目  录

1 MAC地址表

1.1 MAC地址表简介

1.1.1 MAC地址表项的生成方式

1.1.2 MAC地址表项的分类

1.2 MAC地址表配置任务简介

1.3 手工配置MAC地址表项

1.3.1 功能简介

1.3.2 配置限制和指导

1.3.3 配置准备

1.3.4 配置静态/动态MAC地址表项

1.3.5 配置黑洞MAC地址表项

1.4 配置动态MAC地址表项的老化时间

1.5 关闭MAC地址学习功能

1.5.1 功能简介

1.5.2 关闭全局的MAC地址学习功能

1.5.3 关闭接口的MAC地址学习功能

1.5.4 关闭VLAN的MAC地址学习功能

1.6 配置MAC地址数学习上限

1.6.1 配置接口的MAC地址数学习上限

1.7 配置当达到MAC地址数学习上限时的报文转发规则

1.7.1 功能简介

1.7.2 配置当达到接口的MAC地址数学习上限时的报文转发规则

1.8 配置接口的MAC地址学习优先级

1.9 开启MAC地址表告警功能

1.10 MAC地址表显示和维护

1.10.1 显示MAC地址表的配置及运行状况

1.11 MAC地址表典型配置举例

1.11.1 MAC地址表基本功能配置举例

 

1 MAC地址表

1.1  MAC地址表简介

MAC（Media Access Control，媒体访问控制）地址表记录了MAC地址与接口的对应关系，以及接口所属的VLAN等信息。设备在转发报文时，根据报文的目的MAC地址查询MAC地址表，如果MAC地址表中包含与报文目的MAC地址对应的表项，则直接通过该表项中的出接口转发该报文；如果MAC地址表中没有包含报文目的MAC地址对应的表项时，设备将采取广播方式通过对应VLAN内除接收接口外的所有接口转发该报文。

1.1.1  MAC地址表项的生成方式

MAC地址表项的生成方式有两种：自动生成、手工配置。

1. 自动生成MAC地址表项

一般情况下，MAC地址表由设备通过源MAC地址学习自动生成。设备学习MAC地址的过程如下：

·     从某接口（假设为接口A）收到一个数据帧，设备分析该数据帧的源MAC地址（假设为MAC-SOURCE），并认为目的MAC地址为MAC-SOURCE的报文可以由接口A转发。

·     如果MAC地址表中已经包含MAC-SOURCE，设备将对该表项进行更新。

·     如果MAC地址表中尚未包含MAC-SOURCE，设备则将这个新MAC地址以及该MAC地址对应的接口A作为一个新的表项加入到MAC地址表中。

为适应网络拓扑的变化，MAC地址表需要不断更新。MAC地址表中自动生成的表项并非永远有效，每一条表项都有一个生存周期，到达生存周期仍得不到刷新的表项将被删除，这个生存周期被称作老化时间。如果在到达生存周期前某表项被刷新，则重新计算该表项的老化时间。

2. 手工配置MAC地址表项

设备通过源MAC地址学习自动生成MAC地址表时，无法区分合法用户和非法用户的报文，带来了安全隐患。如果非法用户将攻击报文的源MAC地址伪装成合法用户的MAC地址，并从设备的其他接口进入，设备就会学习到错误的MAC地址表项，于是将本应转发给合法用户的报文转发给非法用户。

为了提高安全性，网络管理员可手工在MAC地址表中加入特定MAC地址表项，将用户设备与接口绑定，从而防止非法用户骗取数据。

1.1.2  MAC地址表项的分类

MAC地址表项分为以下几种：

·     静态MAC地址表项：由用户手工配置，用于目的是某个MAC地址的报文从对应接口转发出去，表项不老化。静态MAC地址表项优先级高于自动生成的MAC地址表项。

·     动态MAC地址表项：可以由用户手工配置，也可以由设备通过源MAC地址学习自动生成，用于目的是某个MAC地址的报文从对应接口转发出去，表项有老化时间。手工配置的动态MAC地址表项优先级等于自动生成的MAC地址表项。

·     黑洞MAC地址表项：由用户手工配置，用于丢弃源MAC地址或目的MAC地址为指定MAC地址的报文（例如，出于安全考虑，可以禁止某个用户发送和接收报文），表项不老化。黑洞MAC地址表项优先级高于自动生成的MAC地址表项。

·     多端口单播MAC地址表项：由用户手工配置，用于目的是某个单播MAC地址的报文从多个接口复制转发出去，表项不老化。多端口单播MAC地址表项优先级高于自动生成的MAC地址表项。

