CCIE复习指导：MAC扩展ACL

会计考友

Mac系统是苹果机专用系统，正常情况下在普通pc上无法安装的操作系统。苹果公司不但生产MAC的大部分硬件，连MAC所用的操作系统都是它自行开发的，本章《CCIE复习指导：MAC扩展ACL》，我们就来了解一下如何对MAC进行ACL扩展。
MAC Extended ACL
% t( C( v* ?, ]5 p可以使用命名MAC扩展ACL过滤非IP流量.命名MAC扩展ACL不能应用在层3接口上.
" T* I, R# t0 ]) Q配置命名MAC扩展ACL的步骤如下:
1.创建命名MAC扩展ACL:
" a+ u; }: D  |8 W7 ], M3 |Aiko(config)#mac access-list extended {name}
2.定义允许或拒绝语句:
3 P6 l* ^( A, |Aiko(config-ext-macl)#{action}
9 W# o4 f1 J: c7 G0 U7 m( B3.把命名MAC扩展ACL应用在层2物理接口上.命名MAC扩展ACL只支持基于进站流量的过滤:Aiko(config)#mac access-group {name更} in
VACL
8 Z0 V1 r% [: F5 Z: N4 ?配置VLAN ACL(VACL)的步骤如下:
: M6 S& H/ n) Z" P, a1.定义VACL.序列号默认为10,序列号以10进行递增:
Aiko(config)#vlan access-map {name} [sequence-number]
2.定义匹配条件:
; _3 ~4 g0 U+ N  t- T  i# jAiko(config-access-map)#match {ip|mac} address {ACL}
3.定义执行动作,默认为转发.可选:

) [# ~/ Z2 m1 NAiko(config-access-map)#action {forward|drop}

会计考友

</p>4.把VACL应用在VLAN上.
5 ?. K7 ?4 G1 q" P4 r9 {3 o2 s$ SAiko(config)#vlan filter {name} vlan-list {vlan-list}
) a% h/ k' n# JPVLAN
( v* }- f, O3 K4 l: G私有VLAN(PVLAN)可以想象成BGP的联盟.PVLAN是VLAN中被隔离开的特殊的VLAN.配置PLAN的步骤如下:
1 M" Q% b2 G" s5 P% g2 R) [1.创建VLAN:
Aiko(config)#vlan {vlan-id}
2.把VLAN定义为次级VLAN.定义该VLAN状态为隔离状态,即成员端口之间不连通,只能与主VLAN相连;
或定义该VLAN公有化,即成员端口相互连通:
Aiko(config-vlan)#private-vlan {isolated|community}
1 p$ K5 K, M- c, G0 @7 h1 l3.创建主VLAN,提供次级VLAN之间的通信:
+ z. S, J( a2 v  LAiko(config)#vlan {vlan-id}
4.定义其为主VLAN:
* I! }2 D1 |! ]2 lAiko(config-vlan)#private-vlan primary
5.把主VLAN和次级VLAN相关联:
, q! D4 I, a- N' o5 f5 I/ FAiko(config-vlan)#private-vlan association {secondary-vlan-list}
6.把端口分配进PVLAN中.可以把端口模式定义为非混合型或混合型:
. I# M& c- H2 X) \) cAiko(config-if)#switchport mode private-vlan {host|promiscuous}
7.把非混合型端口和主VLAN以及次级VLAN相互关联.可以定义多个VLAN,以逗号或连字符相连:Aiko(config-if)#switchport private-vlan {host-association primary-vlan secondary-vlan}8.对于混合型端口,把混合型端口和主VLAN以及次级VLAN相互映射.可以定义多个VLAN,以逗号或连字符相连:
( _: ^; ~4 t; E6 X1 K4 v, WAiko(config-if)#switchport private-vlan mapping {primary-vlan secondary-vlan}
: K4 t1 A: z1 j) K# n" i7 b9 `1 Q7 h9.把主VLAN的SVI接口IP地址映射到次级VLAN,这样就无需为每个次级VLAN分配SVI的IP地址:Aiko(config-if)#private-vlan mapping {secondary-vlan-id}