MAC地址相關(guān)的7種配置示例

前言

MAC（Media Access Control）地址用來定義網(wǎng)絡(luò)設(shè)備的位置。MAC地址由48比特長、12位的16進制數(shù)字組成，其中從左到右開始，0到23bit是廠商向IETF等機構(gòu)申請用來標(biāo)識廠商的代碼，24到47bit由廠商自行分派，是各個廠商制造的所有網(wǎng)卡的一個唯一編號。

MAC地址可以分為3種類型：

物理MAC地址：這種類型的MAC地址唯一的標(biāo)識了以太網(wǎng)上的一個終端，該地址為全球唯一的硬件地址；

廣播MAC地址：全1的MAC地址為廣播地址（FF-FF-FF-FF-FF-FF），用來表示LAN上的所有終端設(shè)備；

組播MAC地址：除廣播地址外，第8bit為1的MAC地址為組播MAC地址（例如01-00-00-00-00-00），用來代表LAN上的一組終端。其中以01-80-c2開頭的組播MAC地址叫BPDU MAC，一般作為協(xié)議報文的目的MAC地址標(biāo)示某種協(xié)議報文。

本文主要介紹MAC地址相關(guān)的7種配置示例。

01配置靜態(tài)MAC地址示例

組網(wǎng)需求

如圖 1 所示，用戶主機PC的MAC地址為0002-0002-0002，與Switch的GE1/0/1接口相連。Server服務(wù)器的MAC地址為0004-0004-0004，與Switch的GE1/0/2接口相連。用戶主機PC和Server服務(wù)器均在VLAN2內(nèi)通信。

為防止MAC地址攻擊，在Switch的MAC表中為用戶主機添加一條靜態(tài)表項。

為防止非法用戶假冒Server的MAC地址竊取重要用戶信息，在Switch上為Server服務(wù)器添加一條靜態(tài)MAC地址表項。

圖 1 配置靜態(tài)MAC表組網(wǎng)圖

配置思路

采用如下的思路配置MAC表：

創(chuàng)建VLAN，并將接口加入到VLAN中，實現(xiàn)二層轉(zhuǎn)發(fā)功能。

添加靜態(tài)MAC地址表項，防止非法用戶攻擊。

操作步驟

添加靜態(tài)MAC地址表項

# 創(chuàng)建VLAN2，將接口GigabitEthernet1/0/1、GigabitEthernet1/0/2加入VLAN2。

 system-view
[HUAWEI] sysname Switch
[Switch] vlan 2
[Switch-vlan2] quit
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type access
[Switch-GigabitEthernet1/0/1] port default vlan 2
[Switch-GigabitEthernet1/0/1] quit
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type access
[Switch-GigabitEthernet1/0/2] port default vlan 2
[Switch-GigabitEthernet1/0/2] quit

# 配置靜態(tài)MAC地址表項。

[Switch] mac-address static 2-2-2 GigabitEthernet 1/0/1 vlan 2
[Switch] mac-address static 4-4-4 GigabitEthernet 1/0/2 vlan 2

驗證配置結(jié)果

# 在任意視圖下執(zhí)行display mac-address static vlan 2命令，查看靜態(tài)MAC表是否添加成功。

[Switch] display mac-address static vlan 2
------------------------------------------------------------------------------- 
MAC Address          VLAN/VSI/BD                 Learned-From        Type       
-------------------------------------------------------------------------------
0002-0002-0002       2/-/-                       GE1/0/1             static    
0004-0004-0004       2/-/-                       GE1/0/2             static

-------------------------------------------------------------------------------
Total items displayed  = 2

配置文件

Switch的配置文件

#
sysname Switch
#
vlan batch 2
#
interface GigabitEthernet1/0/1
 port link-type access
 port default vlan 2
#
interface GigabitEthernet1/0/2
 port link-type access
 port default vlan 2
#
mac-address static 0002-0002-0002 GigabitEthernet1/0/1 vlan 2
mac-address static 0004-0004-0004 GigabitEthernet1/0/2 vlan 2
#
return

02配置黑洞MAC地址示例

組網(wǎng)需求

如圖 2所示，交換機Switch收到一個非法用戶的訪問，非法用戶的MAC地址為0005-0005-0005，所屬VLAN為VLAN3。通過指定該MAC地址為黑洞MAC，實現(xiàn)非法用戶的過濾。

