CÂU LỆNH CẤU HÌNH VÀ QUẢN LÝ ĐỊA CHỈ MAC TRONG THIẾT BỊ CISCO
6- CÁC CÂU LỆNH CẤU HÌNH VÀ QUẢN LÝ ĐỊA CHỈ MAC TRONG THIẾT BỊ CISCO
I. ĐỊNH NGHĨA VÀ ỨNG DỤNG QUẢN LÝ ĐỊA CHỈ MAC TRONG THIẾT BỊ CISCO
Trong hạ tầng mạng, đặc biệt là với các thiết bị Switch Cisco, Địa chỉ MAC (Media Access Control) là thành phần cốt lõi ở Tầng liên kết dữ liệu (Data Link Layer - Layer 2). Việc hiểu rõ định nghĩa và ứng dụng quản lý địa chỉ MAC giúp người quản trị tối ưu hóa hiệu suất truyền mạch và bảo mật toàn diện cho hệ thống mạng doanh nghiệp.
1. Định nghĩa về Địa chỉ MAC và Bảng địa chỉ MAC (MAC Address Table)
1.1. Địa chỉ MAC là gì?
Địa chỉ MAC là địa chỉ vật lý duy nhất được nhà sản xuất ghi trực tiếp vào phần cứng của card mạng (NIC) trên mỗi thiết bị (máy tính, điện thoại, cổng Switch, Router...).
Địa chỉ MAC gồm 48 bit (6 Byte), thường được biểu diễn dưới dạng 12 ký tự thập lục phân (Hexadecimal).
Trên thiết bị Cisco, địa chỉ MAC thường được định dạng theo kiểu chia làm 3 nhóm, cách nhau bằng dấu chấm (ví dụ: 001a.a1b2.c3d4).
1.2. Bảng địa chỉ MAC (MAC Address Table/CAM Table)
Switch là thiết bị hoạt động ở Layer 2. Để biết phải chuyển gói tin (Frame) đến chính xác cổng nào, Switch Cisco sở hữu một bảng tra cứu gọi là MAC Address Table (hoặc Content Addressable Memory - CAM Table).
Bảng này là một bản đồ liên kết giữa [Địa chỉ MAC của thiết bị đầu cuối] — [Cổng vật lý của Switch] — [VLAN].
Quy trình học địa chỉ MAC của Switch Cisco:
1.Học (Learning): Khi một thiết bị gửi dữ liệu vào một cổng của Switch, Switch sẽ đọc địa chỉ MAC nguồn (Source MAC) và ghi nhận vào bảng MAC cùng với số cổng tương ứng.
2.Tra cứu và Chuyển tiếp (Forwarding): Khi dữ liệu cần gửi đi, Switch đọc địa chỉ MAC đích (Destination MAC) và tra cứu trong bảng:
Nếu thấy, nó chỉ đẩy gói tin ra duy nhất cổng đó (Unicast).
Nếu không thấy (Unknown Unicast) hoặc là gói tin Broadcast, Switch sẽ đẩy dữ liệu ra tất cả các cổng còn lại trong cùng VLAN (gọi là hiện tượng Flooding).
2. Các ứng dụng quản lý địa chỉ MAC trong thiết bị Cisco
Quản lý địa chỉ MAC trên Switch Cisco không chỉ để thiết bị tự hoạt động, mà người quản trị mạng (Network Admin) chủ động ứng dụng nó vào 4 mục đích lớn sau:
2.1. Bảo mật cổng mạng với Port Security (Ứng dụng quan trọng nhất)
Tính năng Port Security trên Switch Cisco cho phép giới hạn số lượng và chỉ định chính xác địa chỉ MAC nào được phép kết nối vào một cổng vật lý.
Ứng dụng thực tế: Ngăn chặn nhân viên tự ý rút dây mạng của máy tính công ty để cắm vào máy cá nhân, hoặc ngăn kẻ lạ cắm thiết bị lạ vào ổ cắm mạng trên tường ở phòng họp/sảnh chờ.
Cơ chế lưu trữ MAC:
Static: Admin tự nhập tay các địa chỉ MAC hợp lệ vào cấu hình cổng.
Sticky (Được dùng nhiều nhất): Cổng Switch sẽ tự động "học" địa chỉ MAC của thiết bị đầu tiên cắm vào, biến nó thành MAC hợp lệ và lưu cứng vào cấu hình. Nếu có thiết bị có MAC khác cắm vào, cổng sẽ lập tức bị khóa (shutdown hoặc restrict).
