Каталист и запрет ARP

[vladd]

Есть ли возможность на каталисте 3550 (EMI) полностью отключить ARP-обучение на определенных Vlan-интерфейсах, чтобы использовались только статические ARP-записи? "no arp arpa" не помогает - если на удаленном компе прописать циску в его статическую arp-таблицу, то циска подхватывает такой MAC и без протокола ARP. Поэтому пока приходится специальным скриптом делать вот так:

 

arp 192.168.xx.yy 00:0d:65:00:00:00 arpa

 

на каждый из неиспользуемых IP в сети. Понятно, что это изврат, и есть ощущение, что arp-таблица в циске скоро кончится. Поэтому вопрос - есть ли возможность добиться того же самого по другому? Если нельзя в 3550, то где можно? Сейчас как раз стоит вопрос об апгрейде.

[vIv]

Начните с начала: чего хотите добиться? Какая задача решается-то?

[short]

коротко - никак.

[Мартен]

вам хочется странного.

а когда хочется странного, обычно что-то неправильно в сети.

[BETEPAH]

скорей всего нужно, чтобы левые компы в сети не могли работать

[vladd]

скорей всего нужно, чтобы левые компы в сети не могли работать

Это как раз и нужно. Неужели никакая циска не умеет этого?

[Egor]

авторизация на порту?

плюс там Opt82 есть, зачем в сторону маков лезть? или у Вас корпоратив?

[edwin]

Есть ли возможность на каталисте 3550 (EMI) полностью отключить ARP-обучение на определенных Vlan-интерфейсах, чтобы использовались только статические ARP-записи? "no arp arpa" не помогает - если на удаленном компе прописать циску в его статическую arp-таблицу, то циска подхватывает такой MAC и без протокола ARP. Поэтому пока приходится специальным скриптом делать вот так:

 

arp 192.168.xx.yy 00:0d:65:00:00:00 arpa

 

на каждый из неиспользуемых IP в сети. Понятно, что это изврат, и есть ощущение, что arp-таблица в циске скоро кончится. Поэтому вопрос - есть ли возможность добиться того же самого по другому? Если нельзя в 3550, то где можно? Сейчас как раз стоит вопрос об апгрейде.

Вообще такие вещи делаются с помощью port security на физическом интерфейсе .....

[vladd]

Вообще такие вещи делаются с помощью port security на физическом интерфейсе .....

А если физический интерфейс представляет из себя неуправляемый свитч? Ибо по всем расчетам дешевле поставить еще одну циску на узел, чем постоянно менять выгорающие дорогие железки на некоторых домах?

Edited September 17, 2007 by vladd

[edwin]

> А если физический интерфейс представляет из себя неуправляемый свитч?

 

прописать маки на интерфейсе к неуправляемому свичу... врятли их там много будет ..... типа:

 

switchport port-security mac-address xxxx.yyyy.zzzz

switchport port-security mac-address xxxx.yyyy.zzz2

switchport port-security mac-address xxxx.yyyy.zzz1

[vladd]

> А если физический интерфейс представляет из себя неуправляемый свитч?

 

прописать маки на интерфейсе к неуправляемому свичу... врятли их там много будет ..... типа:

switchport port-security mac-address xxxx.yyyy.zzzz

Там немного все хитрее - для неизвестных мак-адресов сервер dhcp выдает специальный левый IP и default gw на себя. После этого новый или отключенный клиент может зайти на специальную страничку, авторизоваться, и тогда его MAC прописывается в циске и в dhcp. И уже потом работать нормально. А включение port-security не позволит такому клиенту даже достучаться до странички регистрации.

 

Нужно чтобы циска именно не роутила левые IP. Если например, сделать это на ACL, не загнется ли циска от 1500 записей?

[short]

Нужно чтобы циска именно не роутила левые IP. Если например, сделать это на ACL, не загнется ли циска от 1500 записей?

 

ну е мое. а самому пойти и почитать никак?

http://cisco.com/en/US/products/hw/switche...#switchdatabase

 

свои static arp записи считайте как роуты..

[ayamb]

Там немного все хитрее - для неизвестных мак-адресов сервер dhcp выдает специальный левый IP и default gw на себя. После этого новый или отключенный клиент может зайти на специальную страничку, авторизоваться, и тогда его MAC прописывается в циске и в dhcp. И уже потом работать нормально.

Для такой цели проще "подсовывать" гостевую VLAN, со всеми вытекающими отсюда... возможностями. :)