MAB Linux bridge: locked FDB entry ещё не означает допуск устройства
Увеличить схему
Фотография конкретного исполнения не приложена.
Linux bridge может ограничить трафик порта до появления подходящей FDB-записи. MAB добавляет обнаружение неизвестного source MAC для решения во внешнем управляющем компоненте. Это не автоматическая полноценная аутентификация каждого нового участника.
Документация описывает создание locked FDB entry и уведомление userspace. Разрешающий компонент может заменить её нормальной записью для согласованного MAC. Если такого обработчика нет или он не принял решение, один флаг MAB не завершает весь процесс допуска.
Для режима требуются LOCKED и LEARNING с соответствующей семантикой. Источник отдельно указывает NO_LL_LEARN для защищённого 802.1X-сценария, чтобы EAPOL-трафик не заполнял FDB непредусмотренным способом. Обычное learning и разрешение учиться по link-local сообщениям являются разными границами.
В приёмке проверяют неизвестный, разрешённый и отозванный MAC, работу userspace и старение записи. Контролируют запрещённую передачу до решения. MAB по MAC не следует выдавать за криптографическое доказательство идентичности. Отчёт должен показывать весь путь от обнаружения до допуска и поведение при отказе управляющей службы.
Основание — Official versioned Linux network documentation displaying6.18.0, networking/bonding, scaling and bridge, разделы IFLA_BRPORT_LOCKED; IFLA_BRPORT_MAB; BR_BOOLOPT_NO_LL_LEARN. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — официальная версия документации Linux с заголовком 6.18.0. Это фиксированная редакция, а не утверждение об установленном или последнем ядре. Реальные NIC, драйвер, switch и параметры хоста не проверялись; настройки и сетевые испытания не выполнялись.
Запросы отправляются на наш e-mail из вашей почтовой программы.
