[H3C]配置命令之MAC地址表项应用：封禁MAC地址

Posted 2023-03-30 CINOCT

MAC（Media Access Control，媒体访问控制）地址表记录了 MAC 地址与接口的对应关系，以及接口所属的 VLAN 等信息。设备在转发报文时，根据报文的目的 MAC 地址查询 MAC 地址表，如果MAC地址表中包含与报文目的MAC地址对应的表项，则直接通过该表项中的出接口转发该报文；如果 MAC 地址表中没有包含报文目的 MAC 地址对应的表项时，设备将采取广播方式通过对应VLAN 内除接收接口外的所有接口转发该报文。

MAC地址表记录了目的MAC地址、MAC地址对应的出接口以及所属的VLAN ID。在转发数据时，设备根据报文中的目的MAC地址查询MAC地址表，快速定位出接口，从而减少广播。

MAC 地址表项的分类

• 静态 MAC 地址表项：由用户手工配置，用于目的是某个 MAC 地址的报文从对应接口转发出去，表项不老化。静态 MAC 地址表项优先级高于自动生成的 MAC 地址表项。
• 动态 MAC 地址表项：可以由用户手工配置，也可以由设备通过源 MAC 地址学习自动生成，用于目的是某个 MAC 地址的报文从对应接口转发出去，表项有老化时间。手工配置的动态MAC 地址表项优先级等于自动生成的 MAC 地址表项。
• 黑洞 MAC 地址表项：由用户手工配置，用于丢弃源 MAC 地址或目的 MAC 地址为指定 MAC地址的报文（例如，出于安全考虑，可以禁止某个用户发送和接收报文），表项不老化。黑洞MAC 地址表项优先级高于自动生成的 MAC 地址表项。

一、示例：静态MAC地址表项及MAC黑洞

# 增加一个静态 MAC 地址表项，目的地址为 000f-e235-dc71，出接口为 GE1/0/1，且该接口属于 VLAN 2

<H3C> system-view

[H3C] mac-address static 000f-e235-dc71 interface GigabitEthernet 1/0/1 vlan 2

# 增加一个黑洞 MAC 地址表项，地址为 000f-e235-abcd，MAC地址或端口属于 VLAN 10

[H3C] mac-address blackhole 000f-e235-abcd vlan 10

# 配置动态 MAC 地址表项的老化时间为 500 秒

[H3C] mac-address timer aging 500

二、步骤：封禁MAC地址（MAC地址黑洞）

示例1：查找并封禁网络中私接路由器

说明：局域网中发现IP为192.168.1.1的TP-Link设备，此可能存在私接网络设备，通过IP地址查找对应MAC地址，然后在交换机中从上到下逐级查找该MAC所连接的接口。

