[IvanJ]

Доброго времени суток,

 

Задача следующая. Заблокировать абонента по MAC адресу на каком-то порту.

 

Пробовал так:

mac-access-list extended block
 deny host-source-mac 5c-b9-01-f7-a3-89 any-destination-mac
 exit
!
Interface Ethernet1/4
no spanning-tree
mac access-group block in
!

 

Через access-list что-то не пойму как делать.

SNR-S2960-24G(config)#access-list ?
 <1-99>           IP standard access list <1-99>
 <100-199>        IP extended access list <100-199>
 <1100-1199>      MAC extended access list <1100-1199>
 <200-299>        IP extended access list(support discontinuous ip address mask) <200-299>
 <3100-3199>      MAC-IP extended access list <3100-3199>
 <3200-3299>      MAC-IP extended access list(support discontinuous ip address mask) <3200-3299>
 <5000-5099>      Multicast source control access list <5000-5099>
 <6000-7999>      Multicast destination control access list <6000-7999>
 <700-799>        MAC standard access list <700-799>
 deny-preemption  Enable deny-preemption

SNR-S2960-24G(config)#access-list 700 ?
 deny    Specify packets to reject
 permit  Specify packets to forward

SNR-S2960-24G(config)#access-list 700 deny ?
 MACADD           Source mac
 any-source-mac   Any source mac
 host-source-mac  Specify a host source mac

SNR-S2960-24G(config)#access-list 700 deny 5c-b9-01-f7-a3-89 ?
 MACADD  Wildcard bits

 

Что такое Wildcard bits? Помогите разобраться пожалуйста.

[ShyLion]

Что такое Wildcard bits? Помогите разобраться пожалуйста.

 

Биты вайлдкарты, установленые в 1 будут в МАКе матчится в любом значении, 0 или 1,

Биты вайлдкарты, установленые в 0 будут в МАКе матчится только в том-же значении, что и в исходном МАКе.

 

02-03-04-00-00-00 00-00-00-FF-FF-FF матчит все МАКи 02-03-04-*-*-*

02-03-04-00-00-00 00-00-00-00-00-00 матчит только один МАК 02-03-04-00-00-00

[IvanJ]

Что такое Wildcard bits? Помогите разобраться пожалуйста.

 

Биты вайлдкарты, установленые в 1 будут в МАКе матчится в любом значении, 0 или 1,

Биты вайлдкарты, установленые в 0 будут в МАКе матчится только в том-же значении, что и в исходном МАКе.

 

02-03-04-00-00-00 00-00-00-FF-FF-FF матчит все МАКи 02-03-04-*-*-*

02-03-04-00-00-00 00-00-00-00-00-00 матчит только один МАК 02-03-04-00-00-00

 

Т.е. в моем случае чтобы заблокировать, например, мак 5c-b9-01-f7-a3-89 на порту 4 делаю так:

 

conf t
!
access-list 700 deny 5c-b9-01-f7-a3-89 00-00-00-00-00-00
!
interface ethernet 1/4
mac access-group 700 in
exit

 

я правильно понимаю?

[ShyLion]

точно

 

только там вроде еще надо "firewall enable" включить

[IvanJ]

точно

 

только там вроде еще надо "firewall enable" включить

 

Это я знаю, спасибо за помощь)