Хорошо

Как фильтровать PVST+ BPDUs Популярное

Последний ответ авг 10, 2021 22:04:53 1142 6 13 0 0

Описание проблемы

Коммутатор S5700 подключен к Cisco коммутатору, который использует PVST+ протокол для разбивки L2 петель. Интерфейс, который смотрит в сторону Cisco коммутатора – Gi0/0/6. Вот конфигурация:

interface GigabitEthernet0/0/6
 undo negotiation auto
 speed 100
 description PtP Zuiderzeeland #4
 port link-type dot1q-tunnel
 port default vlan 1915
 mac-limit maximum 100
 loopback-detect recovery-time 60
 loopback-detect enable
 loopback-detect action block
 stp bpdu-filter enable
 stp edged-port enable

 undo ndp enable
 storm-control broadcast min-rate 1488 max-rate 1488
 storm-control multicast min-rate 1488 max-rate 1488
 storm-control action error-down
 storm-control enable trap
 storm-control enable log


Клиент сконфигурировал STP BPDU FILTER и EDGE PORT на этом интерфейсе, в надежде блокировать PVST+ BPDU. Но это не сработало. Давайте разберем почему...


Начиная с версии прошивки V200R003 S5700 будет форвардить BPDU PVST+ по умолчанию через ASIC. Что делает STP BPDU FILTER и EDGE PORT? В соответствии с документацией, можно сказать, что после того, как порт будет сконфигурирован в виде EDGE PORT и BPDU FILTER, этот порт не будет посылать и принимать никакие BPDU и не сможет сообщаться в STP режимах с непосредственно подключенным устройством.

Так что же здесь не так?

STP EDGE PORT и BPDU FILTER команды работают только с MSTP, STP или RSTP BPDUs. PVST+ это Cisco проприетарный протокол и он работает по-другому. Наш коммутатор воспринимал PVST+ как обычный L2 фрейм.

Как исправить это?


Решение

Чтобы фильтровать PVST+ BPDUs, которые поступают на интерфейс коммутатору, рекомендую использовать следующий traffic policy:

#                                                                              
acl number 4000                                                                
 rule 10 permit destination-mac 0100-0ccc-cccd              \\\ мачить PVST+ BPDUs                   
#                                                                              
traffic classifier c1 type or                                                                                                                
 if-match acl 4000                                                             
#                                                                              
traffic behavior b1                                                            
 statistics enable                                                             
 deny             \\\\\ чтобы фильтровать BPDUs делаем
Deny.                                                        
#                                                                              
traffic policy p1                                                              
 classifier c1 behavior b1 precedence 5

                                        

В конце применяем полисер глобально.


[S5700]traffic-policy p1 global inbound

 


  • x

Vasyo
Админ Опубликовано 2021-8-9 10:01:17
Спасибо! Включим в будущую коллекцию Huawei & Cisco)
Развернуть
  • x

BDG
Опубликовано 2021-8-10 00:23:31

Странное у вас решение. Вы не задумывались почему производитель отправляет трафик по умолчанию через ASIC на коммутаторах? Может потому что не стоит его гнать через немощный проц. Асики должны молотить

А если почитать со стороны Циски, там где конец уходит к другому вендору, рекомендуется использовать стандартизованые протоколы


А зачем вам EDGE PORT в сторону коммутатора? После профильного вебинара мне так и не ответили умеют ли коммуты Huawei портфасты на транках. А у вас вообще аксесс порт


И зачем фильтровать BPDU? Это штатный механизм, почитайте, там не только про петли


Тут запись вебинара про MSTP https://events.webinar.ru/huaweirussia/8384455/record-new/8558227/a29175d7062ad0fe1ea827382d3dc724


https://forum.huawei.com/enterprise/ru/вебинар-неизвестный-mstp/thread/754173-100347

и комментарии можно глянуть, но вопросов больше чем ответов

Развернуть
  • x

A_Litvin
A_Litvin Опубликовано 2021-8-10 22:00 (0) (0)
2. Cisco находилась не в зоне нашей ответственности. Это железка клиента. Клиенты имеют право ставить любое оборудование какое пожелают на своей стороне и мы ничего не можем с этим сделать  
A_Litvin
A_Litvin Опубликовано 2021-8-10 22:00 (0) (0)
Edge port в сторону коммутатора для того, чтобы порт сразу переходил в форвардинг стэйт, а фильтр нужно для того, чтобы не принимать каждые две секунды BPDU-шки и конфигурационные BPDU-шки  
A_Litvin
A_Litvin Опубликовано 2021-8-10 22:01 (0) (0)
Иными словами, для того, чтобы не нагружать канал лишними фрэймами  
A_Litvin
Author Опубликовано 2021-8-10 22:04:53
Опубликовано пользователем BDG в 2021-08-10 00:23 Странное у вас решение. Вы не задумывались почему прои ...

1


Конфигурация, как видно, позволяет применять edge-port на транке

Развернуть
  • x

Комментарий

Выполните вход в систему, чтобы ответить на пост. Вход | Регистрация
Отправить

Внимание! В целях защиты правовых интересов Вас, сообщества и третьих лиц, не публикуйте любой материал, содержащий политические высказывания, порнографию, упоминание азартных игр, употребление наркотиков, а также материал, нарушающий коммерческую тайну или содержащий персональные данные пользователей. Также не предоставляйте данные от вашей учетной записи. Вы будете нести ответственность за все действия, выполняемые под вашим аккаунтом. Подробная информация: “Пользовательское соглашение.”

My Followers

Авторизуйтесь и пользуйтесь всеми преимуществами участника!

Вход

Заблокировать
Вы уверены, что хотите заблокировать этого пользователя?
Пользователи из вашего черного списка не могут комментировать ваши посты, не могут упоминать вас, не могут отправлять личные сообщения.
Напоминание
Пожалуйста, привяжите свой мобильный номер чтобы получить бонус за приглашение.
О защите информации
Благодарим за использование Huawei ICT Club! Мы хотим рассказать вам о том, как мы собираем, используем и храним ваши данные. Пожалуйста, внимательно ознакомьтесь с Политикой конфиденциальности и Пользовательским соглашением.