2.2. Kiểm soát truy cập và Định danh với MAC Authentication Bypass (MAB)
Trong các mạng doanh nghiệp triển khai giải pháp bảo mật tập trung (như hệ thống Cisco ISE - Identity Services Engine), các thiết bị cần phải được xác thực trước khi vào mạng (chuẩn 802.1X).
Bài toán: Các thiết bị như Máy in mạng (Network Printer), Camera IP, máy chấm công (Biometric Access Control) không có khả năng tự nhập Username/Password hoặc cài phần mềm xác thực.
Ứng dụng: Cisco hỗ trợ tính năng MAB. Khi thiết bị cắm vào, Switch sẽ lấy chính địa chỉ MAC của thiết bị đó làm thông tin định danh (Username và Password chính là địa chỉ MAC) gửi về Server RADIUS để kiểm tra. Nếu MAC nằm trong danh sách trắng (Whitelist), thiết bị sẽ được cấp quyền truy cập vào đúng VLAN quy định.
2.3. Ngăn chặn tấn công giả mạo với DAI (Dynamic ARP Inspection)
Kẻ tấn công trong mạng nội bộ thường sử dụng các kỹ thuật tinh vi như ARP Spoofing (giả mạo địa chỉ MAC) để thực hiện cuộc tấn công Man-in-the-Middle nhằm nghe lén toàn bộ dữ liệu trong mạng.
Ứng dụng: Tính năng Dynamic ARP Inspection (DAI) trên Switch Cisco sẽ kiểm tra tính hợp lệ của các gói tin ARP bằng cách đối chiếu địa chỉ MAC và IP của thiết bị với bảng cơ sở dữ liệu tin cậy (DHCP Snooping Binding Table). Nếu phát hiện một địa chỉ MAC đang cố tình giả danh IP của thiết bị khác (như Gateway), Switch sẽ Drop gói tin đó ngay lập tức.
2.4. Cấu hình Static MAC để tối ưu hóa hiệu năng thiết bị đặc biệt
Mặc định, các địa chỉ MAC tự động học được sẽ bị xóa khỏi bảng sau một khoảng thời gian không hoạt động (mặc định trên Cisco là 300 giây - Aging Time) để giải phóng bộ nhớ.
Ứng dụng: Đối với các thiết bị quan trọng, không bao giờ thay đổi vị trí và hoạt động liên tục như File Server, Core Switch, hoặc thiết bị tường lửa (Firewall), Admin có thể cấu hình Static MAC Address. Địa chỉ MAC này sẽ nằm vĩnh viễn trong bảng CAM, giúp Switch chuyển tiếp dữ liệu ngay lập tức mà không mất thời gian học lại, giảm thiểu hiện tượng Flooding không cần thiết trong mạng.
VÍ DU: ĐỊA CHỈ MAC MÁY TÍNH VÀ MÁY IN:
1. Địa chỉ MAC cho Máy tính (PC/Laptop)
Thiết bị Dell (Thường dùng card mạng Intel): 74:D4:35:A1:BC:DE
Thiết bị HP: 00:1E:0B:C2:34:56
Thiết bị Apple (MacBook/iMac): AC:BC:32:8E:9F:01
2. Địa chỉ MAC cho Máy in (Network Printer)
Máy in HP (Hewlett-Packard): 00:11:0A:5B:6C:7D
Máy in Canon: 00:00:85:DF:E4:A2
II. CÁC BƯỚC CẤU HÌNH QUẢN LÝ ĐỊA CHỈ MAC TRONG THIẾT BỊ CISCO
1. Xem Bảng Địa Chỉ MAC (MAC Address Table):
Đây là những thao tác cơ bản để xem các địa chỉ MAC mà switch đã học được trên các cổng của nó.
Bước: Truy cập vào chế độ đặc quyền (Privileged EXEC Mode).
FdcSwtcisco# show mac address-table
Lệnh này sẽ hiển thị bảng địa chỉ MAC, bao gồm:
VLAN ID: VLAN mà địa chỉ MAC thuộc về.
MAC Address: Địa chỉ MAC đã học được.
Type: Loại địa chỉ (ví dụ: Dynamic - học động, Static - cấu hình tĩnh, Secure - học bảo mật).
Ports: Cổng mà địa chỉ MAC được học trên đó.
Bạn có thể lọc kết quả theo VLAN hoặc interface:
FdcSwtcisco# show mac address-table vlan <số_vlan>
FdcSwtcisco# show mac address-table interface <tên_giao_diện>
2. Cấu Hình Địa Chỉ MAC Tĩnh (Static MAC Address):
Trong một số trường hợp, bạn có thể muốn gán một địa chỉ MAC cụ thể cho một cổng. Điều này thường được sử dụng cho các thiết bị quan trọng hoặc để kiểm soát truy cập.
