अमान्य स्रोत मैक पते को ट्रैक करना

Question

मुझे एक दूरस्थ साइट का समर्थन विरासत में मिला है जिसमें एक सिस्को 4500 है और ~ 2 दर्जन सिस्को एक्सेस स्विच से जुड़ा हुआ है - मुख्य रूप से 2950s 3750 और 3560 के जोड़े के साथ। सभी एक्सेस स्विच 4500 से सीधे जुड़े नहीं हैं - स्विच की कुछ डेज़ी चैनिंग है जो स्पष्ट रूप से अपर्याप्त केबल के परिणामस्वरूप किया गया था। हाल ही में मैंने 4500 पर सीरियस संदेश देखे हैं जो संकेत करते हैं कि एक अमान्य स्रोत मैक पते के साथ फ्रेम प्राप्त हुए हैं:

*Sep 10 09:29:48.609: %C4K_L2MAN-6-INVALIDSOURCEADDRESSPACKET: (Suppressed 102563 times)Packet received with invalid source MAC address (00:00:00:00:00:00) on port Te5/1 in vlan 1460

Te5 / 1 से जुड़ा डिवाइस एक एक्सेस स्विच (सिस्को 3750) है। यह बदले में 6 अन्य एक्सेस स्विच से जुड़ा है। थोड़ा सा googling के बाद यह प्रतीत होता है कि 4500 एकमात्र सिस्को प्लेटफॉर्म है जो अमान्य स्रोत मैक पते को लॉग करता है। मेरे पढ़ने से, अन्य प्लेटफ़ॉर्म (2960, 3750, आदि) फ़्रेम को आगे बढ़ाने के लिए प्रतीत होते हैं, लेकिन उन्हें अमान्य के रूप में लॉग नहीं करते हैं, और न ही वे मैक एड्रेस-टेबल में एक प्रविष्टि जोड़ते हैं। मुझे संदेह है कि अवैध स्रोत मैक पते का मूल कारण एक दोषपूर्ण निक, एक सॉफ्टवेयर बग या शायद एक गलत कॉन्फ़िगर किया गया vwareware हो सकता है। ऑफ़ेंडिंग पोर्ट को ट्रैक करने के लिए एक्सेस स्विच पर कौन से उपकरण उपलब्ध हैं?

Comments

मेरी पोस्ट हटा दी गई, उन्हें एहसास नहीं हुआ कि वे बिल्कुल भी दिखाई नहीं दे रहे हैं। यदि स्विच उन्हें CAM में नहीं डालेगा, तो मुझे लगता है कि आपका सबसे अच्छा शर्त स्विच पर SPAN सत्र चलाना है, लेकिन तब भी स्रोत पोर्ट को खोजने के लिए यह मुश्किल होगा। एक अन्य विकल्प यह होगा कि अज्ञात यूनिकैस्ट को निष्क्रिय करें और देखें कि क्या कुछ टूटता है। मुझे आश्चर्य है कि संचार हालांकि काम करता है। अगर उस होस्ट के साथ मैक बाहर कुछ भेजता है तो GW को सबनेट करता है GW ARP को होस्ट के मैक को देखना होगा और फ्रेम को इनकैप्सुलेट करना होगा, क्या GW के पास कोई अजीब ARP मैपिंग है?

— डेनियल डिब

Supportforums.cisco.com/docs/DOC-36000 के अनुसार इन फ़्रेमों को HW में छोड़ा जाना चाहिए ताकि कम से कम यह स्विच के प्रदर्शन को प्रभावित न करे।

— डैनियल डिब

हां, उस लिंक के अनुसार: "कृपया ध्यान दें कि अमान्य मैक पते वाले पैकेट को वैसे भी गिरा दिया जाएगा, अन्य सभी सिस्को कैटलिस्ट स्विच चुपचाप इन पैकेटों को एचडब्ल्यू में छोड़ रहे हैं, 4k मंच स्पष्ट रूप से लॉगिंग संदेश उत्पन्न कर रहा है जब ऐसी घटना देखी जाती है।" ... लेकिन मुझे पता है कि यह वास्तव में ऐसा नहीं हो सकता है क्योंकि 4500 फ्रेम के बारे में शिकायत कर रहा है जो कि Te5 / 1 पर आ रहा है जो कि 3750 से जुड़ा पोर्ट है। यह इंगित करेगा कि 3750 फ्रेम w / अमान्य को अग्रेषित कर रहा है। स्रोत मैक जो DOC-36000 के बावजूद कहता है।

— User123456

फूट डालो और जीतो!