静态MAC地址表项、黑洞MAC地址表项和多端口单播MAC地址表项不会被动态MAC地址表项覆盖，而动态MAC地址表项可以被静态MAC地址表项、黑洞MAC地址表项和多端口单播MAC地址表项覆盖。静态MAC地址表项、黑洞MAC地址表项和多端口单播MAC地址表项不会彼此覆盖。

1.2  MAC地址表配置任务简介

本章中的所有配置均为可选，请根据实际情况选择配置。

·     手工配置MAC地址表项

¡     配置静态/动态MAC地址表项

¡     配置黑洞MAC地址表项

·     配置动态MAC地址表项的老化时间

·     配置MAC地址学习功能

¡     关闭MAC地址学习功能

¡     配置MAC地址数学习上限

¡     配置当达到MAC地址数学习上限时的报文转发规则

¡     配置接口的MAC地址学习优先级

·     开启MAC地址表告警功能

1.3  手工配置MAC地址表项

1.3.1  功能简介

配置MAC地址表项后，当设备收到的报文的源MAC地址与配置表项中的MAC地址相同时，不同类型的MAC地址表项处理方式不同。

表1-1 不同类型MAC地址表项对源MAC地址匹配报文的处理方式

MAC地址表项类型	报文源MAC地址与配置表项中的MAC地址相同
静态MAC地址表项	缺省情况下，如果表项中的接口与报文入接口不同，则设备丢弃该报文；表项中的接口与报文入接口相同时，设备根据目的MAC地址转发该报文 关闭报文入接口与静态MAC地址表项匹配检查功能后，设备不检查报文入接口与表项中的接口是否相同，直接根据目的MAC地址转发该报文
多端口单播MAC地址表项
黑洞MAC地址表项	丢弃该报文
动态MAC地址表项	·     如果报文入接口与该表项中的接口不同，则进行MAC地址学习，并覆盖该表项 ·     如果报文入接口与该表项中的接口相同，则转发该报文，并更新该表项老化时间

 

1.3.2  配置限制和指导

在手工配置动态MAC地址表项时，如果MAC地址表中已经存在MAC地址相匹配的自动生成表项，但该表项的接口与配置不符，那么该手工配置失败。

如果不保存配置，设备重启后所有手工配置的MAC地址表项都会丢失；如果保存配置，设备重启后手工配置的静态MAC地址表项、黑洞MAC地址表项和多端口单播MAC地址表项不会丢失，手工配置的动态MAC地址表项会丢失。

设备的保留MAC地址和三层以太网接口/三层以太网子接口/三层聚合接口/三层聚合子接口的MAC地址不允许配置为静态、动态、黑洞MAC。有关桥MAC地址的详细介绍，请参见“虚拟化技术”中的“IRF”。

不允许为DOWN状态的接口添加或修改动态MAC地址表项。

1.3.3  配置准备

手工配置MAC地址表项时，必须先创建指定接口所属的VLAN，否则配置失败。

1.3.4  配置静态/动态MAC地址表项

1. 系统视图下配置静态/动态MAC地址表项

(1)     进入系统视图。

system-view

(2)     添加或者修改静态/动态MAC地址表项。

mac-address { dynamic | static } mac-address interface interface-type interface-number vlan vlan-id

缺省情况下，未配置静态/动态MAC地址表项。

interface参数指定的接口必须属于vlan-id参数指定的VLAN。

2. 接口视图下配置静态/动态MAC地址表项

(1)     进入系统视图。

system-view

(2)     进入接口视图。

¡     进入二层以太网接口视图。

interface interface-type interface-number

¡     进入二层聚合接口视图。

interface bridge-aggregation interface-number

(3)     在接口下添加或者修改静态/动态MAC地址表项。

mac-address { dynamic | static } mac-address vlan vlan-id

缺省情况下，接口下未配置静态/动态MAC地址表项。

当前接口必须属于vlan-id参数指定的VLAN。

1.3.5  配置黑洞MAC地址表项

(1)     进入系统视图。

system-view

(2)     添加或者修改黑洞MAC地址表项。

mac-address blackhole mac-address vlan vlan-id

缺省情况下，未配置黑洞MAC地址表项。

1.4  配置动态MAC地址表项的老化时间

1. 功能简介

当网络拓扑改变后，如果动态MAC地址表项不及时更新，会导致用户流量不能正常转发。配置动态MAC地址表项的老化时间后，超过老化时间的动态MAC地址表项会被自动删除，设备将重新进行MAC地址学习，构建新的动态MAC地址表项。

