基于MAC地址的ACL配置

【实验目的】

  1. 掌握基于MAC地址的标准ACL的配置。
  2. 验证配置。

【实验拓扑】

实验拓扑如图1所示。

基于mac地址划分vlan的原理 基于mac地址的acl_安全

 

图1 实验拓扑

设备参数如表所示。

表1 设备参数表

设备

接口

IP地址

子网掩码

默认网关

S1

e0/0

N/A

N/A

N/A

e0/1

N/A

N/A

N/A

PC1

N/A

192.168.3.1

255.255.255.0

N/A

PC2

N/A

192.168.3.2

255.255.255.0

N/A

【实验内容】

  1. 验证连通性

基于mac地址划分vlan的原理 基于mac地址的acl_macos_02

 

2.配置基于MAC地址的ACL

IOU2(config)#hostname S1
S1(config)#mac access-list extended mac
S1(config-ext-macl)#deny host 00:50:79:66:68:01 any
S1(config-ext-macl)#permit any any
S1(config-ext-macl)#exit
S1(config)#interface e0/1
S1(config-if)#mac acc
S1(config-if)#mac access-group mac in
S1(config-if)#
S1(config-if)#end
S1#write
*May 20 22:36:04.308: %SYS-5-CONFIG_I: Configured from console by console
S1#write
Warning: Attempting to overwrite an NVRAM configuration previously written
by a different version of the system image.
Overwrite the previous NVRAM configuration?[confirm]
Building configuration...
Compressed configuration from 1463 bytes to 885 bytes[OK]
S1#

3.验证连通性

PC1不可以 ping不通PC2

基于mac地址划分vlan的原理 基于mac地址的acl_基于mac地址划分vlan的原理_03

PC2可以ping通PC1

基于mac地址划分vlan的原理 基于mac地址的acl_网络_04

 

4.【实验原理】

基于MAC地址的访问控制列表（MAC ACL）是一种网络安全机制，用于基于设备的物理地址（MAC地址）对网络流量进行过滤和控制。它可以在二层以太网交换机上实现。

MAC ACL的工作原理如下：

  1. MAC地址的识别：每个网络设备都有唯一的MAC地址，用于在局域网中唯一标识设备。MAC ACL使用这些MAC地址来识别和匹配网络流量。
  2. ACL规则定义：管理员可以创建MAC ACL规则，其中每个规则由一个允许或拒绝的动作以及一个或多个源和目标MAC地址组成。规则可以基于单个MAC地址、MAC地址范围或MAC地址的通配符匹配。
  3. ACL应用位置：MAC ACL通常应用于交换机的接口或VLAN上。通过将ACL应用于接口或VLAN，可以控制通过该接口或VLAN的流量。
  4. 匹配和处理：当数据包通过交换机的接口或VLAN时，交换机会检查数据包的源和目标MAC地址，并与已配置的MAC ACL规则进行匹配。如果匹配成功，将根据规则中定义的动作（允许或拒绝）来处理数据包。如果没有匹配到任何规则，默认情况下通常会执行默认操作（允许或拒绝）。
  5. 数据包处理：根据匹配结果，交换机可以采取以下操作：
  6. 允许数据包通过：如果数据包与允许规则匹配，交换机将允许数据包通过，继续转发到目标设备。
  7. 拒绝数据包：如果数据包与拒绝规则匹配，交换机将丢弃该数据包，不进行转发。
  8. 默认操作：如果数据包未匹配到任何规则，则执行预先配置的默认操作。默认操作可以是允许或拒绝。

MAC ACL的优点包括：

  1. 它提供了一种额外的安全层，可在二层网络中对特定MAC地址的流量进行细粒度控制。
  2. 它可以用于限制特定设备之间的通信，增加网络的安全性。
  3. 它对于防范MAC地址欺骗和ARP欺骗等攻击具有一定的防御作用。

然而，需要注意的是，MAC ACL的控制范围仅限于局域网内部，在广域网和跨网络通信方面并不起作用。此外，MAC地址可以被伪造或修改，因此对于更高级的网络安全需求，还需要综合使用其他安全措施和技术。

注：此实验可在gns3或eve-ng都可模拟