圖 2 配置黑洞MAC表組網(wǎng)圖

配置思路

采用如下的思路配置MAC表：

創(chuàng)建VLAN，實現(xiàn)二層轉(zhuǎn)發(fā)功能。

添加黑洞MAC表，防止MAC地址攻擊。

操作步驟

添加黑洞MAC地址表項

# 創(chuàng)建VLAN3。

 system-view
[HUAWEI] sysname Switch
[Switch] vlan 3
[Switch-vlan3] quit

# 添加黑洞MAC地址表項。

[Switch] mac-address blackhole 0005-0005-0005 vlan 3

驗證配置結(jié)果

# 在任意視圖下執(zhí)行display mac-address blackhole命令，查看黑洞MAC表是否添加成功。

[Switch] display mac-address blackhole
------------------------------------------------------------------------------- 
MAC Address    VLAN/VSI/BD                       Learned-From        Type       
------------------------------------------------------------------------------- 
0005-0005-0005 3/-/-                             -                   blackhole  
                                                                                
------------------------------------------------------------------------------- 
Total items displayed = 1

配置文件

Switch的配置文件

#
sysname Switch
#
vlan batch 3
#
mac-address blackhole 0005-0005-0005 vlan 3                                     
#
return

03配置基于接口的MAC地址學(xué)習(xí)限制示例

組網(wǎng)需求

如圖 3 所示，用戶網(wǎng)絡(luò)1和用戶網(wǎng)絡(luò)2通過LSW與Switch相連，Switch連接LSW的接口為GE1/0/1。用戶網(wǎng)絡(luò)1和用戶網(wǎng)絡(luò)2分別屬于VLAN10和VLAN20。在Switch上，為了控制接入用戶數(shù)量，可以基于接口GE1/0/1配置MAC地址學(xué)習(xí)限制功能。

圖 3 配置基于接口的MAC地址學(xué)習(xí)限制數(shù)組網(wǎng)圖

配置思路

采用如下的思路配置基于接口的MAC地址學(xué)習(xí)限制：

創(chuàng)建VLAN，并將接口加入到VLAN中，實現(xiàn)二層轉(zhuǎn)發(fā)功能。

配置基于接口的MAC地址學(xué)習(xí)限制，控制接入用戶數(shù)量。

操作步驟

配置MAC地址學(xué)習(xí)限制

# 將GigabitEthernet1/0/1加入VLAN10和VLAN20。

 system-view
[HUAWEI] sysname Switch
[Switch] vlan batch 10 20
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type hybrid
[Switch-GigabitEthernet1/0/1] port hybrid tagged vlan 10 20

# 在接口GigabitEthernet1/0/1上配置MAC地址學(xué)習(xí)限制規(guī)則：最多可以學(xué)習(xí)100個MAC地址，超過最大MAC地址學(xué)習(xí)數(shù)量的報文丟棄，并進行告警提示。

[Switch-GigabitEthernet1/0/1] mac-limit maximum 100 action discard alarm enable
[Switch-GigabitEthernet1/0/1] return

驗證配置結(jié)果

# 在任意視圖下執(zhí)行display mac-limit命令，查看MAC地址學(xué)習(xí)限制規(guī)則是否配置成功。

 display mac-limit
MAC limit is enabled                                                            
Total MAC limit rule count : 1                                                  
                                                                                
PORT                 VLAN/VSI         SLOT Maximum Rate(ms) Action  Alarm       
----------------------------------------------------------------------------    
GE1/0/1              -                -    100     -        discard enable

配置文件

以下僅給出Switch的配置文件。

#
sysname Switch
#
vlan batch 10 20
#
interface GigabitEthernet1/0/1
 port link-type hybrid
 port hybrid tagged vlan 10 20
 mac-limit maximum 100
#
return

04配置基于VLAN的MAC地址學(xué)習(xí)限制示例

組網(wǎng)需求

如圖 4 所示，用戶網(wǎng)絡(luò)1通過LSW1與Switch相連，Switch的接口為GE1/0/1。用戶網(wǎng)絡(luò)2通過LSW2與Switch相連，Switch的接口為GE1/0/2。GE1/0/1、GE1/0/2同屬于VLAN2。為控制接入用戶數(shù)，對VLAN2進行MAC地址學(xué)習(xí)的限制。