用户配置的老化时间过长或者过短，都可能影响设备的运行性能：

·     如果用户配置的老化时间过长，设备可能会保存许多过时的MAC地址表项，从而耗尽MAC地址表资源，导致设备无法根据网络的变化更新MAC地址表。

·     如果用户配置的老化时间太短，设备可能会删除有效的MAC地址表项，导致设备广播大量的数据报文，增加网络的负担。

用户需要根据实际情况，配置合适的老化时间。如果网络比较稳定，可以将老化时间配置得长一些或者配置为不老化；否则，可以将老化时间配置得短一些。比如在一个比较稳定的网络，如果长时间没有流量，动态MAC地址表项会被全部删除，可能导致设备突然广播大量的数据报文，造成安全隐患，此时可将动态MAC地址表项的老化时间设得长一些或不老化，以减少广播，增加网络稳定性和安全性。

动态MAC地址表项的老化时间作用于全部接口上。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置动态MAC地址表项的老化时间。

mac-address timer { aging seconds | no-aging }

缺省情况下，动态MAC地址表项的老化时间为300秒。

1.5  关闭MAC地址学习功能

1.5.1  功能简介

缺省情况下，MAC地址学习功能处于开启状态。有时为了保证设备的安全，需要关闭MAC地址学习功能。常见的危及设备安全的情况是：非法用户使用大量源MAC地址不同的报文攻击设备，导致设备MAC地址表资源耗尽，造成设备无法根据网络的变化更新MAC地址表。关闭MAC地址学习功能可以有效防止这种攻击。

关闭MAC地址学习功能后，对于已经存在的动态MAC地址表项，待老化时间超时后将自然老化。

1.5.2  关闭全局的MAC地址学习功能

1. 配置限制和指导

关闭全局的MAC地址学习功能后，接口将不再学习新的MAC地址。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     关闭全局的MAC地址学习功能。

undo mac-address mac-learning enable

缺省情况下，全局的MAC地址学习功能处于开启状态。

1.5.3  关闭接口的MAC地址学习功能

1. 功能简介

在开启全局的MAC地址学习功能的前提下，用户可以关闭设备上单个接口的MAC地址学习功能。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

¡     进入二层以太网接口视图。

interface interface-type interface-number

¡     进入二层聚合接口视图。

interface bridge-aggregation interface-number

(3)     关闭接口的MAC地址学习功能。

undo mac-address mac-learning enable

缺省情况下，接口的MAC地址学习功能处于开启状态。

1.5.4  关闭VLAN的MAC地址学习功能

1. 功能简介

如图1-1所示，某公司的多个部门分散在不同的楼层中，并且用VLAN划分不同的部门，使得同一部门的用户之间可以互相通信，不同部门的用户之间互相隔离。经过一段时间后，网络已经固定，为了节约核心设备的MAC地址表项资源，同时防止外部对公司网络的访问，可以在Device A和Device B上关闭除VLAN 2、VLAN 3和VLAN 10以外其他VLAN的MAC地址学习功能。

图1-1 关闭VLAN的MAC地址学习功能组网图

 

在开启全局的MAC地址学习功能的前提下，用户可以关闭设备上指定VLAN的MAC地址学习功能。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入VLAN视图。

vlan vlan-id

(3)     关闭VLAN的MAC地址学习功能。

undo mac-address mac-learning enable

缺省情况下，VLAN的MAC地址学习功能处于开启状态。

1.6  配置MAC地址数学习上限

1.6.1  配置接口的MAC地址数学习上限

1. 功能简介

通过配置接口的MAC地址数学习上限，用户可以控制设备维护的MAC地址表的表项数量。如果MAC地址表过于庞大，可能导致设备的转发性能下降。当接口学习到的MAC地址数达到上限时，该接口将不再对MAC地址进行学习。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

