交換機之間跨三層，通過SNMPV3協議是否可以跨三層學習mac地址

您好，參考

1.9  跨三層MAC學習典型配置舉例

1.9.1  跨三層MAC學習基礎配置舉例

1. 組網需求

·     某公司內網主機經過三層網關設備與Device連接，並通過Device與外網相連。

·     公司內網主機的IP地址動態分配，公司僅允許Host A（MAC：00e0-0000-0001）和Host B（MAC：00e0-0000-0002）訪問外網，其餘主機不允許訪問外網。

2. 組網圖

圖1-2 跨三層MAC學習基礎配置組網圖

‌

3. 配置Gateway

(1)     配置接口IP地址、路由從而保證網絡路由可達，具體配置步驟略。

(2)     在Gateway上配置SNMP Agent支持SNMPv2本、隻讀團體名為public，以明文方式配置團體名並以密文方式保存到配置文件中。

<Gateway> system-view

[Gateway] snmp-agent sys-info version v2c

[Gateway] snmp-agent community read simple public

4. 配置Device

(1)     配置接口IP地址

# 根據組網圖中規劃的信息，配置各接口的IP地址，具體配置步驟如下。

<Device> system-view

[Device] interface gigabitethernet 1/0/1

[Device-GigabitEthernet1/0/1] ip address 2.2.2.2 255.255.255.0

[Device-GigabitEthernet1/0/1] quit

請參考以上步驟配置其他接口的IP地址，具體配置步驟略。

(2)     配置靜態路由

本舉例僅以靜態路由方式配置路由信息。實際組網中，請根據具體情況選擇相應的路由配置方式。

# 請根據組網圖中規劃的信息，配置靜態路由，本舉例假設到Internet下一跳IP地址為3.3.3.1，實際使用中請以具體組網情況為準，具體配置步驟如下。

[Device] ip route-static 1.1.1.0 24 2.2.2.1

[Device] ip route-static 0.0.0.0 0 3.3.3.1

(3)     配置接口加入安全域

# 請根據組網圖中規劃的信息，將接口加入對應的安全域，具體配置步驟如下。

[Device] security-zone name trust

[Device-security-zone-Trust] import interface gigabitethernet 1/0/1

[Device-security-zone-Trust] quit

[Device] security-zone name untrust

[Device-security-zone-Untrust] import interface gigabitethernet 1/0/2

[Device-security-zone-Untrust] quit

(4)     配置安全策略

# 配置名稱為rule1的安全策略規則，僅允許Device訪問Gateway，以便Device可以學習Gateway上的ARP表項，具體配置步驟如下。

[Device] security-policy ip

[Device-security-policy-ip] rule name rule1

[Device-security-policy-ip-0-rule1] source-zone local

[Device-security-policy-ip-0-rule1] destination-zone trust

[Device-security-policy-ip-0-rule1] source-ip-host 2.2.2.2

[Device-security-policy-ip-0-rule1] destination-ip-host 2.2.2.1

[Device-security-policy-ip-0-rule1] action pass

[Device-security-policy-ip-0-rule1] quit

# 配置名稱為rule2的安全策略規則，僅允許內網中的Host A和Host B訪問外網，具體配置步驟如下。

[Device-security-policy-ip] rule name rule2

[Device-security-policy-ip-1-rule2] source-zone trust

[Device-security-policy-ip-1-rule2] destination-zone untrust

[Device-security-policy-ip-1-rule2] source-mac groupmac

[Device-security-policy-ip-1-rule2] action pass

[Device-security-policy-ip-1-rule2] quit

# 激活安全策略規則的加速功能，具體配置步驟如下。

[Device-security-policy-ip] accelerate enhanced enable

[Device-security-policy-ip] quit

(5)     配置跨三層MAC學習相關功能

# 開啟通過SNMP協議同步ARP表項功能，配置Device從目標三層網絡設備獲取ARP表項，具體配置步驟如下。

[Device] snmp-server arp-sync enable

[Device] snmp-server arp-sync target-host address 2.2.2.1 community simple public v2c

[Device] snmp-server arp-sync interval 10 timeout 4

(6)     創建MAC地址對象組，將允許通過的主機的MAC地址加入此對象組

# 創建名稱為groupmac的MAC地址對象組,創建MAC地址對象00e0-0000-0001和00e0-0000-0002，具體配置步驟如下。

[Device] object-group mac-address groupmac

[Device-obj-grp-mac-groupmac] mac 00e0-0000-0001

[Device-obj-grp-mac-groupmac] mac 00e0-0000-0002

[Device-obj-grp-mac-groupmac] quit

5. 驗證配置

(1)     配置完成後，Device通過跨三層MAC學習功能獲取到的ARP表項如下所示。

# 顯示通過SNMP協議同步的ARP表項。

[Device] display snmp-server arp-sync table

IP Address       MAC Address        Aging(M)

1.1.1.1          00e0-0000-0001     1

1.1.1.2          00e0-0000-0002     1

1.1.1.3          00e0-0000-0003     1

Total:3

(2)     配置完成後，內網中的Host A和Host B可以訪問外網，Host C不能訪問外網。