圖 4 配置基于VLAN的MAC地址學(xué)習(xí)限制組網(wǎng)圖

配置思路

采用如下的思路配置基于VLAN的MAC地址學(xué)習(xí)限制：

創(chuàng)建VLAN，并將接口加入到VLAN中，實現(xiàn)二層轉(zhuǎn)發(fā)功能。

配置VLAN的MAC地址學(xué)習(xí)限制，實現(xiàn)防止MAC地址攻擊，控制接入用戶數(shù)量。

操作步驟

配置MAC地址學(xué)習(xí)限制

# 將GigabitEthernet1/0/1、GigabitEthernet1/0/2加入VLAN2。

 system-view
[HUAWEI] sysname Switch
[Switch] vlan 2
[Switch-vlan2] quit
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type hybrid
[Switch-GigabitEthernet1/0/1] port hybrid pvid vlan 2
[Switch-GigabitEthernet1/0/1] port hybrid untagged vlan 2
[Switch-GigabitEthernet1/0/1] quit
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type hybrid
[Switch-GigabitEthernet1/0/2] port hybrid pvid vlan 2
[Switch-GigabitEthernet1/0/2] port hybrid untagged vlan 2
[Switch-GigabitEthernet1/0/2] quit

# 在VLAN2上配置MAC地址學(xué)習(xí)限制規(guī)則：最多可以學(xué)習(xí)100個MAC地址，超過最大MAC地址學(xué)習(xí)數(shù)量的報文繼續(xù)轉(zhuǎn)發(fā)但不加入MAC地址表，并進行告警提示。

[Switch] vlan 2
[Switch-vlan2] mac-limit maximum 100 action forward alarm enable
[Switch-vlan2] return

驗證配置結(jié)果

# 在任意視圖下執(zhí)行display mac-limit命令，查看MAC地址學(xué)習(xí)限制規(guī)則是否配置成功。

 display mac-limit
MAC limit is enabled
Total MAC limit rule count : 1

PORT                 VLAN/VSI      SLOT Maximum Rate(ms) Action  Alarm
----------------------------------------------------------------------------
-                    2                -    100     -     forward enable

配置文件

以下僅給出Switch的配置文件。

#
sysname Switch
#
vlan batch 2
#
vlan 2
 mac-limit maximum 100 action forward
#
interface GigabitEthernet1/0/1
 port link-type hybrid
 port hybrid pvid vlan 2
 port hybrid untagged vlan 2
#
interface GigabitEthernet1/0/2
 port link-type hybrid
 port hybrid pvid vlan 2
 port hybrid untagged vlan 2
#
return

05配置基于VSI的MAC地址學(xué)習(xí)限制示例

組網(wǎng)需求

如圖 5，某企業(yè)機構(gòu)，自建骨干網(wǎng)。為了保證骨干網(wǎng)的安全，在PE設(shè)備上通過配置基于VSI的MAC地址學(xué)習(xí)限制功能，實現(xiàn)對CE的接入控制。

圖 5 配置基于VSI的MAC地址學(xué)習(xí)限制組網(wǎng)圖

配置思路

采用如下的思路配置基于VSI的MAC地址學(xué)習(xí)限制：

在骨干網(wǎng)上配置路由協(xié)議實現(xiàn)互通。

在PE之間建立遠端LDP會話。

在PE間建立傳輸業(yè)務(wù)數(shù)據(jù)所使用的隧道。

在PE上使能MPLS L2VPN。

在PE上創(chuàng)建VSI，指定信令為LDP。

在PE設(shè)備基于VSI配置MAC地址學(xué)習(xí)限制，完成對CE的接入控制。

操作步驟

配置各接口所屬的VLAN以及相關(guān)接口IP地址

# 配置CE1。

 system-view
[HUAWEI] sysname CE1
[CE1] vlan 10
[CE1-vlan10] quit
[CE1] interface vlanif 10
[CE1-Vlanif10] ip address 10.1.1.1 255.255.255.0
[CE1-Vlanif10] quit
[CE1] interface gigabitethernet 1/0/0
[CE1-GigabitEthernet1/0/0] port link-type trunk
[CE1-GigabitEthernet1/0/0] port trunk allow-pass vlan 10
[CE1-GigabitEthernet1/0/0] quit

# 配置CE2。

 system-view
[HUAWEI] sysname CE2
[CE2] vlan 40
[CE2-vlan40] quit
[CE2] interface vlanif 40
[CE2-Vlanif40] ip address 10.1.1.2 255.255.255.0
[CE2-Vlanif40] quit
[CE2] interface gigabitethernet 1/0/0
[CE2-GigabitEthernet1/0/0] port link-type trunk
[CE2-GigabitEthernet1/0/0] port trunk allow-pass vlan 40
[CE2-GigabitEthernet1/0/0] quit

