端口安全
华三交换机端口安全操作
1-1
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
第 1 章 端口安全配置
1.1.3 端口安全模式
对于端口安全模式的具体描述，请参见 表 1-1。
i
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
第 1 章 端口安全配置
ቤተ መጻሕፍቲ ባይዱ
第1章 端口安全配置
1.1 端口安全简介
1.1.1 概述
端口安全是一种基于 MAC 地址对网络接入进行控制的安全机制，是对已有的 802.1x 认证和 MAC 地址认证的扩充。这种机制通过检测数据帧中的源 MAC 地址来控制非 授权设备对网络的访问，通过检测数据帧中的目的 MAC 地址来控制对非授权设备 的访问。 端口安全的主要功能是通过定义各种端口安全模式，让设备学习到合法的源 MAC 地址，以达到相应的网络管理效果。启动了端口安全功能之后，当发现非法报文时， 系统将触发相应特性，并按照预先指定的方式进行处理，既方便用户的管理又提高 了系统的安全性。 非法报文包括： z 禁止 MAC 地址学习时，收到的源 MAC 地址为未知 MAC 的报文； z 端口学习到的 MAC 地址达到端口所允许的最大 MAC 地址数后，收到的源
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
目录
目录
第 1 章 端口安全配置 ..............................................................................................................1-1 1.1 端口安全简介 ..................................................................................................................... 1-1 1.1.1 概述 ......................................................................................................................... 1-1 1.1.2 端口安全的特性 ....................................................................................................... 1-1 1.1.3 端口安全模式........................................................................................................... 1-2 1.2 端口安全配置任务简介....................................................................................................... 1-4 1.3 使能端口安全功能 .............................................................................................................. 1-4 1.3.1 配置准备 .................................................................................................................. 1-4 1.3.2 使能端口安全功能.................................................................................................... 1-4 1.4 配置端口允许的最大安全MAC地址数 ................................................................................ 1-5 1.5 配置端口安全模式 .............................................................................................................. 1-6 1.5.1 配置autoLearn模式.................................................................................................. 1-6 1.5.2 配置userLoginWithOUI模式 .................................................................................... 1-7 1.5.3 配置其它模式........................................................................................................... 1-7 1.6 配置端口安全的特性 .......................................................................................................... 1-8 1.6.1 配置NeedToKnow特性 ............................................................................................ 1-8 1.6.2 配置入侵检测特性.................................................................................................... 1-8 1.6.3 配置Trap特性........................................................................................................... 1-9 1.7 配置安全MAC地址 ............................................................................................................. 