Bước: Truy cập vào chế độ cấu hình toàn cục (Global Configuration Mode) và sau đó vào chế độ cấu hình giao diện (Interface Configuration Mode) cho cổng bạn muốn cấu hình.
- FdcSwtcisco(config)# mac address-table static <địa_chỉ_MAC> vlan <số_vlan> interface <tên_giao_diện>
<địa_chỉ_MAC>: Địa chỉ MAC bạn muốn gán (ví dụ: 0001.2233.4455).
<số_vlan>: VLAN mà địa chỉ MAC này thuộc về.
<tên_giao_diện>: Cổng mà bạn muốn gán địa chỉ MAC này.
Ví dụ: Gán địa chỉ MAC 000A.BBCC.DDEE cho VLAN 10 trên cổng FastEthernet0/5:
FdcSwtcisco# configure terminal
FdcSwtcisco(config)# interface FastEthernet0/5
FdcSwtcisco(config-if)# mac address-table static 000A.BBCC.DDEE vlan 10
FdcSwtcisco(config-if)# exit
FdcSwtcisco(config)# exit
FdcSwtcisco# copy running-config startup-config
Để xóa một địa chỉ MAC tĩnh:
FdcSwtcisco# configure terminal
FdcSwtcisco(config)# interface FastEthernet0/5
FdcSwtcisco(config-if)# no mac address-table static <địa_chỉ_MAC> vlan <số_vlan> interface <tên_giao_diện>
FdcSwtcisco(config-if)# exit
FdcSwtcisco(config)# exit
FdcSwtcisco# copy running-config startup-config
3. Cấu Hình Bảo Mật Cổng (Port Security) Dựa Trên Địa Chỉ MAC:
Port Security cho phép bạn giới hạn số lượng địa chỉ MAC được phép học trên một cổng và có thể cấu hình để phản ứng khi có địa chỉ MAC không mong muốn xuất hiện.
Bước 1: Bật Port Security trên giao diện.
FdcSwtcisco# configure terminal
FdcSwtcisco(config)# interface <tên_giao_diện>
FdcSwtcisco(config-if)# switchport mode access
FdcSwtcisco(config-if)# switchport port-security
FdcSwtcisco(config-if)# exit
FdcSwtcisco(config)# exit
FdcSwtcisco# copy running-config startup-config
Bước 2: Cấu hình số lượng địa chỉ MAC tối đa được phép trên cổng (tùy chọn). Mặc định là 1.
FdcSwtcisco# configure terminal
FdcSwtcisco(config)# interface <tên_giao_diện>
FdcSwtcisco(config-if)# switchport port-security maximum <số_lượng>
FdcSwtcisco(config-if)# exit
FdcSwtcisco(config)# exit
FdcSwtcisco# copy running-config startup-config
Bước 3: Cấu hình hành động khi có địa chỉ MAC vi phạm (tùy chọn). Các tùy chọn phổ biến:
violation protect: Gói tin từ địa chỉ MAC vi phạm sẽ bị hủy bỏ nhưng không có thông báo nào được gửi. Địa chỉ MAC vi phạm không được thêm vào bảng địa chỉ MAC.
violation restrict: Tương tự như protect, nhưng sẽ có thông báo SNMP và syslog. Bộ đếm vi phạm sẽ tăng.
violation shutdown: Cổng sẽ bị đưa vào trạng thái error-disabled, ngăn chặn mọi lưu lượng cho đến khi được kích hoạt lại thủ công bằng lệnh shutdown và no shutdown trên interface. Thông báo SNMP và syslog cũng được gửi.
VÍ DỤ:
FdcSwtcisco# configure terminal
FdcSwtcisco(config)# interface <tên_giao_diện>
FdcSwtcisco(config-if)# switchport port-security violation <protect | restrict | shutdown>
FdcSwtcisco(config-if)# exit
FdcSwtcisco(config)# exit
FdcSwtcisco# copy running-config startup-config
Bước 4: Cấu hình địa chỉ MAC bảo mật (tùy chọn):
Cấu hình địa chỉ MAC tĩnh và bảo mật:
FdcSwtcisco# configure terminal
FdcSwtcisco(config)# interface <tên_giao_diện>
FdcSwtcisco(config-if)# switchport port-security mac-address <địa_chỉ_MAC>
FdcSwtcisco(config-if)# exit
FdcSwtcisco(config)# exit
FdcSwtcisco# copy running-config startup-config
Cho phép switch tự động học địa chỉ MAC đầu tiên và đặt nó là địa chỉ bảo mật (sticky learning): Địa chỉ MAC được học động sẽ được lưu vào cấu hình (running-config) và sau đó có thể được lưu vào startup-config.
