![阻止交换机上来自局域网的异常流量](https://linux22.com/image/785437/%E9%98%BB%E6%AD%A2%E4%BA%A4%E6%8D%A2%E6%9C%BA%E4%B8%8A%E6%9D%A5%E8%87%AA%E5%B1%80%E5%9F%9F%E7%BD%91%E7%9A%84%E5%BC%82%E5%B8%B8%E6%B5%81%E9%87%8F.png)
我想知道在 HP 交换机(例如 2920)上是否有类似风暴控制的功能,但只适用于单播?假设我们的网络中有一个主机,它会强行破解一些随机 IP 地址。如何关闭此接口/MAC 地址?HP 交换机仅为广播和多播提供风暴控制,但它们都不是针对随机 IP 的 300pps 的解决方案。如何处理它?我知道我们可以在防火墙上做“一些事情”,但如何在 L2 上处理它,这样流量就不会打扰我们的防火墙。
问候。
答案1
有没有类似风暴控制的东西,但是是针对单播的?
单播不能导致播送风暴。如果有一个环路,它们就绕圈。但那不是你的问题。
假设我们的网络中有一个主机可以强行破解一些随机 IP 地址。
只需关闭其交换机端口(interface xy disable
)。如果它可以伪造 IP 地址,那么它也可以伪造 MAC 地址。
或者,您可以在交换机端口上使用 ACL,仅允许为其分配的单个“正确”地址。例如,仅允许来自端口 10 的源地址 192.168.100.100:
ip access list extended "port_10_single_IP"
100 permit ip 192.168.100.100/32 any
exit
interface 10 ip access group "port_10_single_IP" in
当然,您也可以使用 DHCP 监听来仅允许 DHCP 服务器提供的单个(动态)IP 地址。但这是一个更高级的话题。