1-9 1.7.1 配置准备 .................................................................................................................. 1-9 1.7.2 配置安全MAC地址................................................................................................. 1-10 1.8 配置当前端口不应用服务器下发的授权信息 .................................................................... 1-10 1.9 端口安全显示和维护 ........................................................................................................ 1-10 1.10 端口安全典型配置举例................................................................................................... 1-11 1.10.1 端口安全autoLearn模式配置举例 ........................................................................ 1-11 1.10.2 端口安全userLoginWithOUI模式配置举例........................................................... 1-13 1.10.3 端口安全macAddressElseUserLoginSecure模式配置举例 ................................. 1-18 1.11 常见配置错误举例 .......................................................................................................... 1-21 1.11.1 端口安全模式无法设置 ........................................................................................ 1-21 1.11.2 无法配置端口安全MAC地址 ................................................................................ 1-21 1.11.3 用户在线情况下无法更换端口安全模式............................................................... 1-22
交换机端口安全portsecurity超级详解
交换机端口安全Port-Security超级详解交换安全交换机端口安全Port-Security超级详解一、Port-Security概述在部署园区网的时候,对于交换机,我们往往有如下几种特殊的需求：限制交换机每个端口下接入主机的数量MAC地址数量限定交换机端口下所连接的主机根据IP或MAC地址进行过滤当出现违例时间的时候能够检测到,并可采取惩罚措施上述需求,可通过交换机的Port-Security功能来实现：二、理解Port-Security安全地址：secure MAC address在接口上激活Port-Security后,该接口就具有了一定的安全功能,例如能够限制接口所连接的的最大MAC数量,从而限制接入的主机用户；或者限定接口所连接的特定MAC,从而实现接入用户的限制;那么要执行过滤或者限制动作,就需要有依据,这个依据就是安全地址– secure MAC address;安全地址表项可以通过让使用端口动态学习到的MACSecureDynamic,或者是手工在接口下进行配置SecureConfigured,以及sticy MAC addressSecureSticky 三种方式进行配置;当我们将接口允许的MAC地址数量设置为1并且为接口设置一个安全地址,那么这个接口将只为该MAC所属的PC服务,也就是源为该MAC的数据帧能够进入该接口;2.当以下情况发生时,激活惩罚violation：当一个激活了Port-Security的接口上,MAC地址数量已经达到了配置的最大安全地址数量,并且又收到了一个新的数据帧,而这个数据帧的源MAC并不在这些安全地址中,那么启动惩罚措施当在一个Port-Security接口上配置了某个安全地址,而这个安全地址的MAC又企图在同VLAN的另一个Port-Security接口上接入时,启动惩罚措施当设置了Port-Security接口的最大允许MAC的数量后,接口关联的安全地址表项可以通过如下方式获取：在接口下使用switchport port-security mac-address 来配置静态安全地址表项使用接口动态学习到的MAC来构成安全地址表项一部分静态配置,一部分动态学习当接口出现up/down,则所有动态学习的MAC安全地址表项将清空;而静态配置的安全地址表项依然保留;与Sticky MAC地址上面我们说了,通过接口动态学习的MAC地址构成的安全地址表项,在接口出现up/down后,将会丢失这些通过动态学习到的MAC构成的安全地址表项,但是所有的接口都用switchport port-security mac-address手工来配置,工作量又太大;因此这个sticky mac 地址,可以让我们将这些动态学习到的MAC变成“粘滞状态”,可以简单的理解为,我先动态的学,学到之后我再将你粘起来,形成一条”静态“ 实际上是SecureSticky的表项;在up/down现象出现后仍能保存;而在使用wr后,这些sticky安全地址将被写入start-up config,即使设备重启也不会被丢失;三、默认的Port-Security配置Port-Security 默认关闭默认最大允许的安全MAC地址数量 1惩罚模式 shutdown进入err-disable状态,同时发送一个SNMP trap四、Port-Security的部署注意事项配置步骤a 在接口上激活Port-SecurityPort-Security开启后,相关参数都有默认配置,需关注b 配置每个接口的安全地址Secure MAC Address可通过交换机动态学习、手工配置、以及stciky等方式创建安全地址c 配置Port-Security惩罚机制默认为shutdown,可选的还有protect、restrictd 可选配置安全地址老化时间2.