FdcSwtcisco# configure terminal
FdcSwtcisco(config)# interface <tên_giao_diện>
FdcSwtcisco(config-if)# switchport port-security mac-address sticky
FdcSwtcisco(config-if)# exit
FdcSwtcisco(config)# exit
FdcSwtcisco# copy running-config startup-config
Bước 5: Xem cấu hình Port Security trên một cổng:
FdcSwtcisco# show port-security interface <tên_giao_diện>
Bước 6: Xem các địa chỉ MAC bảo mật đã học trên một cổng:
FdcSwtcisco# show port-security address
4. Lọc Địa Chỉ MAC (MAC Address Filtering) - Thường sử dụng Access Control Lists (ACLs):
Bạn có thể sử dụng MAC Access Lists để kiểm soát lưu lượng dựa trên địa chỉ MAC nguồn hoặc đích.
Bước 1: Tạo một MAC Access List:
FdcSwtcisco# configure terminal
FdcSwtcisco(config)# mac access-list extended <tên_ACL>
FdcSwtcisco(config)# permit|deny <địa_chỉ_MAC_nguồn> <mask_nguồn> <địa_chỉ_MAC_đích> <mask_đích> [ether-type <loại_ethernet>]
FdcSwtcisco(config)# exit
<tên_ACL>: Tên của MAC Access List.
permit|deny: Cho phép hoặc từ chối lưu lượng.
<địa_chỉ_MAC>: Địa chỉ MAC cần lọc.
<mask>: Wildcard mask (tương tự như subnet mask nhưng bit 0 là "khớp" và bit 1 là "không quan tâm"). Sử dụng aaaa.bbbb.cccc 0000.0000.0000 để khớp chính xác một địa chỉ MAC. any có thể được sử dụng thay cho địa chỉ MAC và mask toàn 0.
ether-type: (Tùy chọn) Loại Ethernet frame (ví dụ: arp, ip).
Ví dụ: Chặn lưu lượng từ địa chỉ MAC 0001.0002.0003 đến bất kỳ địa chỉ MAC nào:
FdcSwtcisco(config)# mac access-list extended block-mac-0001
FdcSwtcisco(config-acl-mac)# deny 0001.0002.0003 0000.0000.0000 any
FdcSwtcisco(config-acl-mac)# permit any any
FdcSwtcisco(config-acl-mac)# exit
Bước 2: Áp dụng MAC Access List cho một giao diện:
FdcSwtcisco(config)# configure terminal
FdcSwtcisco(config)# interface <tên_giao_diện>
FdcSwtcisco(config-if)# mac access-group <tên_ACL> in|out
S FdcSwtcisco(config-if)# exit
FdcSwtcisco(config)# exit
FdcSwtcisco# copy running-config startup-config
in: Áp dụng ACL cho lưu lượng đến (ingress).
out: Áp dụng ACL cho lưu lượng đi (egress).
5. Xóa Địa Chỉ MAC Động:
Bạn có thể xóa các địa chỉ MAC đã học động khỏi bảng địa chỉ MAC.
Bước: Truy cập vào chế độ đặc quyền (Privileged EXEC Mode).
FdcSwtcisco(config)# clear mac address-table dynamic
Bạn cũng có thể xóa theo VLAN hoặc interface:
FdcSwtcisco(config)# clear mac address-table dynamic vlan <số_vlan>
FdcSwtcisco(config)# clear mac address-table dynamic interface <tên_giao_diện>
Tóm tắt các nhóm lệnh chính:
Xem bảng MAC: show mac address-table
Cấu hình MAC tĩnh: mac address-table static ... (trong interface config)
Cấu hình Port Security: switchport port-security ... (trong interface config)
Cấu hình MAC ACL: mac access-list extended ..., mac access-group ... (trong interface config)
Xóa MAC động: clear mac address-table dynamic ...
Hãy xác định rõ mục tiêu bạn muốn đạt được trong việc quản lý địa chỉ MAC để áp dụng các bước và câu lệnh phù hợp. Nếu bạn có một tình huống cụ thể, hãy mô tả chi tiết để tôi có thể cung cấp hướng dẫn chính xác hơn.
