Hỏi về MAC ACL

[study_net]

Mình sử dụng con switch 3560 để cấu hình kiểm soát truy cập bằng MAC. Mặc định sẽ là: tất cả các PC cắm vào mạng sẽ không thể truy cập đc gì, chỉ những PC đc khai báo MAC trên switch mới vào đc.

Đoạn cấu hình như sau:
mac access-list extended mac_permit
permit host 0011.5b7e.3789 any 0x806 0x0
vlan access-map permit_arp 10 //chỉ cho MAC ở trên truy cập
action forward
match mac address mac_permit
vlan access-map permit_arp 20 //mặc định deny tất cả
action drop
vlan filter permit_arp vlan-list 101 //apply cho VLAN 101

Cấu hình như trên xong nhưng PC khác cắm vào vẫn đi qua. Không biết câu lệnh trên có sai gì không?
Nhờ các bác xem qua giúp [-(

[phamminhtuan]

Chào bạn,

MAC ACL chỉ hoạt động ngăn chặn giao thức ARP hoặc các giao thức layer 2 chứ không dùng để ngăn chặn gói tin đi qua switch.

Do đó, ACL bạn thường dùng những cách viết như sau(host to any), chứ không dùng dạng host - host
permit 000b.dc24.ca47 any
permit 000b.dc25.cb51 any
permit any any 0x0806 0x0000
permit any any lsap 0xAAAA 0x0000
permit any FFFF.FFFF.FFFF

Bạn có thể hiểu rõ hơn điều này bằng cách chặn 0011.5b7e.3789 any thì ping sẽ không thấy.

Sau đó từ PC hai bên bạn add tĩnh MAC thì lại ping thấy bình thường(làm trên windows) mặc dầu switch của bạn đã chặn host any.
C:\>arp -s 1.1.1.2 XX-XX-...(MAC máy B)-------Từ máy A
C:\>arp -s 1.1.1.1 XX-XX-...(MAC máy A)-------Từ máy B

Giải pháp cho vấn đề của bạn là dùng VLan ACL chặn trên layer 3 để triệt để hơn. Vì cho dù client có add MAC tĩnh bằng cách dùng câu lệnh ARP thì các máy bị chặn cũng không có khả năng liên lạc với nhau được.
Bạn để switch 3560 của bạn bình thường ở layer 2 nó cũng có khả năng xem vào phần IP để chặn gói tin từ máy A qua máy B bằng cách dùng Vlan ACL.