# 配置PE1。

 system-view
[HUAWEI] sysname PE1
[PE1] vlan batch 10 20
[PE1] interface vlanif 20
[PE1-Vlanif20] ip address 4.4.4.4 255.255.255.0
[PE1-Vlanif20] quit
[PE1] interface gigabitethernet 1/0/0
[PE1-GigabitEthernet1/0/0] port link-type trunk
[PE1-GigabitEthernet1/0/0] port trunk allow-pass vlan 10
[PE1-GigabitEthernet1/0/0] quit
[PE1] interface gigabitethernet 2/0/0
[PE1-GigabitEthernet2/0/0] port link-type trunk
[PE1-GigabitEthernet2/0/0] port trunk allow-pass vlan 20
[PE1-GigabitEthernet2/0/0] quit

# 配置P。

 system-view
[HUAWEI] sysname P
[P] vlan batch 20 30
[P] interface vlanif 20
[P-Vlanif20] ip address 4.4.4.2 255.255.255.0
[P-Vlanif20] quit
[P] interface vlanif 30
[P-Vlanif30] ip address 5.5.5.5 255.255.255.0
[P-Vlanif30] quit
[P] interface gigabitethernet 1/0/0
[P-GigabitEthernet1/0/0] port link-type trunk
[P-GigabitEthernet1/0/0] port trunk allow-pass vlan 20
[P-GigabitEthernet1/0/0] quit
[P] interface gigabitethernet 2/0/0
[P-GigabitEthernet2/0/0] port link-type trunk
[P-GigabitEthernet2/0/0] port trunk allow-pass vlan 30
[P-GigabitEthernet2/0/0] quit

# 配置PE2。

 system-view
[HUAWEI] sysname PE2
[PE2] vlan batch 30 40
[PE2] interface vlanif 30
[PE2-Vlanif30] ip address 5.5.5.2 255.255.255.0
[PE2-Vlanif30] quit
[PE2] interface gigabitethernet 1/0/0
[PE2-GigabitEthernet1/0/0] port link-type trunk
[PE2-GigabitEthernet1/0/0] port trunk allow-pass vlan 30
[PE2-GigabitEthernet1/0/0] quit
[PE2] interface gigabitethernet 2/0/0
[PE2-GigabitEthernet2/0/0] port link-type trunk
[PE2-GigabitEthernet2/0/0] port trunk allow-pass vlan 40
[PE2-GigabitEthernet2/0/0] quit

配置IGP，本例中使用OSPF。

配置OSPF時，注意需要發(fā)布PE1、P和PE2的32位Loopback接口地址（LSR-ID）。

# 配置PE1。

[PE1] router id 1.1.1.1
[PE1] interface loopback 1
[PE1-LoopBack1] ip address 1.1.1.1 32
[PE1-LoopBack1] quit
[PE1] ospf 1
[PE1-ospf-1] area 0
[PE1-ospf-1-area-0.0.0.0] network 1.1.1.1 0.0.0.0
[PE1-ospf-1-area-0.0.0.0] network 4.4.4.4 0.0.0.255
[PE1-ospf-1-area-0.0.0.0] quit
[PE1-ospf-1] quit

# 配置P。

[P] router id 2.2.2.2
[P] interface loopback 1
[P-LoopBack1] ip address 2.2.2.2 32
[P-LoopBack1] quit
[P] ospf 1
[P-ospf-1] area 0
[P-ospf-1-area-0.0.0.0] network 2.2.2.2 0.0.0.0
[P-ospf-1-area-0.0.0.0] network 4.4.4.2 0.0.0.255
[P-ospf-1-area-0.0.0.0] network 5.5.5.5 0.0.0.255
[P-ospf-1-area-0.0.0.0] quit
[P-ospf-1] quit

# 配置PE2。

[PE2] router id 3.3.3.3
[PE2] interface loopback 1
[PE2-LoopBack1] ip address 3.3.3.3 32
[PE2-LoopBack1] quit
[PE2] ospf 1
[PE2-ospf-1] area 0
[PE2-ospf-1-area-0.0.0.0] network 3.3.3.3 0.0.0.0
[PE2-ospf-1-area-0.0.0.0] network 5.5.5.2 0.0.0.255
[PE2-ospf-1-area-0.0.0.0] quit
[PE2-ospf-1] quit

配置完成后，在PE1、P和PE2上執(zhí)行display ip routing-table命令可以看到已學(xué)到彼此的路由。以PE1的顯示為例：

[PE1] display ip routing-table                                                   
Route Flags: R - relay, D - download to fib, T - to vpn-instance                                     
------------------------------------------------------------------------------  
Routing Tables: Public                                                          
         Destinations : 8       Routes : 8                                      
                                                                                
Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface      
                                                                                
        1.1.1.1/32  Direct  0    0           D   127.0.0.1       LoopBack1      
        2.2.2.2/32  OSPF    10   1           D   4.4.4.2         Vlanif20       
        3.3.3.3/32  OSPF    10   2           D   4.4.4.2         Vlanif20       
        4.4.4.0/24  Direct  0    0           D   4.4.4.4         Vlanif20       
        4.4.4.4/32  Direct  0    0           D   127.0.0.1       Vlanif20       
        5.5.5.0/24  OSPF    10   2           D   4.4.4.2         Vlanif20       
      127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0    
      127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0

配置MPLS基本能力和LDP

# 配置PE1

[PE1] mpls lsr-id 1.1.1.1
[PE1] mpls
[PE1-mpls] quit
[PE1] mpls ldp
[PE1-mpls-ldp] quit
[PE1] interface vlanif 20
[PE1-Vlanif20] mpls
[PE1-Vlanif20] mpls ldp
[PE1-Vlanif20] quit

# 配置P

[P] mpls lsr-id 2.2.2.2
[P] mpls
[P-mpls] quit
[P] mpls ldp
[P-mpls-ldp] quit
[P] interface vlanif 20
[P-Vlanif20] mpls
[P-Vlanif20] mpls ldp
[P-Vlanif20] quit
[P] interface vlanif 30
[P-Vlanif30] mpls
[P-Vlanif30] mpls ldp
[P-Vlanif30] quit

# 配置PE2

[PE2] mpls lsr-id 3.3.3.3
[PE2] mpls
[PE2-mpls] quit
[PE2] mpls ldp
[PE2-mpls-ldp] quit
[PE2] interface vlanif 30
[PE2-Vlanif30] mpls
[PE2-Vlanif30] mpls ldp
[PE2-Vlanif30] quit

配置完成后，在PE1、P和PE2上執(zhí)行display mpls ldp session命令可以看到PE1和P之間或PE2和P之間的對等體的Status項為“Operational”，即對等體關(guān)系已建立。執(zhí)行display mpls lsp命令可以看到LSP的建立情況。以PE1的顯示為例：

[PE1] display mpls ldp session

 LDP Session(s) in Public Network
 Codes: LAM(Label Advertisement Mode), SsnAge Unit(DDDDMM)
 A '*' before a session means the session is being deleted.
 ------------------------------------------------------------------------------
 PeerID            Status      LAM  SsnRole  SsnAge      KASent/Rcv
 ------------------------------------------------------------------------------
 2.2.2.2:0          Operational DU Passive  00029   3717/3717
 ------------------------------------------------------------------------------
 TOTAL: 1 session(s) Found.

在PE之間建立遠端LDP會話

# 配置PE1。

[PE1] mpls ldp remote-peer 3.3.3.3
[PE1-mpls-ldp-remote-3.3.3.3] remote-ip 3.3.3.3
[PE1-mpls-ldp-remote-3.3.3.3] quit

# 配置PE2。

[PE2] mpls ldp remote-peer 1.1.1.1
[PE2-mpls-ldp-remote-1.1.1.1] remote-ip 1.1.1.1
[PE2-mpls-ldp-remote-1.1.1.1] quit

配置完成后，在PE1或PE2上執(zhí)行display mpls ldp session命令可以看到PE1和PE2之間的對等體的Status項為“Operational”，即遠端對等體關(guān)系已建立。

在PE上使能MPLS L2VPN

# 配置PE1。

[PE1] mpls l2vpn
[PE1-l2vpn] quit

# 配置PE2。

[PE2] mpls l2vpn
[PE2-l2vpn] quit

在PE上配置VSI

# 配置PE1。

[PE1] vsi a2 static
[PE1-vsi-a2] pwsignal ldp
[PE1-vsi-a2-ldp] vsi-id 2
[PE1-vsi-a2-ldp] peer 3.3.3.3
[PE1-vsi-a2-ldp] quit
[PE1-vsi-a2] quit

# 配置PE2。

[PE2] vsi a2 static
[PE2-vsi-a2] pwsignal ldp
[PE2-vsi-a2-ldp] vsi-id 2
[PE2-vsi-a2-ldp] peer 1.1.1.1
[PE2-vsi-a2-ldp] quit
[PE2-vsi-a2] quit

在PE上配置VSI與接口的綁定

# 配置PE1。

[PE1] interface vlanif 10
[PE1-Vlanif10] l2 binding vsi a2
[PE1-Vlanif10] quit

# 配置PE2。

[PE2] interface vlanif 40
[PE2-Vlanif40] l2 binding vsi a2
[PE2-Vlanif40] quit

驗證配置結(jié)果

完成上述配置后，在PE1上執(zhí)行display vsi name a2 verbose命令，可以看到名字為a2的VSI建立了一條PW到PE2，VSI狀態(tài)為UP。