¡     进入二层以太网接口视图。

interface interface-type interface-number

¡     进入二层聚合接口视图。

interface bridge-aggregation interface-number

(3)     配置接口的MAC地址数学习上限。

mac-address max-mac-count count

缺省情况下，接口的MAC地址数学习上限仅受硬件能力限制。

1.7  配置当达到MAC地址数学习上限时的报文转发规则

1.7.1  功能简介

当学习到的MAC地址数达到上限时，用户可以选择是否允许系统转发源MAC不在MAC地址表里的报文。

1.7.2  配置当达到接口的MAC地址数学习上限时的报文转发规则

(1)     进入系统视图。

system-view

(2)     进入接口视图。

¡     进入二层以太网接口视图。

interface interface-type interface-number

¡     进入二层聚合接口视图。

interface bridge-aggregation interface-number

(3)     配置当达到接口的MAC地址数学习上限时，允许转发源MAC地址不在MAC地址表里的报文。

mac-address max-mac-count enable-forwarding

缺省情况下，当达到接口的MAC地址数学习上限时，允许转发源MAC地址不在MAC地址表里的报文。

1.8  配置接口的MAC地址学习优先级

1. 功能简介

基于MAC地址转发报文的网络有时会因为下行接口的攻击行为或者环路，下行接口学习到网关等上层设备的MAC地址。为了避免这种情况，将接口的MAC地址学习功能分为两个优先级：高优先级和低优先级。对于高优先级的接口，可以学习任何MAC地址；对于低优先级的接口，在学习MAC地址时需要查看高优先级接口是否已经学到该MAC地址，如果已经学到，则不允许学习该MAC地址。比如，可以将上行接口的MAC地址学习优先级配置为高优先级，下行接口的MAC地址学习优先级配置为低优先级，那么，下行接口就不会学到网关等上层设备的MAC地址，避免了攻击。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     进入接口视图。

¡     进入二层以太网接口视图。

interface interface-type interface-number

¡     进入二层聚合接口视图。

interface bridge-aggregation interface-number

(3)     配置接口的MAC地址学习优先级。

mac-address mac-learning priority { high | low }

缺省情况下，MAC地址学习优先级为低优先级。

1.9  开启MAC地址表告警功能

1. 功能简介

开启MAC地址表的告警功能后，MAC地址表模块会生成告警信息，用于报告该模块的重要事件。生成的告警信息将发送到设备的SNMP模块，请通过设置SNMP中告警信息的发送参数，来决定告警信息输出的相关属性。

关闭MAC地址表的告警功能后，设备将只发送日志信息到信息中心模块，此时请配置信息中心的输出规则和输出方向来查看MAC地址表模块的日志信息。

有关SNMP和信息中心的详细介绍，请参见“网络管理和监控配置指导”中的“SNMP”和“信息中心”。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启MAC地址表的告警功能。

snmp-agent trap enable mac-address [ entry-limit | illegal-mac ] *

缺省情况下，MAC地址表的告警功能处于开启状态。

执行本命令时，若不指定任何告警信息参数，则MAC地址表模块将生成或取消生成所有类型的告警信息；若指定了告警信息参数，则MAC地址表模块只会生成或取消生成指定类型的告警信息。

1.10  MAC地址表显示和维护

1.10.1  显示MAC地址表的配置及运行状况

可在任意视图下执行以下命令：

·     显示MAC地址表信息。

display mac-address [ mac-address [ vlan vlan-id ] | [ [ dynamic | static ] [ interface interface-type interface-number ] | blackhole | multiport ] [ vlan vlan-id ] [ count ] ]

·     显示MAC地址表动态表项的老化时间。

display mac-address aging-time

·     显示MAC地址学习功能的开启状态。

display mac-address mac-learning [ interface interface-type interface-number ]

1.11  MAC地址表典型配置举例

1.11.1  MAC地址表基本功能配置举例

1. 组网需求

·     现有一台用户主机，它的MAC地址为000f-e235-dc71，属于VLAN 1，连接Device的端口GigabitEthernet1/0/1。为防止假冒身份的非法用户骗取数据，在设备的MAC地址表中为该用户主机添加一条静态表项。

·     另有一台用户主机，它的MAC地址为000f-e235-abcd，属于VLAN 1。由于该用户主机曾经接入网络进行非法操作，为了避免此种情况再次发生，在设备上添加一条黑洞MAC地址表项，使该用户主机接收不到报文。

·     配置设备的动态MAC地址表项老化时间为500秒。

2. 组网图

图1-2 MAC地址表基本功能配置组网图

‌

3. 配置步骤

# 增加一个静态MAC地址表项，目的地址为000f-e235-dc71，出接口为GigabitEthernet1/0/1，且该接口属于VLAN 1。

<Device> system-view

[Device] mac-address static 000f-e235-dc71 interface gigabitethernet 1/0/1 vlan 1

# 增加一个黑洞MAC地址表项，地址为000f-e235-abcd，属于VLAN 1。

[Device] mac-address blackhole 000f-e235-abcd vlan 1

# 配置动态MAC地址表项的老化时间为500秒。

[Device] mac-address timer aging 500

4. 验证配置

# 查看端口GigabitEthernet1/0/1上的静态MAC地址表项信息。

[Device] display mac-address static interface gigabitethernet 1/0/1

MAC Address      VLAN ID    State            Port/Nickname            Aging

000f-e235-dc71   1          Static           GE1/0/1                  N

# 查看黑洞MAC地址表信息。

[Device] display mac-address blackhole

MAC Address      VLAN ID    State            Port/Nickname            Aging

000f-e235-abcd   1          Blackhole        N/A                      N

# 查看动态MAC地址表项的老化时间。

[Device] display mac-address aging-time

MAC address aging time: 500s.