安全功能配置指南.pdfVIP

本章描述的安全功能均只在 S2126G/50G 上支持，S2126S 不支持。 安全功能配置 配置ACL80 以PORT Bitmap形式安装ACL 配置安全端口上的安全地址 配置DHCP动态绑定 配置唯一合法性探测 配置 ACL80 理解ACL80 ACL80 的应用 ACL80 的配置限制 配置ACL80 理解ACL80 ACL80 的含义是匹配报文的前 80 个字节，对报文进行过滤。报文是由系列的字节流组成，ACL80 可以让用户 对报文的前 80 个字节中的任意 64 个字节按比特（bit ）位进行匹配过滤。 一个典型的以太网 II 报文格式如下： bit0 bit15 bit31 目的MAC （0 －3 字节） 目的MAC （4 －5 字节） 源 MAC （0 －2 字节） 源 MAC （0 －2 字节） Tag 控制头 ID （=0x8 100 ） 802.1Q TAG 头 以太网类型（如IP = 0x0800 ） 数据 数据 （46-1500 字节） 报文校验和 80 个字节配置是按照 802.1Q tag 报文格式进行匹配，也就说包含 tag。 a) 80个字节的确立 交换机所认为的80个字节，是从报文头第1个字节，即目的MAC地址开始，按顺序直到第80个字节。 b) 交换机如何匹配字段 交换机对于任意一个16字节字段，可以按照bit形式与所设置的值进行比较或不比较。也就是说，它允许我 们对这16个字节的任意一个比特设置该值为0或1。在对任何一个字节进行过滤时，有两个要素：一个是过滤 规则，一个是过滤域模板，二者的bit位是一一对应的。过滤规则指明需要过滤字段值，过滤域模板指明过 滤规则中对应字段是否需要过滤 （1表示匹配对应过滤规则的bit位，0表示不匹配），所以当需要匹配某个bit 时，必须将过滤域模板中对应的bit为设置为1。如果过滤域模板比特位设置为0，无论过滤规则中对应的bit 位是什么，都不会匹配。 c) 交换机能真正处理的字节数只有64个： 交换机只能对报文中从第1个字节到第80个字节中的64个字节处理，这64个字节必须是以16字节连续字段 方式提取，交换机可分别对这4个16字节字段中的bit位进行任意的匹配。也就是说，报文80个字节等分为5 个字段，每个字段16个字节，匹配时只能对这5个字段中的4个字段进行匹配，这5个字段可以从中任意选择4 个字段进行匹配。如果需要匹配的bit分布在5个16字节字段中，则交换机无法匹配。 注意：交换机只能对报文 80 个字节中的 64 个字节进行匹配。 举例说明： 过滤一个目的 MAC 为 0x00d0f8000001，源MAC 为 0x00d0f8000002 ，vid 为 2 的IP 报文，则设置的过滤规则的 如下： 00d0f800000100d0f8000002000000020800……………………. 目的MAC 源 MAC tag 头 vid IP 报文 (数据) 过滤域模板如下： ffffffffffffffffffffffff00000fffffff……………………. 目的MAC 源 MAC tag 头 vid IP 报文 (数据) a) ACL80 的应用 ARP 应用：ARP 请求、ARP 回答 b) ICMP 应用：ICMP ECHO/ECHO Reply ，以及type=0-255/code=0-255 c) IGMP 应用：所有的IGMP 报文，或根据 IGMP type(0-255)/code(=0-255)值指定的 IGMP 应用 d) IPMC 组播应用：比如 IP 地址为 /掩码为 的IPMC 组播数据流或其指定某个特定组播 IP