HCIE | 彻底搞懂LAN技术-MAC 地址表、端口安全、MAC 地址飘移、免费 ARP、istack
LAN 技术
1.MAC 地址表
MAC 地址表作用，为交换机提供转发的凭据。交换机根据 MAC 地址对应的接口，然后转发。
如何学习？
通过数据从交换机入方向时，将报文的源 MAC 和接口记录在 MAC 地址表中。
交换机处理报文的三种行为：
- 泛洪： 如果接收到一个目的 MAC 地址不在 MAC 地址表中，则复制发送给入接口以外的所有接口。
- 转发： 如果接收到一个目的 MAC 地址在 MAC 地址表中，并在其他接口，则发送给该接口。
- 丢弃： 如果接收到一个目的 MAC 地址在 MAC 地址表中，但是与入接口相同接口则丢弃该报文。
MAC 地址老化时间 300s。
-
动态表项
- 由接口通过报文中的源 MAC 地址学习获得，表项可老化，默认老化时间 300 秒。
- 在系统复位、接口板热插拔或接口板复位后，动态表项会丢失。
-
静态表项
- 由用户手工配置，并下发到各接口板，表项不可老化。
- 在系统复位、接口板热插拔或接口板复位后，保存的表项不会丢失。
- `[Huawei]mac-address static 0011-2233-4455 GigabitEthernet 0/0/2 vlan 1`
-
黑洞表项
- 由用户手工配置，并下发到各接口板，表项不可老化。
- 配置黑洞 MAC 地址后，源 MAC 地址或目的 MAC 地址是该 MAC 的报文将会被丢弃。
- `[Huawei]mac-address blackhole 00aa-bbcc-ddee`
2.端口安全
- 端口安全（Port Security）通过将接口学习到的动态 MAC地址转换为安全 MAC地址（包括安全动态 MAC、 安全静态 MAC 和 Sticky MAC），阻止非法用户通过本接口和交换机通信，从而增强设备的安全性。
-
安全 MAC 地址分类
- 使能端口安全而未使能 Sticky MAC 功能时转换的 MAC 地址。
-
[Huawei-GigabitEthernet0/0/1]port-security enable - 可以被设置老化时间。重启后丢失
- 安全动态 MAC 地址
-
安全静态 MAC 地址(其实就是静态配置的 MAC 地址)
- 使能端口安全时手工配置的静态 MAC 地址。
-
Sticky MAC 地址
- 使能端口安全后又同时使能 Sticky MAC 功能后转换到的 MAC 地址。
-
port-security mac-address sticky（前置条件是开启了端口安全） - 不会被老化。重启不丢失
修改动态安全 MAC 地址老化时间：
[Huawei-GigabitEthernet0/0/1]port-security aging-time ?
INTEGER<1-1440> Aging time (in minute)
修改端口安全学习的 MAC 地址个数：
[Huawei-GigabitEthernet0/0/1]port-security max-mac-num ?
INTEGER<1-4096> Maximum mac address can learn
修改触发端口安全的惩罚行为：
[Huawei-GigabitEthernet0/0/1]port-security protect-action ?
protect Discard packets //丢弃报文 名称： 保护
restrict Discard packets and warning //丢弃报文并告警（ 默认（文档与实验验证得知）） 名称： 限制
shutdown Shutdown //关闭端口，名称： 关闭 。官方成为是默认关闭。
3.MAC 地址飘移
MAC 地址漂移是指设备上一个 VLAN 内有两个端口学习到同一个 MAC 地址，后学习到的 MAC 地址表项覆 盖原 MAC 地址表项的现象。
情况：
- 网络环路
- 面对黑客攻击。
MAC 地址漂移避免机制：
a) 提高接口 MAC 地址学习优先级； b) 不允许相同优先级的接口发生； c) MAC 地址表项覆盖。
可能存在问题 ：
已经学习到错误的 MAC 导致正确的 MAC 地址无法上网。
修改端口学习的优先级（优先级越高越优先。默认为 0）：
[Huawei-GigabitEthernet0/0/2]mac-learning priority 3
配置不允许相同优先级的接口发生 MAC 地址漂移
[Huawei]undo mac-learning priority 3 allow-flapping //模拟器不支持该命令
配置全局 MAC 地址漂移检测功能
[Huawei]mac-address flapping detection
配置 MAC 地址漂移检测功能
[Huawei]vlan 2
[Huawei-vlan2]loop-detect eth-loop block-time 100 retry-times 3
//在 vlan2 进行 MAC 地址飘移检测，如果触发停止转发该 MAC 100s ，重试 3 次。
可以设置是属于基于 VLAN 检测还是基于全局检测。
4.免费 ARP
- IP 地址冲突检测：当设备接口的协议状态变为 Up 时，设备主动对外发送免费 ARP 报文。正常 情况下不会收到 ARP 应答，如果收到，则表明本网络中存在与自身 IP 地址重复的地址。如果检