SNR S2985G-8T-UPS [284/357] Пример конфигурации функции ограничения mac и ip адресов

53 Ограничение MAC и IP адресов на порту, конфигурация VLAN 284

53.3 Пример конфигурации функции ограничения MAC и IP адресов

К коммутатору SwitchA подключено множество пользователей. До включения

функции ограничения на портах и VLAN коммутатор SwitchA может получить MAC-адреса,

ARP и ND записи со всех ПК при отсутствии аппаратных ограничений. В данной ситуации

существует возможность атаки на отказ в обслуживании, когда один из хостов

пользователей будет отправлять кадры данных с множеством разных MAC-адресов

источника, чем вызовет переполнение таблицы на коммутаторе SwitchA.

Так как предполагается, что к одному порту коммутатора может быть подключено

не более 2х устройств пользователя коммутатора SwitchA, необходимо установить

максимальное количество динамических MAC-адресов 2, динамических ARP-адресов – 2,

ND – 1. В VLAN1 необходимо установить максимальное количество динамических MAC-

адресов 70, динамических ARP-адресов – 70, ND – 40.

Конфигурация будет выглядеть следующим образом:

Switch(config)#interface ethernet 1/0/1-24

Switch(config-if-range)#switchport mac-address dynamic maximum 2

Switch(config-If-range)#switchport arp dynamic maximum 2

Switch(config-If-range)#switchport nd dynamic maximum 1

Switch(config-if-Vlan1)#vlan mac-address dynamic maximum 70

Switch(config-if-Vlan1)#ip arp dynamic maximum 70

Switch(config-if-Vlan1)#ip nd dynamic maximum 40

53.4 Решение проблем при конфигурации функции ограничения MAC и IP

адресов

● Функция ограничения MAC, ARP и ND на портах и VLAN по-умолчанию отключена;

● Функция ограничения MAC, ARP и ND на портах и VLAN не работает одновременно

с вышеперечисленными функциями Spanning-Tree, dot1x и агрегации портов;

● При необходимости получения полной информации о текущем состоянии на

портах и VLAN с ограничениями используются отладочные и информационные

команды, описанные в разделе 29.2.