MAC地址通知特性是思科網(wǎng)絡(luò)設(shè)備中非常重要的一個應(yīng)用。簡單的來說，網(wǎng)絡(luò)管理員可以通過這個特性來監(jiān)測連接到網(wǎng)絡(luò)中的新設(shè)備。不過在實際工作中，不同的應(yīng)用場景往往能夠起到不同的作用。筆者在這篇文章中就結(jié)合實際的案例，談?wù)勥@個MAC地址通知特性的應(yīng)用。并對其典型配置作一些講解。
一、在收費環(huán)境中的應(yīng)用
現(xiàn)在不少家庭或者企業(yè)都是通過電信等互聯(lián)網(wǎng)運營商來進行網(wǎng)絡(luò)的互聯(lián)。在申請帳號的時候，這些運行商往往會給用戶一個貓之類的設(shè)備。作為企業(yè)網(wǎng)絡(luò)與互聯(lián)網(wǎng)絡(luò)進行連接的一個中間媒介。那么作為互聯(lián)網(wǎng)運營商，他們是如何來控制只有付費的用戶才能夠上網(wǎng)呢?如果用戶只要有一個貓，就可以上網(wǎng)，那么就要亂套了。因為根據(jù)現(xiàn)有的技術(shù)，要盜版一個貓難度并不是很大。
其實在這個場景中，MAC地址通知特性就起到了很大的作用。在這個貓中，有一個MAC地址。而在運營商的后臺數(shù)據(jù)庫中，就存在著各種合法的貓的MAC地址。當(dāng)有新的設(shè)備要連接到互聯(lián)網(wǎng)的時候，運營商的交換機等設(shè)備就會將新接入的貓的MAC地址通知給運營商。然后運營商就可以跟后臺的MAC地址表進行匹配，判斷這個貓是否是合法的。如果不是合法的或者在運營商那邊沒有登記過，那么就會直接被拒絕。而一些控制的比較嚴(yán)格的運營商，用戶會發(fā)現(xiàn)即時貓是合法的，但是換一個帳號就不能夠用。這主要是運營商將這個MAC地址與電話號碼綁定。如此的話，這個貓只能夠在特定的地方使用。因為電話號碼是固定的。如果用戶需要移動位置，就需要辦理移機等手續(xù)。運營商還可以從中賺一筆。
總而言之，在付費環(huán)境中，MAC地址通知特性是一項必不可少的應(yīng)用。
二、MAC地址通知與DHCP服務(wù)器結(jié)合使用
在現(xiàn)實工作中，很多網(wǎng)絡(luò)管理員喜歡將MAC地址通知特性與DCHP服務(wù)器結(jié)合使用。因為這兩個技術(shù)結(jié)合，可以起到1+1大于2的效果。在很大程度上提高網(wǎng)絡(luò)的靈活性。如當(dāng)DHCP服務(wù)器接收到新的IP地址請求的時候，服務(wù)器就會將MAC地址(MAC地址通知特性會將這個申請者的MAC地址發(fā)送給DCHP服務(wù)器)和數(shù)據(jù)庫中的交換機以及端口信息進行驗證。來自東判斷用戶的MAC地址或者端口信息是否是合法的或者是否收到某些限制。如判斷這種請求是否來自貴賓用戶或者付費用戶。在實際工作中，這些用戶往往具有比較高的優(yōu)先級。如果系統(tǒng)檢查通過了，那么DCHP服務(wù)器就會為主機分配一個IP地址。往往可以根據(jù)用戶請求的類型分配不同段的IP地址。而在后臺不同的IP地址又對應(yīng)著不同的網(wǎng)絡(luò)規(guī)則。如資源訪問的限制、網(wǎng)絡(luò)帶寬的限制等等。并且相關(guān)的IP地址、MAC地址、用戶帳戶等信息都會被保存在數(shù)據(jù)庫中，以便后續(xù)的查詢、追蹤與分析等等。
可見，如果MAC地址與DHCP服務(wù)器結(jié)合使用，可以提高網(wǎng)絡(luò)管理的靈活性。特別是可以提高MAC地址匹配的效率。
三、MAC地址通知特性的主要用途
在以上的敘述中，筆者闡述了MAC地址通知特性的兩個典型應(yīng)用。那么讀者或許會問，MAC地址特性到底有哪些用途呢?這是一個比較大的話題，很難用一兩句話說明白。筆者結(jié)合自己的工作經(jīng)驗，總結(jié)了以下幾點，供大家參考。
簡單的說，MAC地址通知特性有兩方面的用途。一是控制，二是記錄。典型的接入層交換機能夠根據(jù)交換機的端口連接到不同的用戶，進而為其提供網(wǎng)絡(luò)接入。所以說，通過使用MAC地址通知特性，不僅能夠控制接入的狀態(tài)，而且還可以記錄用戶網(wǎng)絡(luò)接入的情況。萬一網(wǎng)絡(luò)出現(xiàn)故障，可以通過查詢這些信息來迅速進行排錯。