关于被惩罚后进入err-disable的恢复：如果一个psec端口由于被惩罚进入了err-disable,可以使用如下方法来恢复接口的状态：使用全局配置命令：err-disable recovery psecure-violation手工将特定的端口shutdown再noshutdown3.清除接口上动态学习到的安全地址表项使用clear port-security dynamic命令,将清除所有port-security接口上通过动态学习到的安全地址表项使用clear port-security sticky 命令,将清除所有sticky安全地址表项使用clear port-security configured命令,将清除所有手工配置的安全地址表项使用clear port-security all命令,将清除所有安全地址表项使用show port-security address来查看每个port-security接口下的安全地址表项4.关于sticky安全地址Sticky安全地址,是允许我们将Port-Security接口通过动态学习到的MAC地址变成“粘滞”的安全地址,从而不会由于接口的up/down丢失;然而如果我们希望在设备重启之后,这个sticky的安全地址表项仍然存在,那么就需要wr一下;将配置写入start-up config 文件;Sticky安全地址也是一个简化我们管理员操作的一个很好的工具,毕竟现在不用再一条条的手工去绑了;支持private vlan支持 tunnel接口不支持SPAN的目的接口不支持etherchannel的port-channel接口9.在CISCO IOS 33SXH 以及后续的版本,我们可以将port-security及部署在同一个接口上;而在此之前的软件版本：如果你试图在一个port-security接口上激活则会报错,并且功能无法开启如果你试图在一个接口上激活port-security则也会报错,并且port-security特性无法开启支持nonegotiating trunk 接口Port-Security 支持在如下配置的trunk上激活switchportswitchport trunk encapsulationswitchport mode truknswitchport nonegotiateIf you reconfigure a secure access port as a trunk, port security converts all the sticky and static secure addresses on that port that were dynamicallylearned in the access VLAN to sticky or static secure addresses on the native VLAN of the trunk. Port security removes all secure addresses on the voice VLAN of the access port.If you reconfigure a secure trunk as an access port, port security converts all sticky and static addresses learned on the native VLAN to addresses learned on the access VLAN of the access port. Port security removes all addresses learned on VLANs other than the native VLAN.links和Port-Security互不兼容五、Port-security的配置1.激活Port-Security在access接口上Switchconfig interface fast0/1Switchconfig-if switchportSwitchconfig-if switchport mode accessSwitchconfig-if switchport access vlan 10Switchconfig-if switchport port-security接口的Port-Security特性一旦激活后,默认的最大安全地址个数为1,也就是说,在不进行手工配置安全地址的情况下,这个接口将使用其动态学习到的MAC作为安全地址,并且,这个接口相当于被该MAC所属的设备独占;而且默认的violation是shutdownSW1show port-security interface f0/1Port Security : EnabledPort Status : Secure-up 接口目前的状态是up的Violation Mode : Shutdown 违例后的惩罚措施,默认为shutdownAging Time : 0 minsAging Type : AbsoluteSecureStatic Address Aging : DisabledMaximum MAC Addresses : 1 最大安全地址个数,默认为1Total MAC Addresses : 0Configured MAC Addresses : 0 手工静态配置的安全MAC地址,这里没配Sticky MAC Addresses : 0 sticky的安全地址,这里没有Last Source Address:Vlan : 最近的一个安全地址+vlanSecurity Violation Count : 0 该接口历史上出现过的违例次数这个时候,如果另一台PC接入到这个端口上,那么该port-security接口将会收到一个新的、非安全地址表项中的MAC地址的数据帧,于是触发的违例动作,给接口将被err-disable掉;同时产生一个snmp trap消息,另外,接口下,Security Violation Count将会加12.激活Port-Security在trunk接口上3. Port-Security violation惩罚措施默认的violation是shutdown;如果是protect,那么惩罚就会温柔些,对于非法的数据帧例如数据帧的源MAC不在安全地址表项中的、且安全地址已经达到最大数,这些非法数据将仅仅被丢弃,合法数据照常转发,同时不会触发一个syslog消息,另外接口下的“Security Violation Count”也不会加1;而如果是restrict,那么非法数据被丢弃,同时触发一个syslog消息,再者,Security Violation Count加1,合法的数据照常转发;4. 