— generalnetworkerror

क्या किसी उत्तर ने आपकी मदद की? यदि हां, तो आपको उत्तर स्वीकार करना चाहिए ताकि प्रश्न हमेशा के लिए पॉपिंग न हो जाए, उत्तर की तलाश में है। वैकल्पिक रूप से, आप अपना स्वयं का उत्तर प्रदान कर सकते हैं और स्वीकार कर सकते हैं।

— रॉन Maupin

Answer 1

आप कोशिश कर सकते हैं कि अगर एक्सेस स्विच पर इंटरफेस और / या vlans पर MAC ACL का उपयोग करके फ़्रेम को ब्लॉक किया जा सकता है। ब्लाकों को चुनिंदा रूप से लागू करने और जांचने पर कि 4500 पर त्रुटि संदेश गायब हो जाते हैं या नहीं, आप यातायात के स्रोत पर घर कर सकते हैं।

4500 पर त्रुटि संदेश में उल्लिखित पोर्ट मदद कर सकता है या नहीं, यह देखने के लिए केबलों को घुमाने से भी मदद मिल सकती है, लेकिन उत्पादन के माहौल में मुश्किल साबित हो सकती है।

Answer 2

आम तौर पर जब मैंने यह देखा है, तो यह खराब कॉन्फ़िगर वीएम (अक्सर एक उपयोगकर्ता मशीन पर होस्ट) से आता है। स्थिति और पर्यावरण के आधार पर, उन्हें नीचे ट्रैक करना मुश्किल हो सकता है (सीएस और ईसीई विभाग की इमारतों में एक विश्वविद्यालय में इनमें से बहुत कुछ देखा गया था जो छात्रों को स्थानांतरित और आया / जैसा कि छात्रों ने किया था)।

आपके पास पहले से ही कुछ शानदार जवाब हैं, लेकिन एक और विकल्प जो आप अपना सकते हैं, वह है डाउनस्ट्रीम स्विच (37xx, 36xx, 29xx) में निम्नलिखित कॉन्फिगर को जोड़ना:

   mac address-table static 0000.0000.0000 vlan <VLAN ID> drop

यह इस मैक के साथ किसी भी ट्रैफ़िक को आगे बढ़ाने के बजाय इसे छोड़ देगा और चूंकि इसे हार्डवेयर में किया जाना चाहिए (किसी भी सुविधाओं / समस्याओं को रोकना जो मैक सॉफ़्टवेयर में सॉफ्टवेयर को देखने का कारण बनता है), इसका प्रदर्शन पर नकारात्मक प्रभाव नहीं होना चाहिए।

Comments

इस सुझाव के लिए धन्यवाद। यह तख्ते को अन्य स्विचों में आगे बढ़ने से रोक देगा जो कि एक बड़ी जीत है। क्या इस कॉन्फ़िगरेशन के आधार पर पोर्ट ड्रॉपिंग फ़्रेमों का निरीक्षण करने के लिए लॉगिंग या डिबग कमांड के माध्यम से एक रास्ता है?

— User123456

@fcorrao, दुर्भाग्य से इस विन्यास के साथ नहीं। आपको ऐसा करने की कोशिश करनी होगी जो गेर्बेन ने सुझाव दिया था और बंदरगाहों से यातायात को पकड़ने के लिए मैक एसीएल या डेव के सुझाव का उपयोग करें। लेकिन इस पर मेरा कहना है कि केवल गलत डिवाइस को प्रतिकूल रूप से प्रभावित किया जाएगा, इसलिए या तो वे इसे ज्ञात करेंगे या वे खुद को नोटिस भी नहीं करेंगे।

— YLearn

Answer 3

यह मुझे प्रतीत होता है कि यह त्रुटि नेटवर्क के प्रदर्शन को प्रभावित नहीं कर रही है, क्योंकि आपने उपयोगकर्ता की शिकायतों के कारण आपके द्वारा लॉग किए गए संदेशों को खोजा था, बजाय आपके इससे मुझे संदेह होता है कि समस्या कुछ जुड़ी हुई है, लेकिन आंशिक रूप से कॉन्फ़िगर या गलत सॉफ़्टवेयर या सेवा है जो वर्तमान में उपयोग में नहीं है।

आपका सबसे अच्छा कोर्स इस सोते हुए कुत्ते को झूठ बोलने के लिए हो सकता है, जब तक कि कुछ उपयोगकर्ता किसी समस्या की रिपोर्ट नहीं करते। वैकल्पिक रूप से, यदि आपके पास अतिरिक्त समय है, तो आप SPD सत्र चला सकते हैं जैसा कि @Daniel Dib ने सुझाव दिया है, और जब तक आप एक संदिग्ध पोर्ट या डिवाइस का निर्धारण नहीं करते हैं, तब तक आउटपुट को करीब से देखें।