(config)#qos control-packets ?
bpdu-range Enable QoS on BPDU-range packets
cdp-vtp Enable QoS on CDP and VTP packets
eapol Enable QoS on EAPOL packets
lldp Enable QoS on LLDP packets
protocol-tunnel Enable QoS on protocol tunneled packets
sstp Enable QoS on SSTP packets
<cr>
