Настройка EtherType based ACL¶

Описание и назначение функции¶

EtherType based ACL позволяет фильтровать трафик на основе значения поля EtherType в заголовке Ethernet-кадра. Поле EtherType идентифицирует протокол верхнего уровня, инкапсулированный в кадре, и занимает 2 октета.

Основные сценарии использования:

Блокировка ARP-трафика на определенных интерфейсах для предотвращения ARP-spoofing
Разделение IPv4 и IPv6 трафика на канальном уровне
Фильтрация нестандартных протоколов (MPLS, FCoE, LLDP)
Ограничение служебного трафика (CDP, LLDP, 802.1X) на граничных портах

Применяется на физических интерфейсах, bundle-интерфейсах и VLAN, работает на канальном уровне независимо от IP-адресации.

Необходимые условия и предварительные требования¶

Для настройки EtherType based ACL требуется:

Физический доступ к коммутатору или активная SSH-сессия
Права уровня Privileged EXEC (режим enable)
Версия ПО: v1.0.2 и выше (серия CIT L3200)
Определен список разрешенных/запрещенных значений EtherType для политики безопасности

Примечание

EtherType ACL применяется только к входящему трафику (direction in). Применение на интерфейсе автоматически активирует правила.

Назначение команд конфигурации¶

Команда	Режим	Назначение
`filter-list <10-2999> name <NAME>`	Global config	Создает именованный список фильтрации L2 (10-2999 для MAC/EtherType ACL)
`filter <priority> mac <src> <dst> eth-type <type>`	Configure-filter-l2	Определяет правило сопоставления по MAC-адресам и типу Ethernet
`filter <priority> action <permit\\|deny>`	Configure-filter-l2	Назначает действие для правила с указанным приоритетом
`interface <type> <id>`	Global config	Входит в режим конфигурации интерфейса
`filter-list in <list-id>`	Interface config	Применяет список фильтрации на входящий трафик интерфейса
`show filter-list <list-id>`	Privileged EXEC	Отображает конфигурацию указанного списка фильтрации
`show filter-list interface`	Privileged EXEC	Показывает привязку списков фильтрации к интерфейсам

Конфигурация требует создания списка фильтрации с правилами и последующего применения на интерфейсах.

Пример конфигурирования¶

Пошаговые инструкции¶

Шаг 1. Вход в режим глобальной конфигурации

1 2	`Switch>enable Switch#configure`

Переход в привилегированный режим и режим глобальной конфигурации.

Шаг 2. Создание именованного списка фильтрации

1 2	`Switch(config)#filter-list 11 name ETHERTYPE_ARP_DENY Switch(configure-filter-l2-11)#`

Создается список фильтрации с идентификатором 11 (диапазон L2 ACL: 10-2999) и именем ETHERTYPE_ARP_DENY.

Шаг 3. Определение правила блокировки ARP

1 2	`Switch(configure-filter-l2-11)#filter 10 mac any any eth-type arp Switch(configure-filter-l2-11)#filter 10 action deny`

Правило с приоритетом 10 сопоставляет все кадры с EtherType 0x0806 (ARP) и блокирует их. Параметр any any указывает на сопоставление любых MAC-адресов источника и назначения.

Шаг 4. Создание разрешающего правила по умолчанию

1 2	`Switch(configure-filter-l2-11)#filter 100 mac any any Switch(configure-filter-l2-11)#filter 100 action permit`

Правило с приоритетом 100 разрешает весь остальной трафик. Обязательно для явного разрешения трафика, не попавшего под предыдущие правила.

Шаг 5. Выход из режима конфигурации фильтра

1 2	`Switch(configure-filter-l2-11)#exit Switch(config)#`

Возврат в режим глобальной конфигурации.

Шаг 6. Применение ACL на интерфейсе

1
2
3

Switch(config)#interface 10gigaethernet 1/0/1
Switch(config-10ge1/0/1)#filter-list in 11
Switch(config-10ge1/0/1)#exit

Список фильтрации 11 применяется на входящий трафик интерфейса 10GE 1/0/1. ARP-запросы и ответы, поступающие на этот интерфейс, будут отброшены.

Шаг 7. Сохранение конфигурации

1 2	`Switch(config)#exit Switch#write`

Выход из режима конфигурации и сохранение изменений в энергонезависимую память.

Полный вывод выполненных конфигураций¶

Команды для copy-paste в режиме privileged EXEC:

configure
filter-list 11 name ETHERTYPE_ARP_DENY
filter 10 mac any any eth-type arp
filter 10 action deny
filter 100 mac any any
filter 100 action permit
exit
interface 10gigaethernet 1/0/1
filter-list in 11
exit
exit
write

Вывод show running-config:

!
filter-list 11 name ETHERTYPE_ARP_DENY
 filter 10 mac any any eth-type arp 
 filter 10 action deny
 filter 100 mac any any 
 filter 100 action permit
!
interface 10gigaethernet 1/0/1
 filter-list in name ETHERTYPE_ARP_DENY
!

Изучение состояния устройства¶

Просмотр конфигурации¶

Проверка активной конфигурации:

1	`Switch#show running-config`

Обратите внимание на строки:

filter-list 11 name ETHERTYPE_ARP_DENY – имя и идентификатор списка
filter 10 mac any any eth-type arp – правило сопоставления по EtherType
filter 10 action deny – действие блокировки
filter 100 action permit – разрешение остального трафика

Просмотр параметров работы¶

Проверка конфигурации списка фильтрации:

Switch#show filter-list 11

 filter-list 11 name ETHERTYPE_ARP_DENY filter 2
 filter-list 11 name ETHERTYPE_ARP_DENY 
 filter 10 mac any any eth-type arp 
 filter 10 action deny

 filter 100 mac any any 
 filter 100 action permit

Строка filter 2 указывает количество правил в списке.

Просмотр привязки к интерфейсам:

1
2
3

Switch#show filter-list interface
  Filter-list Interface      Dir Name                                                            
  11          10ge1/0/1      In  ETHERTYPE_ARP_DENY          <---- ACL активен на интерфейсе

Колонка Dir показывает направление применения (In – входящий трафик).

Проверка статистики:

1	`Switch#show filter-list statistic`

Команда отображает счетчики сопоставлений для правил с активированным параметром counter.

История возникновения команды¶

Версия ПО

Команды в данной главе применимы для:

Аппаратных платформ CIT серии L3200 с установленной версией ПО v1.0.2 и выше
Являются актуальными с версии ПО v1.0.2

Функциональность EtherType based ACL введена для обеспечения фильтрации на канальном уровне независимо от сетевого протокола.

Ссылка на внешнюю документацию¶

Стандарт

IEEE 802.3 Ethernet Standard и IEEE Registration Authority EtherType. При возникновении вопросов обратитесь к технической поддержке.