筆者以前就遇到過這種情況。企業(yè)的網(wǎng)絡(luò)用的好好的，突然用戶反映網(wǎng)絡(luò)的速度變得非常的緩慢。企業(yè)中有比較好的防火墻。為此筆者認(rèn)為很可能是內(nèi)部出現(xiàn)了問題。如有些員工將病毒帶入到了企業(yè)內(nèi)部，從而破壞企業(yè)網(wǎng)絡(luò)。筆者先查詢了 近接入到網(wǎng)絡(luò)中設(shè)備。筆者已經(jīng)在交換機上啟用了MAC地址通知特性。每當(dāng)接入端口上增加一個新的MAC地址的時候，系統(tǒng)就可以通過交換機管理系統(tǒng)發(fā)送SNMP信息。在這個信息中，會告訴網(wǎng)絡(luò)管理員用戶所采用的端口號以及MAC地址信息。為此從這個信息中筆者可以輕易的查詢到 近加入的設(shè)備，如終端等等。通過查詢筆者發(fā)現(xiàn)就在20分鐘之前，會議室多了一臺電腦。很有可能因為這臺電腦帶有病毒，從而影響到了企業(yè)的網(wǎng)絡(luò)。筆者果斷的切斷了這跟線，將連接這臺可以電腦的交換機端口暫時禁用掉。果然，沒過多久，網(wǎng)絡(luò)就恢復(fù)正常了。所以，MAC地址通知特性有時候還是一個很好的排錯工具。如果沒有這個工具的幫助，筆者可能還需要一個個端口去排錯。而有了這個工具之后，筆者可以在 短時間內(nèi)找到可疑的故障點，從而盡快的恢復(fù)網(wǎng)絡(luò)的正常運行。
所以說，MAC地址通知特性不僅僅在一些互聯(lián)網(wǎng)的運營商那里可以使用。而且對于普通企業(yè)來說，也有不可替代的作用。如可以幫助網(wǎng)絡(luò)管理員來控制一些臨時終端的使用等等。一般來說，只要企業(yè)配置有比較完善的防火墻，那么病毒、木馬等等很難從企業(yè)的外面找到突破口。恰恰相反，很多攻擊都是從企業(yè)的內(nèi)部下手。如用戶或者業(yè)務(wù)伙伴使用自帶的筆記本等終端設(shè)備。由于這些設(shè)備很可能本身就帶有病毒。從而從內(nèi)部破壞企業(yè)網(wǎng)絡(luò)的穩(wěn)定性。如果能夠?qū)@些外來的臨時終端進行嚴(yán)格的管理控制，那么必然可以在很大程度上提高企業(yè)網(wǎng)絡(luò)的安全與穩(wěn)定。在這方面，MAC地址通知特性顯然能夠幫助網(wǎng)絡(luò)管理員實現(xiàn)這個目標(biāo)。
四、在思科交換機上的典型配置
目前市場上的產(chǎn)品，并不是所有的企業(yè)或者所有的產(chǎn)品線都支持這個特性。從思科的交換機來說，其也并不是所有的交換機都支持這個特性。如在基于ios軟件的交換機中都沒有得到普遍的支持。有些規(guī)格的交換機沒有這個特性。如果企業(yè)需要這個特性的話，在選購交換機的時候，一定要確認(rèn)清楚。筆者認(rèn)為，至少要在一些關(guān)鍵的交換機或者關(guān)鍵的位置選購具有這個MAC地址特性的交換機。如在會議室、會客室等比較開放的地方，可能外來的人用的比較多。此時需要一個帶有MAC地址特性的交換機。當(dāng)有外來終端連接到企業(yè)網(wǎng)絡(luò)的時候，管理員可以及時的了解這個信息。以便后續(xù)的追蹤與排錯。
作為網(wǎng)絡(luò)管理員，如何判斷是否需要使用這個特性的交換機上?綜上所述，網(wǎng)絡(luò)管理員或許也有一些直觀的印象。如果一定要有一個判斷標(biāo)準(zhǔn)的話，那么以下這條規(guī)則或許有用。通常情況下，如果管理員需要知道MAC地址變更的通知(如增加了新的終端等等)， 則就需要這個MAC地址通知特性。否則的話，這個特性對于網(wǎng)絡(luò)管理員來說，就沒有實際的利用價值。
在思科的交換機上要啟用這個特性也比較簡單。一般來說通過四個步驟就可以實現(xiàn)。
一是全局啟用MAC地址通知特性。這個配置主要用到如下命令：set cam notification enable。
二是如果需要追蹤特定端口的，則根據(jù)實際情況來增減MAC地址通知。如果不需要追蹤特定的端口，則可以忽略這一步。如果有需要的話，可以通過如下命令來配置：set cam notification。
三是指定MAC地址通知的時間間隔。這個步驟主要用來設(shè)置發(fā)送的頻率。一般來說，這個頻率并不是越高越好。太高的話，會占用比較大的帶寬。如果沒有特殊的需要，采用默認(rèn)值即可。確實需要調(diào)整的話，可以通過如下命令調(diào)整。Set cam notification interval.
四十啟用交換機發(fā)送MAC地址變更消息。這是一個非常重要的步驟。如果漏掉了這一步，那么管理員就不能夠在第一時間內(nèi)收到MAC地址變更的情況。在這個步驟中，主要用到如下命令：set snmp enable macnotification。
標(biāo)簽：
掃碼加我微信