配置Port Security Rate Limiter注意,在6509交换机,truncated switching模式下不支持该功能在交换机接口上开启Port-Security是会耗费资源的,Port-Security会检测每一个进入接口的数据帧,以判断流量是否合法,或者是否存在违例行为;当一个安全接口设置的violation为shutdown的时候,该接口在违例后触发惩罚机制,进入err-diasble状态,这样可以有效的方式有效的防止交换机由于处理违例事件导致交换机的CPU利用率过高;然而protect和restict的惩罚措施,则不会将端口关闭,端口依然可用,那么这就可能导致在违例事件发生的情况下交换机的CPU利用率飙高例如大量的非法数据涌入;因此当使用protect和restrict这两种违例惩罚措施事,可以通过Port-Secuirty rate limiter来防止CPU飙高;Switchconfig mls rate-limite layer2 port-security rate_in_pps burst_size关于rate_in_pps参数：范围是10- 1000000没有默认值值设置的越低,对CPU的保护程度就越高,这个值对惩罚措施发生前、后都生效,当然这个值也不能设置的过低,至少要保障合法流量被处理吧;一般低于1000就差不多;关于burst-size参数：范围是1-255默认是10,这个默认值一般就够用了;5. 配置Port-Security 最大允许的安全地址数量最大安全地址数量,不同的软件平台允许的上限值有所不同,但是默认都是1;在trunk口上,前面说了,也是可以激活port-security的,而在trunk口上配置最大安全地址数量,可以基于接口配置对所有VLAN生效,也可以基于VLAN进行配置;如下：switchport port-security maximum 1switchport port-security maximum 1 vlan 10,20,30 可以关联多个VLAN6. 在port-security接口上手工配置安全地址上述配置中,最大安全地址数设置为3,然后使用手工配置了一个安全地址,那么剩下2个,交换机可以通过动态学习的方式来构建安全地址;在trunk接口上手工配置安全地址,可关联vlan关键字;如果在trunk接口上手工配置安全地址,没有关联vlan关键字,那么该安全地址将被关联到trunk的native vlan上7. 在port-security接口上使用sticky MAC地址我们知道,构成安全地址表项的方式有好几种,其中一种是使用switchport port-security mac 来手工配置,但是这种方式耗时耗力,更需要去PC上抄MAC,工作成本比较高;而另一种构成安全地址的方式是让交换机使用动态学习到的MAC,然而这些安全地址在接口一旦up/down后,将丢失,更别说重启设备了;因此可以使用sticky mac的方式,这种方式激活后,交换机将动态学习到的MAC“粘起来”,具体的动作很简单,就是在动态学习到MAC例如一个后,如果我激活了sticiky MAC address,则在接口下自动产生一条命令：interface FastEthernet0/1switchport access vlan 10switchport mode accessswitchport port-securityswitchport port-security mac-address stickyswitchport port-security mac-address sticky 自动产生这样形成的安全地址表项是SecureSticky的,即使在接口翻动,也不会丢失;在者如果wr保存配置,命令写入,那么设备即使重启,安全地址也不会丢失;当在接口上激活了port-security mac-address sticky,那么：该接口上所有通过动态学习到的MAC,将被转成sticky mac address从而形成安全地址接口上的静态手工配置的安全地址不会被转成sticky mac address通过voice vlan动态学习到的安全地址不会被转成sticky mac address命令配置后,新学习到的MAC地址,也是sticky的当此时又敲入no port-secuirty mac-address sticiky ,则所有的sticky安全地址条目都变成动态的安全地址条目SecureDynamic8. 配置安全地址老化时间配置的命令比较简单：Switchconfig-if switchport port-security aging type {absolute | inactivity}配置老化时间的类型,如果选择absolute,也就是绝对时间,需要搭配aging time命令设定老化时间的具体值,命令一旦敲下去后,所有的通过动态学习的MAC构建的安全地址表项将开始以aging time倒计时;如果是inactivity关键字,则只在该动态安全地址表项不活跃的时候譬如主机离线了或者挂掉了才开始倒计时;Switchconfig-if switchport port-security aging time设定老化时间Switchconfig-if switchport port-security aging static使用前面两条命令,老化时间是不会影响那些使用静态手工配置的安全地址表项的,当然sticky表项也不会受影响,这些表项都是永不老化的,但是如果搭配上上面这条命令,则手工配置的安全地址表项也受限于老化时间了;不过对于sticky表项,则始终不会激活aging time,它是不会老化的;示例1：将安全地址老化时间设置为50min;针对动态学习到的MAC构成的安全地址有效50min是一个绝对时间,配置完成后开始倒计时,无论该MAC是否依然活跃,都始终进行倒计时示例2：针对动态学习到的MAC构成的安全地址有效,如果该MAC在50min内一直处于失效状态例如主机离线了,那么该安全地址在aging time超时后被清除示例3：注意,上述两种配置方式,对手工配置switchport port-security mac-address 的安全地址无效;也就是采用上述方法配置的静态安全地址表项永不超时;如果增加switchport port-security aging static命令,则手工静态配置的安全地址也的aging time也开始计时注意,对于sticky mac address,安全地址的老化时间无效。
端口安全实验报告总结(3篇)
第1篇一、实验背景随着信息技术的飞速发展，网络安全问题日益突出。
端口作为网络通信的通道，其安全性直接关系到整个网络的安全。
为了提高网络安全性，防止未授权访问和攻击，本次实验旨在通过华为eNSP平台，学习并掌握端口安全配置的方法，提高网络安全防护能力。
二、实验目的1. 理解端口安全的基本概念和作用。
2. 掌握华为eNSP平台中端口安全的配置方法。
3. 熟悉端口安全策略的设置和应用。
4. 提高网络安全防护能力。
三、实验环境1. 实验平台：华为eNSP2. 网络设备：华为S5700交换机3. 实验拓扑：实验拓扑图4. 实验设备：计算机、路由器等四、实验内容1. 端口安全基本概念端口安全（Port Security）是一种防止未授权访问和攻击的安全策略，通过对端口进行MAC地址绑定，限制端口接入的设备数量，从而保障网络的安全。
