编 号： 106-20240930

飘落的秋叶

数据中心IP封堵方法

目录

1、 概述

2、 拓扑

3、 配置

4、 验证

1、概述

本文通过示例来演示数据中心IP封堵方法

场景：

DC内部存在大量客户使用，但由于一些特殊原因，需要封堵某个IP，要求在SW3靠近客户的设备上进行操作，比如封堵114.80.2.2/32，且不能影响其它客户业务

解决：采用5种方案解决（在SW3上操作）

方案1：绑定假ARP信息

方案2：mac黑洞

方案3：采用/32主机路由黑洞

方案4：采用traffic-policy流量控制

方案5：绑定traffic-filter流量过滤

2、拓扑

3、配置

---------R1关键配置---------

<R1>

sysname R1

#

interface Ethernet0/0/0

ip address 1.1.1.254 255.255.255.0

#

interface GigabitEthernet0/0/0

ip address 12.1.1.1 255.255.255.252

#

bgp 4134

peer 12.1.1.2 as-number 888

#

ipv4-family unicast

undo synchronization

network 1.1.1.0 255.255.255.0

peer 12.1.1.2 enable

---------R2关键配置---------

<R2>

#

sysname R2

#

interface GigabitEthernet0/0/0

ip address 12.1.1.2 255.255.255.252

#

interface GigabitEthernet0/0/1

ip address 23.1.1.1 255.255.255.252

#

bgp 888

peer 12.1.1.1 as-number 4134

#

ipv4-family unicast

undo synchronization

import-route ospf 1

peer 12.1.1.1 enable

#

ospf 1 router-id 2.2.2.2

default-route-advertise always

area 0.0.0.0

network 23.1.1.1 0.0.0.0

---------R3关键配置---------

[SW3]

#

sysname SW3

#

vlan batch 23 88

#

acl name Deny_IP 3999

rule 5 deny ip destination 114.80.2.2 0

#

traffic classifier Deny_IP operator and

if-match acl Deny_IP

#

traffic behavior Deny_IP

deny

#

traffic policy Deny_IP

classifier Deny_IP behavior Deny_IP

#

interface Vlanif23

ip address 23.1.1.2 255.255.255.252

#

interface Vlanif88

ip address 114.80.2.1 255.255.255.0

#

interface MEth0/0/1

#

interface GigabitEthernet0/0/1

port link-type access

port default vlan 23

traffic-filter inbound acl name Deny_IP 方案5：绑定traffic-filter流量过滤

traffic-policy Deny_IP inbound 方案4：采用traffic-policy流量控制

#

interface GigabitEthernet0/0/23

port link-type access

port default vlan 88

#

interface GigabitEthernet0/0/24

port link-type access

port default vlan 88

#

ospf 1 router-id 3.3.3.3

area 0.0.0.0

network 114.80.2.0 0.0.0.255

network 23.1.1.2 0.0.0.0

mac-address blackhole 5489-9859-27f1 vlan 88 方案2：mac黑洞

ip route-static 114.80.2.2 32 NULL 0 方案3：采用/32主机路由黑洞

arp static 114.80.2.2 4444-4444-4444 方案1：绑定假ARP信息

4、验证:

以上5种策略任何一种策略实施都能达到预期结果：