波仔
📡 第二章 彻底理解L2交换机
📄 一句话概括

MAC 过滤是一张白名单或黑名单，名单外的帧直接丢。它简单、有效，但不是安全机制。 因为 MAC 地址是明文写的，改起来比改 IP 还容易。

📝 本节和前面几节的关系

上一节讲排队，这一节讲准入。它是 802.1X 之前的过渡方案。 这一节要算：表项容量，以及「为什么它挡不住攻击」。

一、先算容量

过滤表要装进 TCAM，一台接入交换机通常几百到几千条。

一个会议室 20 条、一层办公区 120 条、一栋楼 800 条、园区 5000 条。 到园区级就装不下了。

所以它的适用规模很小：单台设备、单个房间、单个机柜。规模一大就换成 802.1X。

二、为什么它不是安全机制

MAC 地址是明文写在帧里的，改起来比改 IP 还容易。攻击者只要把源 MAC 改成白名单里的地址， 过滤就完全失效。

所以它真正能挡的是「手滑」和「乱插」：员工把笔记本插到不该插的口、临时设备接进生产网段、 坏网卡发了错误 MAC 导致表震荡。

要认证就得用 802.1X。MAC 过滤的定位是「减少误接」，不是「防入侵」。

三、端口安全更实用

端口安全的做法不同：不登记具体是哪个 MAC，只说「这个口最多学几个」。

最多 1 个：接一台设备，多学一个就违规。工位、打印机。最多 2 个：接一台设备带 IP 电话。 最多 5 个：接小交换机或虚拟化。

违规动作有三种，选错会出事故：Shutdown（关端口，最安全但要人工恢复）、Restrict（丢帧加告警， 推荐）、Protect（静默丢弃，最不推荐，出问题查不到）。

四、动手 Demo：四种规模的过滤表项需求

这段列四种规模的表项需求与「够不够」，再列四种端口安全的配置与适用场景。

for a, b, c in ((u"一个会议室", u"20", u"绰绰有余"),
                (u"一层办公区", u"120", u"够"),
                (u"一栋楼", u"800", u"接近上限"),
                (u"园区", u"5000", u"多数设备装不下")):
    T([a, b, c], [0, 0, 0])

实跑输出：

--------------------------------------------------------------------
MAC 地址过滤与端口安全，能挡什么挡不住什么
--------------------------------------------------------------------
**MAC 过滤就是一张白名单或黑名单**：名单外的帧直接丢。它简单、有效，但**不是安全机制**。

**先算容量。**表项要装进 TCAM，一台接入交换机的过滤表通常几百到几千条：

  规模           表项数     够不够
  --------------------------------------------
  一个会议室     20         绰绰有余
  一层办公区     120        够
  一栋楼         800        接近上限
  园区           5000       多数设备装不下

**为什么它不是安全机制**：MAC 地址是明文写在帧里的，改起来比改 IP 还容易。
**攻击者只要把源 MAC 改成白名单里的地址，过滤就完全失效。**

**所以它真正能挡的是「手滑」和「乱插」**：

· 员工把自己的笔记本插到不该插的口上。
· 临时设备接进了生产网段。
· 一台坏网卡发了错误的 MAC，导致 MAC 表震荡。

**端口安全（port security）是更实用的版本**：不登记具体是哪个 MAC，只说「这个口最多学几个 MAC」。

  配置              效果                           适用
  -----------------------------------------------------------------
  最多 1 个 MAC     接一台设备，多学一个就违规     工位、打印机
  最多 2 个 MAC     接一台设备带 IP 电话           工位＋话机
  最多 5 个 MAC     接小交换机或虚拟化             会议室
  不限制            随便接                         上联口

**违规动作有三种，选错会出事故**：

1. **Shutdown**：直接关端口。最安全，但**要人工恢复**，夜里出事很麻烦。
2. **Restrict**：丢违规帧、发告警，端口继续工作。**推荐这个。**
3. **Protect**：静默丢弃，不告警。**最不推荐——出了问题查不到。**

**真要认证，用 802.1X，不要用 MAC 过滤。**下一节讲。

「5000 条多数设备装不下」这一行是关键：一台接入交换机的 TCAM 还要装 ACL、QoS、路由， 留给 MAC 过滤的很少。

所以园区级不用 MAC 过滤不是「不想用」，是「装不下」。这就是 802.1X 被发明出来的现实原因。

最后一栏「推荐 Restrict」值得单独记：Shutdown 听起来最安全， 但夜里一个违规动作要让值班的人跑到现场；Protect 最省事，但出了问题什么线索都没有。 Restrict 是「有告警又不影响别人」的折中。

30 秒实验

  1. 查交换机支持不支持端口安全（port security）。
  2. 看端口安全配的是最多几个 MAC。
  3. 看违规动作是 Shutdown、Restrict 还是 Protect。

常见误区

  1. 用 MAC 过滤当安全机制。MAC 可以伪造。
  2. 在园区级用 MAC 过滤。表装不下。
  3. 违规动作用 Protect。出问题没有线索。
自测三问（点开对答案） 1. 为什么 MAC 过滤不是安全机制？ —— MAC 地址明文写在帧里，可随意伪造。 2. 端口安全的思路与 MAC 过滤有什么不同？ —— 不登记具体地址，只限制「这个口最多学几个」。 3. 三种违规动作该选哪个？ —— Restrict：丢帧加告警，既安全又不影响其他人。

下一节：真正的认证方案——802.1X。

相关笔记