2. 端口安全配置方法（1）静态MAC地址绑定静态MAC地址绑定是指将端口的MAC地址与指定的MAC地址进行绑定，只有绑定的MAC地址才能通过该端口进行通信。
（2）动态MAC地址绑定动态MAC地址绑定是指系统自动学习端口接入设备的MAC地址，并将其绑定到端口上，实现动态管理。
（3）粘滞MAC地址绑定粘滞MAC地址绑定是指将动态学到的MAC地址转换为静态MAC地址，确保MAC地址的稳定性。
3. 端口安全策略设置（1）设置最大MAC地址数量限制端口接入的设备数量，防止未授权设备接入。
（2）设置MAC地址学习时间设置MAC地址学习时间，超过该时间未更新的MAC地址将被移除。
（3）设置违规行为处理方式设置违规行为处理方式，如关闭端口、报警等。
五、实验步骤1. 搭建实验拓扑，配置网络设备。
2. 在交换机端口上配置端口安全，设置最大MAC地址数量、MAC地址学习时间等。
3. 分别测试静态MAC地址绑定、动态MAC地址绑定和粘滞MAC地址绑定，观察效果。
4. 模拟违规行为，验证端口安全策略是否生效。
端口安全
ห้องสมุดไป่ตู้
背景： 防止外来未获批准的人员随便随机的通过内网来做一些对内网不利的事情（比如： 利用黑客扫描软件扫描），针对这些潜在的非安全因素我们可以采用端口安全、端 口保护、地址绑定的功能；为了防止外来主动或内网本身中的机器发生故障，频繁 的对局域网中的机器发送数据；再或者限制机器广播包的发送流量或正常包的发送 流量；针对这种问题我们可以采用风暴控制。 配置过程 端口安全 第一步进入相应的端口 interface fa0/1 第二步设置端口为访问模式 switchport mode access 第三步设置启用端口保护 switchport port-security 第四步设置端口的在端口保护模式下允许通过的机器数目 switchport port-security maximum 2 第五步设置端口的地址学习方式或者是地址绑定方式 switchport port-security mac-address sticky 0004.9A84.E4C6（1） switchport port-security mac-address sticky （2） switchport port-security mac-address 0004.9A84.E4C6（3） 第六步设置条件违反后应采取的措施 switchport port-security violation shutdown（1） switchport port-security violation protected（2） switchport port-security violation restrict（3） 第七步端口关闭之后的如何启用 先要进入端口执行shutdown 然后在执行no shudown 第八步端口关闭后自动回复 errdisable recovery cause psecure-violation errdisable recovery cause psecure-violation 风暴控制 storm-control broadcast level 50 （1） storm-control multicast level 50 （2） storm-control unicast level 50 （3） 措施 storm-control action shutdown（1） storm-control action trap（2） 端口保护 第一步进入相应的端口 interface fa0/1 第二步设置端口为保护模式 protected 地址绑定 arp 192.168.10.50 00D0.D3B3.486E arpa
端口安全故障排查
版权所有:杭州华三通信技术有限公司端口安全故障排查一、开始端口安全模式可大致分为两大类：控制MAC 学习类和认证类。
所以定位故障思路是分别对这两大类可能产生的问题进行排查。
1、检查端口安全是否成功开启 要使用端口安全功能，必须先在全局视图下使能端口安全功能。
在使能端口安全功能之前，需要关闭全局的802.1X和MAC地址认证功能。
命令：port-security enable例如：在已经使能dot1x的情况下，通过命令使能端口安全功能会报错。
2、检查Autolearn模式是否使能在配置autolearn模式之前，需要在接口视图下先配置端口安全允许的最大MAC地址数。
命令： port-security max-mac-count port-security port-mode autolearn例如，在未配置端口安全允许学习的最大MAC地址数量情况下，端口下使能autolear n模式会报错如下：3、检查MAC地址学习是否正常开启端口安全autolearn模式之后，端口会自动学习MAC直到达到端口安全允许的最大MAC数量，如果MAC地址不能正常学习，先检查是否已经达到最大数量。
命令：display port-security interface例如：通过此命令可以查看到在使能端口安全autolearn模式，端口G1/0/20配置的最大自动学习MAC数量为20。
4、检查入侵检测是否开启如果发现开启端口安全的端口不能通信，可以检查设备是否开启了入侵检测特性。
设备上入侵检测缺省是关闭的。
开启入侵检测后，会触发下面三种安全措施：blockmac：表示将非法报文的源MAC地址加入阻塞MAC地址列表中，源MAC地址为版权所有:杭州华三通信技术有限公司阻塞MAC地址的报文将被丢弃。
此MAC地址在被阻塞3分钟（系统默认，不可配）后恢复正常。
disableport：表示将收到非法报文的端口永久关闭。
disableport-temporarily：表示将收到非法报文的端口暂时关闭一段时间。
交换机端口安全技术讲义
交换机端口安全技术讲义一、为什么需要端口安全技术？- 交换机是网络中非常重要的设备，端口是交换机连接其他设备的接口。
因此，保护交换机端口的安全对于整个网络的安全至关重要。
二、常见的端口安全技术1. MAC地址绑定- 通过将特定MAC地址与端口进行绑定，只有被绑定的设备才能使用该端口进行通信，其他设备将无法访问该端口。
2. 802.1X认证- 802.1X是一种端口认证协议，通过在交换机端口上实施认证服务，可以有效地防止未授权的设备接入网络。
只有经过认证的设备才能使用交换机端口。
3. 端口安全限制- 通过设置每个交换机端口允许连接的最大设备数量，可以防止未经授权的设备接入网络。
4. DHCP snooping- 通过检测和验证DHCP报文，防止恶意DHCP服务器对网络设备进行攻击或者误导。
5. 端口状态监控- 交换机可以监控端口的通信状态，一旦发现异常情况，可以及时做出处理，防止网络安全风险。
三、如何实施端口安全技术- 在交换机上配置相应的端口安全措施，包括MAC地址绑定、802.1X认证、端口安全限制、DHCP snooping等，并定期对端口进行监控和审计，及时发现并处理异常情况。
