Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

以太网接口上的 MAC 地址过滤和核算

要阻止来自特定 MAC 地址的所有传入数据包,您可以启用 MAC 地址过滤。您可以配置以太网接口以动态了解源或目标 MAC 地址。本主题介绍如何启用 MAC 地址过滤以及如何配置 MAC 地址核算。

为以太网接口配置 MAC 地址过滤

启用源地址过滤

在使用 Sfp 的聚合以太网接口、快速以太网、千兆位以太网、千兆位以太网 IQ 和千兆位以太网上(10端口千兆位以太网 PIC 和带 M7i 路由器的内置千兆位以太网端口),您可以启用源地址过滤以阻止来自特定 MAC 地址的所有传入数据包。

要启用过滤,请将source-filtering语句包括在以下层次结构级别:

  • [edit interfaces interface-name aggregated-ether-options]

  • [edit interfaces interface-name fastether-options]

  • [edit interfaces interface-name gigether-options]

    注:

    将独立 T640 路由器集成到路由矩阵中时,集成 T640 路由器的 PIC 媒体访问控制(地址)(MAC)地址派生于由 TX Matrix 路由器维护的 MAC 地址池。对于在以前独立的 T640 路由器的配置中指定的每个 MAC 地址,您必须在 TX Matrix 路由器的配置中指定相同的 MAC 地址。

    同样,当您将 T1600 或 T4000 路由器集成到路由矩阵中时,集成 T1600 或 T4000 路由器的 PIC MAC 地址将从 TX Matrix Plus 路由器维护的 MAC 地址池派生而来。对于您在先前独立 T1600 或 T4000 路由器的配置中指定的每个 MAC 地址,您必须在 TX Matrix Plus 路由器的配置中指定相同的 MAC 地址。

启用源地址过滤后,您可以将接口配置为从特定 MAC 地址接收数据包。为此,请在source-address-filter mac-address语句中指定以下层次结构级别的 MAC 地址:

  • [edit interfaces interface-name aggregated-ether-options]

  • [edit interfaces interface-name fastether-options]

  • [edit interfaces interface-name gigether-options]

您可以将 MAC 地址指定为nn:nn:nn:nn:nn:nn or nnnn .nnnn.nnnn,其中n是一个十六进制数。您最多可以配置64源地址。要指定多个地址,请多次包含source-address-filter语句。

注:

source-address-filter Sfp 的千兆位以太网 IQ 和千兆位以太网 PIC 上不支持该语句(在 M7i 路由器上,10端口千兆位以太网和内置千兆位以太网端口除外);而应将accept-source-mac语句包括在内。有关详细信息,请参阅配置千兆位以太网监管器

如果远程以太网卡发生变化,接口将无法从新卡接收数据包,因为它具有不同的 MAC 地址。

启用链路聚合控制协议(LACP)时,源地址过滤不起作用。此行为不适用于 T 系列路由器和 PTX 系列数据包传输路由器。有关 LACP 的信息,请参阅 聚合以太网接口

注:

在未标记的千兆位以太网接口上, source-address-filter不应同时[edit interfaces ge-fpc/pic/port gigether-options]在层次结构级别accept-source-mac和语句[edit interfaces ge-fpc/pic/port gigether-options unit logical-unit-number]级别配置语句。如果同时为相同接口配置这些语句,将显示错误消息。

在标记的千兆位以太网接口上,不source-address-filter应使用两个过滤器中[edit interfaces ge-fpc/pic/port gigether-options]指定的相同 MAC 地址accept-source-mac来配置位于[edit interfaces ge-fpc/pic/port gigether-options unit logical-unit-number] [编辑接口层次结构级别的语句和层次结构级别的语句。如果为相同 MAC 地址指定的相同接口配置这些语句,将显示错误消息。

注:

source-address-filter MPC4E 的 MX 系列路由器不支持该语句(型号:MPC4E-3D-32XGE-SFPP 和 MPC4E-3D-2CGE-8XGE);而应将accept-source-mac语句包括在内。有关详细信息,请参阅配置千兆位以太网监管器

在 PTX 系列数据包传输路由器上配置 MAC 地址过滤

本主题介绍如何在 PTX 系列数据包传输路由器上配置 MAC 过滤。MAC 过滤允许您指定 MAC 地址,以太网接口可从中接收数据包。

PTX 系列数据包传输路由器的 MAC 过滤支持包括:

  • 每个端口的 MAC 源和目标地址过滤。

  • 每个物理接口的 MAC 源地址过滤。

  • 每个逻辑接口的 MAC 源地址过滤。

过滤逻辑和物理接口时,最多可以为每个端口指定 1000 MAC 源地址。

要为物理接口配置 MAC 源地址过滤,请在source-filteringsource-address-filter[edit interfaces et-fpc/pic/port gigether-options]层次结构级别包括和语句:

source-address-filter语句用于配置要过滤的 MAC 源地址。指定的物理接口会丢弃来自您指定的 MAC 源地址的所有数据包。您可以将 MAC 地址指定为nn:nn:nn:nn:nn:nn十进制n数字所在的位置。要指定多个地址,请在mac-addresssource-address-filter语句中包含多个选项。

要为逻辑接口配置 MAC 源地址过滤,请将accept-source-mac语句包含在[edit interfaces et-fpc/pic/port unit logical-unit-number]层次结构级别:

accept-source-mac语句用于配置逻辑接口上接受哪些 MAC 源地址。您可以将 MAC 地址指定为nn:nn:nn:nn:nn:nn十进制n数字所在的位置。要指定多个地址,请在mac-address mac-addressaccept-source-mac语句中包含多个选项。

配置接口过滤器后,将存在与 MAC 地址过滤器相关联的核算条目。如果数据包具有匹配的 MAC 源地址,则累积计数器。您可以使用show interfaces mac-database Junos OS CLI 命令查看地址计数。

配置 MAC 地址核算

对于带 Sfp 的千兆位以太网 IQ 和千兆位以太网 PIC (在 M7i 路由器的10端口千兆位以太网和内置千兆位以太网端口除外),对于 MX 系列路由器上的千兆位以太网 dpc,对于带 CFP 的100千兆位以太网类型 5 PIC 以及 MPC3E、MPC4E、MPC5E、MPC5EQ 和 MPC6E mpc,您可以配置是否动态了解源和目标 MAC 地址。

要在单个以太网接口上配置 MAC 地址核算,请mac-learn-enable将语句包含[edit interfaces interface-name gigether-options ethernet-switch-profile]在层次结构级别:

要在聚合以太网接口上配置 MAC 地址核算,请mac-learn-enable将语句包含[edit interfaces aex aggregated-ether-options ethernet-switch-profile]在层次结构级别:

要禁止某个接口动态学习源和目标 MAC 地址,请不要包含此mac-learn-enable语句。

要在配置源和目标 MAC 地址后禁用其动态学习,您必须从配置中删除mac-learn-enable

注:

只有在接口收到来自 MAC 源的流量之后,Mpc 才支持单个接口或聚合以太网接口成员链路的 MAC 地址核算。如果信息流只是退出接口,则不了解 MAC 地址,也不会 MAC 地址核算。