基于MAC地址的ACL配置

【实验目的】

1. 掌握基于MAC地址的标准ACL的配置。
2. 验证配置。

【实验拓扑】

实验拓扑如图1所示。

 

图1 实验拓扑

设备参数如表所示。

表1 设备参数表

设备	接口	IP地址	子网掩码	默认网关
S1	e0/0	N/A	N/A	N/A
	e0/1	N/A	N/A	N/A
PC1	N/A	192.168.3.1	255.255.255.0	N/A
PC2	N/A	192.168.3.2	255.255.255.0	N/A

【实验内容】

1. 验证连通性

 

2.配置基于MAC地址的ACL

IOU2(config)#hostname S1

S1(config)#mac access-list extended mac

S1(config-ext-macl)#deny host 00:50:79:66:68:01 any

S1(config-ext-macl)#permit any any

S1(config-ext-macl)#exit

S1(config)#interface e0/1

S1(config-if)#mac acc

S1(config-if)#mac access-group mac in

S1(config-if)#

S1(config-if)#end

S1#write

*May 20 22:36:04.308: %SYS-5-CONFIG_I: Configured from console by console

S1#write

Warning: Attempting to overwrite an NVRAM configuration previously written

by a different version of the system image.

Overwrite the previous NVRAM configuration?[confirm]

Building configuration...

Compressed configuration from 1463 bytes to 885 bytes[OK]

S1#

3.验证连通性

PC1不可以 ping不通PC2

PC2可以ping通PC1

 

4.【实验原理】

基于MAC地址的访问控制列表（MAC ACL）是一种网络安全机制，用于基于设备的物理地址（MAC地址）对网络流量进行过滤和控制。它可以在二层以太网交换机上实现。

MAC ACL的工作原理如下：

1. MAC地址的识别：每个网络设备都有唯一的MAC地址，用于在局域网中唯一标识设备。MAC ACL使用这些MAC地址来识别和匹配网络流量。
2. ACL规则定义：管理员可以创建MAC ACL规则，其中每个规则由一个允许或拒绝的动作以及一个或多个源和目标MAC地址组成。规则可以基于单个MAC地址、MAC地址范围或MAC地址的通配符匹配。
3. ACL应用位置：MAC ACL通常应用于交换机的接口或VLAN上。通过将ACL应用于接口或VLAN，可以控制通过该接口或VLAN的流量。
4. 匹配和处理：当数据包通过交换机的接口或VLAN时，交换机会检查数据包的源和目标MAC地址，并与已配置的MAC ACL规则进行匹配。如果匹配成功，将根据规则中定义的动作（允许或拒绝）来处理数据包。如果没有匹配到任何规则，默认情况下通常会执行默认操作（允许或拒绝）。
5. 数据包处理：根据匹配结果，交换机可以采取以下操作：

1. 允许数据包通过：如果数据包与允许规则匹配，交换机将允许数据包通过，继续转发到目标设备。
2. 拒绝数据包：如果数据包与拒绝规则匹配，交换机将丢弃该数据包，不进行转发。
3. 默认操作：如果数据包未匹配到任何规则，则执行预先配置的默认操作。默认操作可以是允许或拒绝。

MAC ACL的优点包括：

1. 它提供了一种额外的安全层，可在二层网络中对特定MAC地址的流量进行细粒度控制。
2. 它可以用于限制特定设备之间的通信，增加网络的安全性。
3. 它对于防范MAC地址欺骗和ARP欺骗等攻击具有一定的防御作用。

然而，需要注意的是，MAC ACL的控制范围仅限于局域网内部，在广域网和跨网络通信方面并不起作用。此外，MAC地址可以被伪造或修改，因此对于更高级的网络安全需求，还需要综合使用其他安全措施和技术。

注：此实验可在gns3或eve-ng都可模拟