[PE1] display vsi name a2 verbose

 ***VSI Name               : a2
    Administrator VSI      : no
    Isolate Spoken         : disable
    VSI Index              : 0
    PW Signaling           : ldp
    Member Discovery Style : static
    PW MAC Learn Style     : unqualify
    Encapsulation Type     : vlan
    MTU                    : 1500
    Diffserv Mode          : uniform
    Mpls Exp               : --
    DomainId               : 255
    Domain Name            :
    Ignore AcState         : disable
    P2P VSI                : disable
    Create Time            : 0 days, 0 hours, 5 minutes, 1 seconds
    VSI State              : up

    VSI ID                 : 2
   *Peer Router ID         : 3.3.3.3
    Negotiation-vc-id      : 2
    primary or secondary   : primary
    ignore-standby-state   : no
    VC Label               : 4098
    Peer Type              : dynamic
    Session                : up
    Tunnel ID              : 0x1
    Broadcast Tunnel ID    : 0x1
    Broad BackupTunnel ID  : 0x0
    CKey                   : 2
    NKey                   : 1
    Stp Enable             : 0
    PwIndex                : 0
    Control Word           : disable

    Interface Name         : Vlanif10
    State                  : up
    Access Port            : false
    Last Up Time           : 2010/12/30 1118
    Total Up Time          : 0 days, 0 hours, 1 minutes, 35 seconds

    **PW Information:

   *Peer Ip Address        : 3.3.3.3
    PW State               : up
    Local VC Label         : 4098
    Remote VC Label        : 4098
    Remote Control Word    : disable
    PW Type                : label
    Local  VCCV            : alert lsp-ping bfd
    Remote VCCV            : alert lsp-ping bfd
    Tunnel ID              : 0x1
    Broadcast Tunnel ID    : 0x1
    Broad BackupTunnel ID  : 0x0
    Ckey                   : 0x2
    Nkey                   : 0x1
    Main PW Token          : 0x1
    Slave PW Token         : 0x0
    Tnl Type               : LSP
    OutInterface           : Vlanif20
    Backup OutInterface    :
    Stp Enable             : 0
    PW Last Up Time        : 2010/12/30 1103
    PW Total Up Time       : 0 days, 0 hours, 1 minutes, 35 seconds

在CE1（10.1.1.1）上能夠ping通CE2（10.1.1.2）。

[CE1] ping 10.1.1.2
  PING 10.1.1.2: 56  data bytes, press CTRL_C to break
    Reply from 10.1.1.2: bytes=56 Sequence=1 ttl=255 time=90 ms
    Reply from 10.1.1.2: bytes=56 Sequence=2 ttl=255 time=77 ms
    Reply from 10.1.1.2: bytes=56 Sequence=3 ttl=255 time=34 ms
    Reply from 10.1.1.2: bytes=56 Sequence=4 ttl=255 time=46 ms
    Reply from 10.1.1.2: bytes=56 Sequence=5 ttl=255 time=94 ms

  --- 10.1.1.2 ping statistics ---
    5 packet(s) transmitted
    5 packet(s) received
    0.00% packet loss
    round-trip min/avg/max = 34/68/94 ms

在PE1的VSI上配置MAC地址學(xué)習(xí)限制

# 在VSI上配置MAC地址學(xué)習(xí)限制規(guī)則：最多可以學(xué)習(xí)300個MAC地址，超過最大MAC地址學(xué)習(xí)數(shù)量的報文直接丟棄并進行告警提示。

[PE1] vsi a2 static
[PE1-vsi-a2] mac-limit maximum 300 action discard alarm enable
[PE1-vsi-a2] return

驗證配置結(jié)果

# 在任意視圖下執(zhí)行display mac-limit命令，查看MAC地址學(xué)習(xí)限制規(guī)則是否配置成功。

 display mac-limit
MAC limit is enabled
Total MAC limit rule count : 1

PORT                 VLAN/VSI      SLOT Maximum Rate(ms) Action  Alarm
----------------------------------------------------------------------------
-                    a2            -    300     -        discard enable

配置文件

CE1的配置文件

#
sysname CE1
#
vlan batch 10
#
interface Vlanif10
 ip address 10.1.1.1 255.255.255.0
#
interface GigabitEthernet1/0/0
 port link-type trunk
 port trunk allow-pass vlan 10
#
return

