教案——二层交换机端口与MAC地址的绑定

PC2
192.168.1.2
255.255.255.0
PC1连接F0/1端口，并且在F0/1上将PC1的MAC地址绑定，PC1能PING通交换机。PC2连接F0/2端口，并且在F0/2上将PC2的MAC地址绑定，PC2能PING通交换机。若将PC1更换到F0/2上，则不能PING通交换机。同理PC2更换到F0/1上，也不能PING通交换机。
!
interface FastEthernet0/2
switchport mode access
switchport port-security
switchport port-security mac-address 00D0.FFA4.BEB3
!
interface FastEthernet0/3
!
PC1
192.168.1.1
255.255.255.0
PC2
192.168.1.2
255.255.255.0
PC3
192.168.1.3
255.255.255.0
PC4
192.168.1.4
255.255.255.0
将PC1、PC2、PC3的MAC地址都绑定在F0/1端口上，并且分别将三台计算机连接在F0/1端口上都能PING通交换机，但更换为PC4后则不能PING通交换机。
功能:当超过设定MAC地址数量的最大值，或访问该端口的设备MAC地址不是这个MAC地址表中该端口的MAC地址，或同一个VLAN中一个MAC地址被配置在几个端口上时，就会引发违反MAC地址安全。
命令模式：端口配置模式
参数：protect（保护模式）：丢弃数据包，不发警告。
restrict（限制模式）：丢弃数据包，发警告，发出SNMP trap，同时被记录在syslog日志里。
shutdown（关闭模式）：这是交换机默认模式，在这种情况下端口立即变为err-disable状态，并且关掉端口灯，发出SNMP trap，同时被记录在syslog日志里，除非管理员手工激活，否则该端口失效。
查看配置：
Switch#show port-security address
命令：show port-security address [interface<interface-id>]
功能：显示端口安全MAC地址。
命令模式：特权配置模式
参数：<interface-id>指定的显示端口。
使用指南：本命令显示端口安全MAC地址信息，如果不指定端口则显示所有端口安全MAC地址。显
Secure Mac Address Table
-----------------------------------------------------------------
Ping statistics for 192.168.1.11:
Packets: Sent = 4, Received = 1, Lost = 3 (75% loss),
Approximate round trip times in milli-seconds:
Minimum = 32ms, Maximum = 32ms, Average = 32ms
Minimum = 31ms, Maximum = 31ms, Average = 31ms
第六步：将PC2的MAC地址绑定在F0/2端口上
配置命令与F0/1端口绑定PC1的MAC地址相同
PC1连接在F0/2上，使能F0/2端口
Switch(config)#int f0/2
Switch(config-if)#shutdown
我们通常说的MAC地址与交换机端口绑定其实就是交换机端口安全功能。端口安全功能能让您配置一个端口只允许一台或者几台确定的设备访问那个交换机；能根据MAC地址确定允许访问的设备；允许访问的设备的MAC地址既可以手工配置，也可以从交换机“学到”；当一个未批准的MAC地址试图访问端口的时候，交换机会挂起或者禁用该端口等等。
验证配置：PC1连接在F0/1上，使能F0/1端口
Switch(config)#int f0/1
Switch(config-if)#shutdown
Switch(config-if)#no shutdown
PC1与交换机的PING命令测试结果
PC>ping 192.168.1.11
Pinging 192.168.1.11 with 32 bytes of data:
…………
interface FastEthernet0/24
!
interface Vlan1
ip address 192.168.1.11 255.255.255.0
!
End
1.6实验验证
PC
连接的端口
PING
结果
原因
PC1
F0/1
192.168.1.11
PC1
F0/2
192.168.1.11
PC2
1.5完整的配置文档
Switch#sho run
Building configuration...
…………
!
interface FastEthernet0/1
switchport mode access
switchport port-security
switchport port-security mac-address 00E0.A323.5CE1
希望通过一定的方法，固定每台计算机连接的交换机端口，方便网管员日常的维护与更新。
新课教学
通过端口绑定特性，网络管理员可以将用户的MAC地址和IP地址绑定到指定的端口上。进行绑定操作后，交换机只对从该端口收到的指定MAC地址和IP地址的用户发出的报文进行转发，提高了系统的安全性，增强了对网络安全的监控。
【实验一】二层交换机端口静态绑定MAC地址
1.1实验设备
1、2950-24交换机1台
2、PC机2台
3、交叉线1根
4、直通网线2根
1.2组网图
1.3实验设备IP地址及要求
设备名
IP地址
子网掩码
VLAN 1
192.168.1.11
255.255.255.0
PC1
192.168.1.1
255.255.255.0
1.4配置过程和解释
PC机上的IP地址请自行设置完成。
第一步：得到PC1主机的mac地址
PC>ipconfig /all
Physical Address................: 00E0.A323.5CE1
IP Address......................: 192.168.1.1
引入新课
在日常工作中，经常会发生用户随意插拔交换机上的网线，给网管员在网络管理上带来一定的不便。同时也会出现在一个交换机端口下连接另一个Hub或交换机，导致网络线路的拥堵。
当网络中某机器由于中毒进而引发大量的广播数据包在网络中洪泛时，网络管理员的唯一想法就是尽快地找到根源主机并把它从网络中暂时隔离开。当网络的布置很随意时，任何用户只要插上网线，在任何位置都能够上网，这虽然使正常情况下的大多数用户很满意，但一旦发生网络故障，网管人员却很难快速准确定位根源主机。
Subnet Mask.....................: 255.255.255.0
Default Gateway.................:0.0.0.0
DNS Servers.....................:0.0.0.0
我们得到了PC1主机的mac地址为：00E0.A323.5CE1
第五步：配置违反MAC安全采取的措施
Switch(config-if)#switchport port-security violation restrict
命令：switchport port-security violation {protect | restrict | shutdown }
no switchport port-security violation
Switch(config-if)#
第四步：添加端口静态安全MAC地址，缺省端口最大安全MAC地址数为1Switch(config-if)#switchport port-security mac-address00E0.A323.5CE1
命令：switchport port-security mac-address <mac-address>
Reply from 192.168.1.11: bytes=32 time=31ms TTL=255
Reply from 192.168.1.11: bytes=32 time=31ms TTL=255
Reply from 192.168.1.11: bytes=32 time=31ms TTL=255
第二步：配置交换机的IP地址
Switch(config)#int vlan 1
Switch(config-if)#ip add 192.168.1.11 255.255.255.0
Switch(config-if)#no shutdown
Switch(config-if)#exit
第三步：使能F0/1端口的MAC地址绑定功能
F0/1
192.168.1.11
PC2
F0/2
192.168.1.11
【实验二】在一个端口上静态绑定多个MAC地址
2.1实验设备
1、2950-24交换机1台
2、PC机4台
3、交叉线1根
4、直通网线4根
2.2组网图
2.3实验设备IP地址及要求
设备名
IP地址
子网掩码
VLAN 1