HCIP--以太网交换安全（三）MAC地址漂移防止与检测
MAC地址漂移防止与检测
一、MAC地址漂移防止与检测知识点
1.1MAC地址漂移的概述
MAC地址漂移是指交换机上一个vlan内有两个端口学习到同一个MAC地址，后学习到的MAC地址表项覆盖原MAC地址表项的现象。
1.2.MAC地址漂移的防止方法
（1）配置接口MAC地址学习优先级：当MAC地址在交换机的两个接口之间发生漂移是，可以将其中的一个接口的MAC地址优先级提高，这样高优先级就覆盖低优先级接口学习到的MAC地址表项。如图所示
（2）配置不允许相同优先级接口MAC地址漂移：当伪造网络设备接口的MAC地址优先级与安全的网络设备相同学习到伪造网络设备MAC地址表项不会覆盖之前正确的表项。如图所示
（3）关闭接口的学习功能：虽然这种方法较为极端，但通过接口的MAC地址学习功能，可以让接口永远学习不到MAC地址，从而防止MAC地址漂移。
1.3MAC地址漂移检测
交换机支持两种MAC地址漂移检测机制：基于VLAN是MAC地址漂移检测和全局MAC地址漂移检测。
- 基于VLAN的MAC地址漂移检测
①配置VLAN的MAC地址漂移检测功能可以指定VLAN下所有的MAC地址是否发生漂移；
②当MAC地址发生漂移后，可以配置指定的动作，例如告警、阻断接口或阻断MAC地址。
- 全局MAC地址漂移检测
①该功能可以检测设备上的所有的MAC地址是否发生漂移；
②若发生漂移，设备会上报告警到网关系统；
③用户有可以指定发生漂移后的处理动作，例如将接口关闭或退出vlan。
二、实验拓扑
拓扑：
实验要求：
1.在S1上配置与服务其连接的接口配置优先级为3；
2.开启MAC地址漂移检测功能，实现检测网络中是否存在MAC地址漂移；
3.配置老化时间；
4.配置接口MAC地址漂移后的处理动作，实现破除环路。
交换级的配置和命令
（1）在S1上配置与服务其连接的接口配置优先级为3
<Huawei>system
[Huawei]undo info-center enable
[Huawei]sysname S1
[S1]int g0/0/1
[S1-GigabitEthernet0/0/1]mac-learning priority 3
（2）开启MAC地址漂移检测功能
<Huawei>system
[Huawei]undo info-center enable
[Huawei]sysname S2
[S2]mac-address flapping detection
（3）配置MAC地址漂移表项的老化时间为500秒
[S2]mac-address flapping aging-time 500
（4）配置G0/0/1和G0/0/2接口MAC地址漂移后关闭
[S2]int g0/0/1
[S2-GigabitEthernet0/0/1]portswitch
[S2-GigabitEthernet0/0/1]mac-address flapping trigger error-down
[S2-GigabitEthernet0/0/1]q
[S2]int g0/0/2
[S2-GigabitEthernet0/0/2]portswitch
[S2-GigabitEthernet0/0/2]mac-address flapping trigger error-down
[S2-GigabitEthernet0/0/2]q
（5）配置被shutdown接口的自动恢复功能、自动恢复时间为60秒
[S2]error-down auto-recovery cause mac-address-flapping interval 60
检测配置结果
使用这条命令查看MAC地址漂移相关的配置
用PC1和PC2访问服务器，就发现G0/0/2接口关闭了 。
如果还是不行的话就多访问几次就OK了。
PC1
PC2
访问完之后就看到，G0/0/2接口是关闭了
接口关闭后，再使用display mac-address flapping record 可查看到漂移记录
三、总结
总之，MAC地址漂移防止与检测对于维护网络的稳定性和安全性至关重要。通过合理的配置和策略，可以有效预防和应对MAC地址漂移带来的问题。