四、端口安全技术带来的好处- 通过实施端口安全技术，可以有效地防止未经授权的设备接入网络，保护网络的安全。
同时，也可以有效地减少网络故障和攻击的风险，保障网络的正常运行。
五、端口安全技术的应用场景端口安全技术广泛应用于企业、学校、政府机构以及各种组织和机构的网络中。
无论是小型局域网还是大型企业网络，都需要采取端口安全技术来保护网络的安全和稳定性。
特别是在一些对网络安全要求较高的领域，如金融、医疗、军事等，端口安全技术更是不可或缺的一部分。
六、端口安全技术的挑战与解决方案虽然端口安全技术在保护网络安全方面起到了重要作用，但也面临着一些挑战。
例如，管理和维护成本较高、配置复杂、容易受到攻击等。
为了解决这些问题，可以采取以下措施：1. 自动化管理工具：可以使用自动化管理工具来简化端口安全技术的配置和管理，减少人工操作的成本和错误。
端口安全技术
Port-security端口安全是一种第2层特性，并且能够提供如下5种保护特性：基于主机MAC地址允许流量基于主机MAC地址限制流量在期望的端口上阻塞单播扩散(block)避免MAC溢出攻击避免MAC欺骗攻击MAC表溢出：攻击者制造很多伪装源的包，占满交换机的MAC表。
如果两台正常通讯的PC MAC地址被交换机冲掉，PC1发送单播给PC2，交换机没有PC2 MAC，就会泛洪整个VLAN，攻击者接入到此VLAN就可以抓到PC2的包MAC欺骗：攻击者伪装PC2的MAC，交换机更新MAC表，PC1发送到PC2的包就会被抓--------------------------------------------------------------------------------------------------------------------------------------Switch(config-if)#switchportport-security-------------------------------------------------------------启用端口安全Switch(config-if)#switchport port-securitymaximun 50--------------------------------------------------指定MAC 地址数量Switch(config-if)#switchport port-securitymac-address-------------------------------------------------手工输入可靠的MAC地址Switch(config-if)#switchport port-security violation{protect|restrict|shutdown}---指定端口采取措施restrict---丢弃包，产生信息protect---丢弃包，不产生信息Switch(config-if)#switchport port-security mac-addresssticky------------------------------------------启用粘性地址动态学习：交换机可以动态学习MAC地址并加入到MAC地址表中，当交换机重新启动后将丢失粘性地址：自动学习的MAC地址粘贴到show run，保存后不丢失Switch(config-if)#switchport port-security agingtime 5------------------------------------------------配置老化时间Switch(config-if)#switchport port-security aging typeinactivity-------------------------------------------在老化时间内，没有使用的端口将被删除Switch(config-if)#switchport port-security aging typeabsolute-----------------------------------------当老化时间过后，安全端口上的地址将被绝对删除Switch(config-if)#switchport port-security agingstatic------------------------------------------------打开静态映射,默认只对动态绑定的mac地址起作用，设置为static后对静态也起作用Switch#show port-securitySecure Port MaxSecureAddr CurrentAddr SecurityViolation Security Action(Count) (Count) (Count)---------------------------------------------------------------------------Fa0/1 50 0 0 Re strict---------------------------------------------------------------------------Total Addresses in System (excluding one mac per port) : 0Max Addresses limit in System (excluding one mac per port) : 1024Switch#show port-security int f0/1Port Security : EnabledPort Status : Secure-downViolation Mode : RestrictAging Time : 0 minsAging Type : AbsoluteSecureStatic Address Aging : DisabledMaximum MAC Addresses : 50Total MAC Addresses : 0Configured MAC Addresses : 0Sticky MAC Addresses : 0Last Source Address : 0000.0000.0000Security Violation Count : 0Switch#show processes cpu | in Port-S38 4 31 129 0.00% 0.00% 0.00% 0Port-Security--------------------------------------------------------------------------------------------------------------------------------------。
端口安全
7.粘滞
switchport portsecutiry mac-address sticky,指定接口将学习到的MAC地址存储到running-config,如果保存配置，会将配置存储到startup-config.
