了解什么是靜態(tài)MAC地址條目(靜態(tài)MAC地址)
通過(guò)此文檔，你可以了解什么是靜態(tài)/動(dòng)態(tài)MAC，如何解決2層MAC 地址欺騙攻擊，以及如何解決單播泛洪。
通常，交換機(jī)會(huì)自動(dòng)學(xué)習(xí) MAC 地址，并記錄其從哪里學(xué)習(xí)到的，如果不知道其目的地將泛洪出去。
此過(guò)程容易受到第 2 層 MAC 地址欺騙攻擊，攻擊者通過(guò)欺騙某個(gè) MAC 地址來(lái)更改 MAC 地址表中的條目，處理這個(gè)問(wèn)題的一個(gè)非常簡(jiǎn)單的方法是手動(dòng)配置 MAC 地址表中的條目，靜態(tài)條目將始終覆蓋動(dòng)態(tài)條目，可以指定 MAC 地址所在的接口或告訴交換機(jī)丟棄其流量。
看如下案例
為了證明這一點(diǎn)，我們只需要兩個(gè)設(shè)備，生成一些流量的路由器和查看（和配置）MAC 地址表的交換機(jī)。配置如下:
R1(config)#interface fastEthernet 0/0
R1(config-if)#no shutdown
R1(config-if)#ip address 192.168.12.1 255.255.255.0
SW1(config)#interface vlan 1
SW1(config-if)#no shutdown
SW1(config-if)#ip address 192.168.12.2 255.255.255.0
我們將執(zhí)行快速 ping 以生成一些流量，以便 SW1 可以了解 R1 的 FastEthernet 0/0 接口的 mac 地址：
R1#ping 192.168.12.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.12.2, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/2/4 ms
我們來(lái)看看MAC地址表：
SW1#show mac address-table dynamic vlan 1
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
1 001d.a18b.36d0 DYNAMIC Fa0/1
Total Mac Addresses for this criterion: 1
這是 R1 的 MAC 地址，動(dòng)態(tài)學(xué)習(xí)。讓我們把它變成一個(gè)靜態(tài)條目：
SW1(config)#mac address-table static 001d.a18b.36d0 vlan 1 interface fastEthernet 0/1
使用 mac address-table static 命令創(chuàng)建靜態(tài)條目后，下面是 MAC 地址表現(xiàn)在的樣子：
SW1#show mac address-table static | include Fa0/1
1 001d.a18b.36d0 STATIC Fa0/1
它是一個(gè)靜態(tài)條目,這會(huì)阻止我們將 R1 移動(dòng)到 SW1 上的另一個(gè)接口，除非我們更改靜態(tài)條目,就像之前提到的，我們也可以更改靜態(tài)條目讓它丟棄所有流量。這是如何做到的：
SW1(config)#mac address-table static 001d.a18b.36d0 vlan 1 drop
所有發(fā)往 R1 的 MAC 地址的幀將被丟棄：
R1#ping 192.168.12.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.12.2, timeout is 2 seconds:
.....
Success rate is 0 percent (0/5)
由于我們的靜態(tài)丟棄條目，我們的 ping 失敗。
文章最后列出兩臺(tái)設(shè)備的配置：
hostname R1
!
ip cef
!
interface FastEthernet0/0
ip address 192.168.12.1 255.255.255.0
!
End
hostname SW1
!
interface Vlan1
ip address 192.168.12.2 255.255.255.0
!
mac address-table static 001d.a18b.36d0 vlan 1 drop