CE2的配置文件

#
sysname CE2
#
vlan batch 40
#
interface Vlanif40
 ip address 10.1.1.2 255.255.255.0
#
interface GigabitEthernet1/0/0
 port link-type trunk
 port trunk allow-pass vlan 40
#
return

PE1的配置文件

#
sysname PE1
#
router id 1.1.1.1
#
vlan batch 10 20
#
mpls lsr-id 1.1.1.1
mpls
#
mpls l2vpn
#
vsi a2 static 
 mac-limit maximum 300
 pwsignal ldp 
  vsi-id 2    
  peer 3.3.3.3
# 
mpls ldp
#
mpls ldp remote-peer 3.3.3.3
 remote-ip 3.3.3.3
#
interface Vlanif10
 l2 binding vsi a2
#
interface Vlanif20
 ip address 4.4.4.4 255.255.255.0
 mpls
 mpls ldp
#
interface GigabitEthernet1/0/0
 port link-type trunk
 port trunk allow-pass vlan 10
#
interface GigabitEthernet2/0/0
 port link-type trunk
 port trunk allow-pass vlan 20
#
interface LoopBack1
 ip address 1.1.1.1 255.255.255.255
#
ospf 1
 area 0.0.0.0
  network 1.1.1.1 0.0.0.0
  network 4.4.4.0 0.0.0.255
#
return

P的配置文件

#
sysname P
#
router id 2.2.2.2
#
vlan batch 20 30
#
mpls lsr-id 2.2.2.2
mpls
#
mpls ldp
#
interface Vlanif20
 ip address 4.4.4.2 255.255.255.0
 mpls
 mpls ldp
#
interface Vlanif30
 ip address 5.5.5.5 255.255.255.0
 mpls
 mpls ldp
#
interface GigabitEthernet1/0/0
 port link-type trunk
 port trunk allow-pass vlan 20
#
interface GigabitEthernet2/0/0
 port link-type trunk
 port trunk allow-pass vlan 30
#
interface LoopBack1
 ip address 2.2.2.2 255.255.255.255
#
ospf 1
 area 0.0.0.0
  network 2.2.2.2 0.0.0.0
  network 4.4.4.0 0.0.0.255
  network 5.5.5.0 0.0.0.255
#
return

PE2的配置文件

#
sysname PE2
#
router id 3.3.3.3
#
vlan batch 30 40
#
mpls lsr-id 3.3.3.3
mpls
#
mpls l2vpn
#
vsi a2 static
 pwsignal ldp
  vsi-id 2
  peer 1.1.1.1
#
mpls ldp
#
mpls ldp remote-peer 1.1.1.1
 remote-ip 1.1.1.1
#
interface Vlanif30
 ip address 5.5.5.2 255.255.255.0
 mpls
 mpls ldp
#
interface Vlanif40
 l2 binding vsi a2
#
interface GigabitEthernet1/0/0
 port link-type trunk
 port trunk allow-pass vlan 30
#
interface GigabitEthernet2/0/0
 port link-type trunk
 port trunk allow-pass vlan 40
#
interface LoopBack1
 ip address 3.3.3.3 255.255.255.255
#
ospf 1
 area 0.0.0.0
  network 3.3.3.3 0.0.0.0
  network 5.5.5.0 0.0.0.255
#
return

06配置MAC防漂移示例

組網(wǎng)需求

某企業(yè)網(wǎng)絡(luò)中，用戶需要訪問企業(yè)的服務(wù)器。如果某些非法用戶從其他接口假冒服務(wù)器的MAC地址發(fā)送報文，則服務(wù)器的MAC地址將在其他接口學(xué)習(xí)到。這樣用戶發(fā)往服務(wù)器的報文就會發(fā)往非法用戶，不僅會導(dǎo)致用戶與服務(wù)器不能正常通信，還會導(dǎo)致一些重要用戶信息被竊取。

如圖 6 所示，為了提高服務(wù)器安全性，防止被非法用戶攻擊，可配置MAC防漂移功能。

圖 6 配置MAC防漂移組網(wǎng)圖

配置思路

采用如下的思路配置MAC防漂移：

創(chuàng)建VLAN，并將接口加入到VLAN中，實現(xiàn)二層轉(zhuǎn)發(fā)功能。

在服務(wù)器連接的接口上配置MAC防漂移功能，實現(xiàn)MAC地址防漂移。

操作步驟

創(chuàng)建VLAN，并將接口加入到VLAN中。

# 將GigabitEthernet1/0/1、GigabitEthernet1/0/2加入VLAN10。

 system-view
[HUAWEI] sysname Switch
[Switch] vlan 10
[Switch-vlan10] quit
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] port link-type trunk
[Switch-GigabitEthernet1/0/2] port trunk allow-pass vlan 10 
[Switch-GigabitEthernet1/0/2] quit
[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type hybrid
[Switch-GigabitEthernet1/0/1] port hybrid pvid vlan 10
[Switch-GigabitEthernet1/0/1] port hybrid untagged vlan 10

