config address_binding recover_learning port


чего делает?

Конфигурация ограничения количества заносимых записей в FDB, при использовании IMPB:
При использовании IMPB коммутатор блокирует записи не подходящие под сконфигурированую связку, но побочным эффектом становиться занесение в FDB таблицу всех обработанных пакетов. Для предотвращения переполнения FDB при использовании IMPB, был введён новый параметр threshold, который наблюдает за колличеством заблокированных записей и при привышении этого параметра,
вводит порт в disable learning с соотвествующем оповещением созданием записи в лог.

Конфигурация:

Включаем ACL режим:
enable address_binding acl_mode

Создаём валидную связку на порту 1:
crea address_binding ip_mac ipaddress 192.168.5.99 mac_address 00:0D:88:B5:93:11 ports 1 mode acl

Настраиваем IMPB на порту 1:
config address_binding ip_mac ports 1 state enable strict stop_learning_threshlod 10

Смотрим связку:
show address_binding ip_mac
Command: show address_binding ip_mac

IP Address MAC Address Ports Mode
--------------- ----------------- ------------------------------ ----
192.168.5.99 00-0D-88-B5-93-11 1 ACL

Запускаем атаку и смотрим на таблицы:

DES-3526:admin#show address_binding blocked
Command: show address_binding blocked

VID VLAN Name MAC Address Port Type
---- -------------------------------- ----------------- ---- ---------------

Total entries : 0

DES-3526:admin#show fdb
Command: show fdb

Unicast MAC Address Ageing Time = 300
VID VLAN Name MAC Address Port Type
---- ---------------- ----------------- ------ ----------------
1 default 00-11-95-81-D9-C4 CPU Self

Total Entries : 1

Смотрим логи:
6 00000 days 00:00:53 Port 1 enters stop IMPB learning state
Сообщение о том, что порт полностью заблокирован.

Разблокируем порт 1:
DES-3526:admin#config address_binding recover_learning ports 1

Смотрим лог:
7 00000 days 00:03:23 Port 1 recovers from IMPB stop learning state

Использование функции позволит избежать от атак со стороны пользователей и подвергать нарушителя административному взысканию, потому как порт придётся поднимать вручную.

_________________
С уважением,
Бигаров Руслан.