CISCO路由器上根據MAC位址過濾流量

<b>當針對一個MAC位址進行過濾的時候，這一動作發生在第二層。而路由器一般執行的是第三層路由的任務，隻有很少情況下做橋接的時候才對進入的MAC位址進行過濾，是以這樣的過濾最好設定在二層交換裝置上。 　　如何在路由器上設定過濾掉某個特定mac位址的流量?</b>

　　當針對一個MAC位址進行過濾的時候，這一動作發生在第二層。而路由器一般執行的是第三層路由的任務，隻有很少情況下做橋接的時候才對進入的MAC位址進行過濾，是以這樣的過濾最好設定在二層交換裝置上。

　　但這個要求對路由器來說也不是不可能的任務，使用以下配置達到要求的效果：

　　ip cef//Rate-limit 需要cef的支援，路由器可能預設未啟用cef

　　interface Ethernet0/0

　　ip address 192.168.1.254 255.255.255.0

　　rate-limit input access-group rate-limit 100 8000 1500 2000 conform-action drop　exceed-action drop

　　//如果源MAC位址為指定值則丢棄(其他的都允許)

　　access-list rate-limit 100 0001.0001.abcd//要限制的MAC位址

　　這時候要注意，目标工作站到達該路由器之前不能經過其他三層裝置，否則MAC位址會被改掉。

　　如果路由器是Cisco 1720, 不支援CEF,怎麼辦?

　　Cisco 1720路由器能夠支援CEF, 但要求是12.0(3)T以上IP PLUS版本的軟體，12.2(11)YV 起标準IP版軟體也可以支援CEF。如果路由器目前IOS軟體版本不夠，需要更新。

　　也可以使用橋接(IRB)的方法來解決，這種方法隻需要12.0(2)T 以上标準IP版軟體即可。配置如下：

　　bridge irb//啟用IRB支援

　　no ip address//路由做到邏輯端口BVI 1上

　　bridge-group 1//加入橋接組1

　　interface BVI1

　　ip address 192.168.1.254 255.255.255.0//為橋接組1提供路由

　　bridge 1 protocol ieee//運作生成樹協定防止環路