端口安全用来缓解MAC地址泛洪的攻击
MAC地址泛洪：一个攻击者或者攻击设备，使用无效的源MAC地址，不断泛洪。使得交换机的CAM被充满，无法存储合法的MAC地址与端口的对应关系。导致所有的正常流量，原本应该是单播转发的变成了泛洪。攻击者能攻取到相关数据
端口安全：用来限制接口可以学习到的MAC地址，发送SNMP的Trap消息。
3.最大MAC地址
switchport portsecurity ，超过该数量，即按违约的策略处理。
4.手工指定MAC地址
switchport portsecurity mac-address 0001.0001.0001 ,配置0001.0001.0001作为一个静态允许的MAC地址
switchport portsecurity violation restrict ,违约的后果是将非法的MAC地址的数据包丢弃，允许正常流量，发送SNMP的告警信息
switchport portsecurity violation protect ,违约的后果是将非法MAC地址的数据包丢弃，不会产生告警信息
switchport portsecurity aging static,指定静态配置的MAC地址，在经过aging time以后，会超时，且手工指定的MAC地址配置会自动删除
配置了该命令以后，show port-security interface f0/1,会显示：
securestatic address aging:enable 表明，静态的MAC地址也会超时。
端口安全
＜端口安全＞·Switch端口安全是2层特性，提供两个方面的保护：1、可以限定一个接口所能学习的MAC地址数量2、可以在一个接口静态绑定MAC地址1.基于主机MAC来允许流量·可定义授权的MAC地址/允许学习多少个MAC地址（默认＝1）·违背端口安全，采取的行为：1.shutdown ：将永久性或特定周期内Err-Disable端口（默认行为）,并发送snmp trap2.restrict：当超过所允许学习的最大MAC数时，将未授权主机的帧丢弃drop,发送SNMP trap，并将violation计数器增加3.protect ：当超过所允许学习的最大MAC数时，将未授权主机的帧丢弃dropint f0/1switchport mode access //启用端口安全时，必须先设为access接口switchport port-security //启用端口安全(默认只能学一个MAC)switchport port-security maximum 1 //指定最多允许学多少个地址switchport port-security mac-address ccswitchport port-security violation[protect|restrict|shutdown] //指定行为switchport port-security aging time 1 （分钟）//设定动态学习MAC多长时间后老化，也就是设定现有MAC地址的有效期switchport port-security mac-address sticky //将动态学到的地址粘住，永久使用errdisable recovery causeerrdisable interddshow port-security //可以看到哪些接口应用了端口安全show port-security address //可以看到授权的MAC地址show port-security interface f0/1 //可以看到接口的具体状态show interfaces fastEthernet 0/1说明：1）自动学习MAC地址为SecureDynamic类型，不会自动老化，可手动配置，shutdown接口会消失SW1(config-if)#switchport port-security aging time 12）静态配置安全MAC地址为SecureConfigured，不会自动老化，可手动配置（没效果）SW1(config-if)#switchport port-security aging staticSW1(config-if)#switchport port-security aging time 12）采用sticky学的MAC地址为SecureSticky类型，不会老化，shutdown 接口或保存配置重启不会消失，default interface会消失FastEthernet0/1 is down, line protocol is down (err-disabled)注意：通常做接口安全，要先把接口shut down，这样它就不会自动学习让err-disable接口自动恢复errdisable recovery cause psecure-violationshow errdisable recovery2.基于主机MAC来限制流量（3550以上才可以做）列表中定义的MAC将被限制流量mac-address-table static c vlan 1 dropshow mac-address-table1 000d.286e.5e46 DYNAMIC Fa0/61 0aaa.0bbb.0ccc STATIC Dropmac-address-table static 1234.1234.1234 vlan 10 interface FastEthernet0/1//该命令可以限制MAC是1234.1234.1234的主机只能从f0/1接入，但不会限定F0/1只能接MAC是1234.1234.1234的主机。
端口安全
2.4 端口安全配置2.4.1 端口安全功能简介端口安全一般应用在接入层。
它能够对使用交换机端口的主机进行限制，允许某些特定的主机访问网络，而其他主机均不能访问网络。
端口安全功能将用户的MAC地址、IP地址、VLAN ID以及PORT号四个元素灵活绑定，杜绝非法用户接入网络，从而保证网络数据的安全性，并保证合法用户能够得到足够的带宽。
用户可以通过三种规则来限制可以访问网络的主机，这三种规则分别是MAC规则，IP 规则和MAX规则，MAC规则又分为三种绑定方式：MAC绑定，MAC+IP绑定，MAC+VID 绑定；IP规则可以针对某一IP也可以针对一系列IP；MAX规则用以限定端口可以“自由学习”到的（按顺序）最多MAC地址数目，这个地址数目不包括MAC规则和IP规则产生的合法MAC地址。