# 在GigabitEthernet1/0/1上配置MAC地址學(xué)習(xí)的優(yōu)先級為2。

[Switch-GigabitEthernet1/0/1] mac-learning priority 2
[Switch-GigabitEthernet1/0/1] quit

驗證配置結(jié)果

# 在任意視圖下執(zhí)行display current-configuration命令，查看接口MAC地址學(xué)習(xí)的優(yōu)先級配置是否正確。

[Switch] display current-configuration interface gigabitethernet 1/0/1
#
interface GigabitEthernet1/0/1
 port link-type hybrid
 port hybrid pvid vlan 10
 port hybrid untagged vlan 10
 mac-learning priority 2
#
return

配置文件

Switch的配置文件

#
sysname Switch
#
vlan batch 10
#
interface GigabitEthernet1/0/1
 port link-type hybrid
 port hybrid pvid vlan 10
 port hybrid untagged vlan 10
 mac-learning priority 2
#
interface GigabitEthernet1/0/2
 port link-type trunk
 port trunk allow-pass vlan 10
#
return

07配置MAC地址漂移檢測示例

組網(wǎng)需求

如圖 7 所示，網(wǎng)絡(luò)中兩臺LSW間網(wǎng)線誤接形成了網(wǎng)絡(luò)環(huán)路，引起MAC地址發(fā)生漂移、MAC地址表震蕩。

為了能夠及時檢測網(wǎng)絡(luò)中出現(xiàn)的環(huán)路，可以在Switch上配置MAC地址漂移檢測功能，通過檢測是否發(fā)生MAC地址漂移來判斷網(wǎng)絡(luò)中存在的環(huán)路，從而排除故障。

圖 7 配置MAC地址漂移檢測應(yīng)用組網(wǎng)圖

配置思路

采用如下思路配置MAC地址漂移檢測功能：

開啟MAC地址漂移檢測功能，實現(xiàn)檢測網(wǎng)絡(luò)中是否存在MAC地址漂移。

配置MAC地址漂移表項的老化時間。

配置接口MAC地址漂移后的處理動作，實現(xiàn)破除環(huán)路。

操作步驟

#開啟MAC地址漂移檢測功能

 system-view
[HUAWEI] sysname Switch
[Switch] mac-address flapping detection

#配置MAC地址漂移表項的老化時間

[Switch] mac-address flapping aging-time 500

#配置GE1/0/1、GE1/0/2接口MAC地址漂移后關(guān)閉

[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] mac-address flapping action error-down
[Switch-GigabitEthernet1/0/1] quit
[Switch] interface gigabitethernet 1/0/2
[Switch-GigabitEthernet1/0/2] mac-address flapping action error-down
[Switch-GigabitEthernet1/0/2] quit

#配置被Shutdown接口的自動恢復(fù)功能、自動恢復(fù)時間

[Switch] error-down auto-recovery cause mac-address-flapping interval 500

#檢查配置結(jié)果

配置完成后，當(dāng)接口GE1/0/1的MAC地址漂移到接口GE1/0/2后，接口GE1/0/2關(guān)閉；使用display mac-address flapping record可查看到漂移記錄。

[Switch] display mac-address flapping record
 S  : start time                                                                
 E  : end time                                                                  
(Q) : quit vlan                                                                 
(D) : error down 
-------------------------------------------------------------------------------
Move-Time                 VLAN MAC-Address     Original-Port    Move-Ports   MoveNum
-------------------------------------------------------------------------------
S:2012-04-01 1736     1    0000-0000-0007  GE1/0/1         GE1/0/2(D)   83
E:2012-04-01 1744

-------------------------------------------------------------------------------
Total items on slot 1: 1

配置文件

Switch的配置文件

#
sysname Switch
#                                                                               
error-down auto-recovery cause mac-address-flapping interval 500  
#                                                                               
mac-address flapping aging-time 500    
#
interface GigabitEthernet1/0/1
 mac-address flapping action error-down    
#
interface GigabitEthernet1/0/2
 mac-address flapping action error-down    
#
return

審核編輯：湯梓紅