Newsgroup: it.comp.reti.cisco
Titolo: filtrare multicast ethernet su switch cisco 2960

Salve,
Il problema: filtrare frame ethernet multicast emessi da due dispositivi 
(sono pacchetti di heartbeat di cluster) in modo che non siano propagati 
alle altre porte dello switch.
Lo switch in questione è un 2960 configurato con 3 VLAN. Su una di queste 
sono attestati i due device che inviano i frame multicast e un uplink  verso 
un altro switch. L'obiettivo è confinare i frame multicast sulle due porte a 
cui sono attestati i due device e filtrare *solo* questo traffico nell'altra 
porta della VLAN.
Ho provato con le standard access-list IP e MAC ma sembra che i frame 
multicast attraversino le access-list senza essere toccati. In particolare 
l'indirizzo destinazione dei frame multicast è : 1100.00c1.4a02 , le porte 
interessate sono le FastEthernet0/13 FastEthernet0/14 FastEthernet0/17.
Le access-list a livello di IP non funzionano anche se il pacchetto IP nel 
frame multicast ha un indirizzo sorgente e un indirizzo destinazione uguale 
all'indirizzo di broadcast della sottorete 192.168.200.255.
Sicuramente c'è qualcosa che non ho capito/mi sfugge nella configurazione 
del 2960, mi sembra impossibile che non possano essere filtrati i frame 
ethernet multicast fra porte appartenenti alla stessa VLAN.
Grazie per eventuali consigli/aiuti
Andrea
=== configurazione attuale =======
Building configuration...
Current configuration : 2650 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname Switch
!
enable secret 5 xxxxxxxxxxxxxxxxxxxxxxxxxxx
!
no aaa new-model
ip subnet-zero
!
!
!
!
no file verify auto
!
mac access-list extended NoCHB
 deny   any host 1100.00c1.4a02
spanning-tree mode pvst
spanning-tree extend system-id
!
vlan internal allocation policy ascending
!
interface FastEthernet0/1
 switchport access vlan 30
 switchport mode access
!
interface FastEthernet0/2
 switchport access vlan 30
 switchport mode access
!
interface FastEthernet0/3
 switchport access vlan 30
 switchport mode access
!
interface FastEthernet0/4
 switchport access vlan 30
 switchport mode access
!
interface FastEthernet0/5
 switchport access vlan 30
 switchport mode access
!
interface FastEthernet0/6
 switchport access vlan 30
 switchport mode access
!
interface FastEthernet0/7
 switchport access vlan 20
 switchport mode access
!
interface FastEthernet0/8
 switchport access vlan 20
 switchport mode access
!
interface FastEthernet0/9
 switchport access vlan 20
 switchport mode access
!
interface FastEthernet0/10
 switchport access vlan 20
 switchport mode access
!
interface FastEthernet0/11
 switchport access vlan 20
 switchport mode access
!
interface FastEthernet0/12
 switchport access vlan 20
 switchport mode access
!
interface FastEthernet0/13
 switchport access vlan 10
 switchport mode access
 mac access-group NoCHB in
!
interface FastEthernet0/14
 switchport access vlan 10
 switchport mode access
 mac access-group NoCHB in
!
interface FastEthernet0/15
 switchport access vlan 10
 switchport mode access
!
interface FastEthernet0/16
 switchport access vlan 10
 switchport mode access
!
interface FastEthernet0/17
 switchport access vlan 10
 switchport mode access
 ip access-group 106 in
 mac access-group NoCHB in
!
interface FastEthernet0/18
 switchport access vlan 10
 switchport mode access
!
interface FastEthernet0/19
!
interface FastEthernet0/20
!
interface FastEthernet0/21
!
interface FastEthernet0/22
!
interface FastEthernet0/23
!
interface FastEthernet0/24
!
interface GigabitEthernet0/1
!
interface GigabitEthernet0/2
!
interface Vlan1
 ip address 192.168.200.251 255.255.255.0
 no ip route-cache
!
ip default-gateway 192.168.200.254
ip http server
access-list 106 deny   ip any any
!
control-plane
!
!
line con 0
line vty 0 4
 password xxxxxxxxx
 login
line vty 5 15
 password xxxxxxxxx
 login
!
end

 
Ciao
il multicast e' ha un livello piu' basso dell'ip, sarebbe un livello 2 
in realtà.
Per questo motivo un indirizzo Multicast ha anche un Mac Address che 
inizia per 01:00:5......
Inolte visto che il multicast e' a livello 2 ti si dovrebbe accendere 
una lampadina cioe' la propagazione dello stesso negli switch!
Se gli switch sono managed puoi filtrare da li attraverso l'IGMP snoop . 
Questo vuol dire che se gli switch sentono su una porta(dello switch o 
vlan) una query IGMP per un certo traffico multicast abilitano la porta 
in questione, diversamente se unmanaged il traffico multicast viene 
'deliverato' su tutte le porte.
Attenzione di query igmp c'e' ne sono 3: v1,v2,v3 vecchi ios e vecchi 
switch sentono solo v2, solitamente pero' sistemi operativi tipo xp 
lavorano in igmp v3 questo vuol dire che gli switch ignorano le query v3 
(e non funziona) , pero' l'RFC di suddetto protocollo implementa anche 
una conversione se e' solo se trova una multicast daemon routing (tipo 
mrouted per linux, per i cisco c'e' una guida) che fa' l'apposita 
conversione, in questo caso le join vengono convertite in V2.
Spero di averti schiarito le idee.
Ciao
pep