1. 在PC的cmd命令行，使用arp -a命令查询IP对应的MAC地址，假设所得MAC为8C-16-45-F1-EB-A6

# 显示（所有）IP到MAC地址的地址转换表；也即在自动缓存中读取IP地址和mac地址的对应表

C:\\>arp -a

# 显示指定IP地址192.168.1.1的对应MAC地址

C:\\>arp -a 192.168.1.1

注：ARP是地址解析协议，通过IP地址找到设备的MAC地址。

2. 在交换机上逐级查询该MAC地址对应的接口，假设对应接口为接入交换机SW1中的G1/0/10口，VLAN为50

# 显示所有MAC地址信息（状态、接口、VLAN、Aging等）

<H3C> display mac-address

# 显示某一MAC为8C-16-45-F1-EB-A6的MAC地址信息（状态、接口、VLAN、Aging等）

<H3C> display mac-address 8C16-45F1-EBA6

3. 在对应交换机SW1中，将该MAC加入MAC地址黑洞，从而禁用该MAC地址

# 将8C-16-45-F1-EB-A6（所属vlan为50）加入MAC地址黑洞禁用该MAC

[SW1] mac-address blackhole 8C16-45F1-EBA6 vlan 50

注：通过display mac-address查看该MAC地址状态变化，State由Learned变为Blackhole。

4. 若需要禁用该MAC的对应接口，可直接关闭该接口

# 将交换机SW1接口G1/0/10关闭，禁用该接口

[SW1] interface GigabitEthernet 1/0/10

[SW1] shutdown

示例2：封禁中病毒IP地址对应PC机

说明：安全设备发现网络中感染病毒的PC的IP地址为10.131.102.72，封禁这台IP地址的PC。

1. 通过ping该IP地址测试PC是否在线：

A. 若PC在线，在交换机中通过arp命令显示IP地址对应的MAC地址及交换机接口，根据该IP对应的接口信息逐级查找该IP的接入交换机及其MAC地址，假设MAC地址为8C-16-45-F1-EB-A6

<H3C> display arp 10.131.102.72

B. 若PC不在线，则无法通过arp命令显示IP地址的MAC地址及交换机接口，此时可以通过查看DHCP服务器为客户端分配的IP地址信息，来获取该IP对应的MAC地址，假设得到的MAC地址为8C-16-45-F1-EB-A6

<H3C> display dhcp server ip-in-use

# 显示DHCP服务器为客户端分配的某一IP地址的信息

<H3C> display dhcp server ip-in-use ip 10.131.102.72

2. 在对应接入交换机SW1中，查找该IP对应的MAC和vlan，假设vlan为50，将该MAC加入MAC地址黑洞，从而禁用该MAC地址

[SW1] mac-address blackhole 8C16-45F1-EBA6 vlan 50

3. 在交换机SW1中，查看该MAC地址的状态，Blackhole为封禁状态，Learned为正常学习状态

[SW1] display mac-address 8C16-45F1-EBA6

三、命令格式

3.1 配置MAC地址表

# 全局配置静态/动态MAC地址表项

[H3C] mac-address dynamic | static mac-address interface interface-type interface-number vlan vlan-id

# 接口配置静态/动态MAC地址表项

[H3C-GigabitEthernet1/0/1] mac-address dynamic | static mac-address vlan vlan-id

# 配置目的黑洞MAC地址表项

[H3C] mac-address blackhole mac-address vlan vlan-id

# 关闭接口的MAC地址学习功能。注，关闭MAC地址学习功能可以有效防止这种攻击：黑客使用大量源MAC地址不同的报文攻击设备，导致设备MAC地址表资源耗尽，造成设备无法根据网络的变化更新MAC地址表。

[H3C-GigabitEthernet1/0/1] undo mac-address mac-learning enable

# 配置动态 MAC 地址表项的老化时间，缺省时间为为300秒

[H3C] mac-address timer aging seconds | no-aging

3.2 MAC地址表显示和维护

# 查看MAC地址表信息

<H3C> display mac-address [ mac-address [ vlan vlan-id ] | [ [ dynamic | static ] [ interface interface-type interface-number ] | blackhole ] [ vlan vlan-id ] [ count ] ]

# 显示MAC地址表动态表项的老化时间

<H3C> display mac-address aging-time

# 显示MAC地址学习功能的使能状态

<H3C> display mac-address mac-learning [ interface interface-type interface-number ]

思科交换机配置单播MAC地址过滤

1、其他厂商：

在华为，华三等设备上，我们都有“黑洞MAC地址表项” 的配置，其特点是手动配置、不会老化，且重启后也不会丢失。例如如下示例：

黑洞表项是特殊的静态MAC地址表项，丢弃含有特定源MAC地址或目的的MAC地址的数据帧；防止无用的MAC地址表项占用MAC地址表；将非信任的MAC配置为黑洞MAC地址，当设备收到目的或源MAC地址为黑洞里的MAC时直接丢弃，防止网络攻击。

在MAC地址已满的情况下配置静态或黑洞MAC表时，如果表中存在对应的要配置的表则自动覆盖；如果不存在则无法添加静态或黑洞MAC表

在删除MAC地址表项时必须指定接口、vlan，否则会删除所有接口或vlan下的表项。

【摘自：http://www.023wg.com/huawei/33.html】

 

2、思科配置

在思科的交换机上，也可以有类似的配置，该命令如下：

This example shows how to enable unicast MAC address filtering and how to configure drop packets that have a source or destination address of c2f3.220a.12f4. When a packet is received in VLAN 4 with this MAC address as its source or destination, the packet is dropped:

Switch(config)# mac address-table static c2f3.220a.12f4 vlan 4 drop

可以按照以下步骤配置设备以丢弃源或目标单播静态地址：

Device> enable
Device# configure terminal
Device(config)# mac address-table static c2f3.220a.12f4 vlan 4 drop

思科官网可查询的配置文档（15.0(2)EX   之后），应该都支持如上配置。