这三种规则的配置如下：（1）MAC规则MAC绑定：(config-port-0/6)#port-security permit mac-address 0050.bac3.bebd(config-port-0/6)#port-security deny mac-address 0050.bac3.bebdMAC+VID绑定：(config-port-0/6)#port-security permit mac-address 0050.bac3.bebd vlan-id 100(config-port-0/6)#port-security deny mac-address 0050.bac3.bebd vlan-id 100MAC+IP绑定：(config-port-0/6)#port-security permit mac-address 0050.bac3.bebd ip-address 128.255.1.1 (config-port-0/6)#port-security deny mac-address 0050.bac3.bebd ip-address 128.255.1.1 （2）IP规则(config-port-0/6)#port-security permit ip-address 128.255.1.1 to 128.255.1.63(config-port-0/6)#port-security deny ip-address 128.255.1.1 to 128.255.1.63（3）MAX规则(config-port-0/6)#port-security maximum 50如果一个MAC地址或IP地址是被deny掉的，即使这时未达到MAX的上限，该主机也不能通讯。
12-端口安全-端口绑定命令
<Sysname> display mac-address security vlan 1 count 4 mac address(es) found in vlan 1
表1-1 display mac-address security 命令显示信息描述表
Security
Ethernet1/0/20
AGING TIME(s) NOAGED NOAGED NOAGED NOAGED
--- 4 mac address(es) found in vlan 1 ---
# 显示所有 Security MAC 地址的数量。
<Sysname> display mac-address security count 6 mac address(es) found
1-2
华为所有和机密
版权所有 (c) 华为技术有限公司
Quidway S2000-EA 系列以太网交换机 命令手册 端口安全-端口绑定
1.1.2 display port-security
第 1 章 端口安全命令
【命令】 display port-security [ interface interface-list ]
Security
Ethernet1/0/20
0000-0000-0003 1
Security
Ethernet1/0/20
0000-0000-0004 1
Security
Ethernet1/0/20
0000-0000-0001 2
Security
Ethernet1/0/22
AGING TIME(s) NOAGED NOAGED NOAGED NOAGED NOAGED
端口安全介绍
NTK 特性和 Intrusion
每端口最大 PSK 用户数。如果设置了每端口最大安全 Protection 特性
MAC 地址数，单个端口上的用户数也不能超过该限制
macAddressAnd Psk
接入用户必须先进行 MAC 地址认证，通过认证后使用 预先配置的预共享密钥与设备协商，协商成功后可访 问端口；
userLoginSecureE xt
对接入用户采用基于 MAC 的 802.1x 认证
2
技术介绍 安全和 VPN 业务
安全模式类型
描述
macAddressOrUse 与 macAddressOrUserLoginSecure 类似，但允 rLoginSecureExt 许端口下有多个 802.1x 用户
在左侧列出的模式 下，当设备发现非法 报文后，将触发 NeedToKnow 特性 和入侵检测特性
macAddressWithR adius
macAddressOrUse rLoginSecure
对接入用户采用 MAC 地址认证
端口同时处于 userLoginSecure 模式和 macAddressWithRadius 模式，但 802.1x 认证优 先级大于 MAC 地址认证； 对于非 802.1x 报文直接进行 MAC 地址认证。对 于 802.1x 报文先进行 802.1x 认证，如果 802.1x 认证失败再进行 MAC 地址认证
禁止端口学习 MAC 地址，只有源 MAC 地址为端 口上已经配置的静态 MAC 地址的报文，才能通过 该端口
在这两种模式下，当 设备发现非法报文 后，将触发 NeedToKnow 特性 和入侵检测特性
userLogin
对接入用户采用基于端口的 802.1x 认证；
互联网端口安全问题解析与解决方案
互联网端口安全问题解析与解决方案互联网的发展已经成为了时代的主旋律，在这个数字时代，无数的信息被传输在互联网上。
但是随着互联网的开放性和便捷性，也带来了一系列的安全隐患，其中互联网端口的安全问题就是其中之一。
本文将探讨互联网端口的安全问题，以及防止和解决这些问题的措施。
一、互联网端口的安全问题互联网段口是互联网数据传输面的重要控制点，可以将数据传输到目标主机的特定程序或服务。
虽然互联网端口是网络通信的关键节点，但是它也是网络攻击者进行攻击的目标之一。
常见的互联网端口安全问题主要包括以下几点：1.开放性：由于互联网的特性，任何人都可以访问公网开放端口，这使得互联网端口成为攻击者进行攻击、破坏、窃取数据等的理想路径。
2.未关闭端口：有些服务器为了便于管理，在实际运行过程中并没有关闭一些没用的端口，这样会给攻击者提供可乘之机。
3.端口过滤：端口过滤是保障网络安全最基本的方式，但过滤不严格，会降低整个网络系统的安全性。
4.弱口令：许多用户在使用互联网服务时使用的弱口令，例如常见的123456、111111等，这样的口令太过简单容易被攻击者破解。
以上是互联网端口安全的主要问题，发生其中的任何一个问题都会对网络安全造成很大的影响。
二、互联网端口安全的解决方案如何解决上述互联网端口安全的问题，这是每个企业或个人都必须了解的。
下面将介绍一些有效的解决方案。
1.关闭不必要的端口关闭不必要的端口是有效的安全措施之一。
在进行安全配置时，应该仔细检查每个开放的端口，并将不必要的端口关闭。
特别是那些几乎很少使用的端口，必须要关闭，否则，会给攻击者提供攻击路径。
2.合理使用端口过滤机制端口过滤是保证网络安全的基本方式之一。
合理的使用端口过滤机制可以有效地保护网络安全。
企业可以使用IPS及IDS等设备来监视网络中所有的数据传输，它可以过滤掉违规的数据包，有效地保护网络系统。
3.管理好口令当前的网络攻击主要针对的是口令较为简单或过于简单。
服务器端口安全管理策略
服务器端口安全管理策略随着互联网的快速发展，服务器已经成为企业信息系统中不可或缺的一部分。
服务器端口作为服务器与外部网络通信的入口，安全管理至关重要。
本文将介绍服务器端口安全管理策略，帮助企业建立健全的服务器端口安全机制。
一、端口扫描与监控端口扫描是黑客常用的入侵手段之一，通过扫描服务器开放的端口，黑客可以找到可利用的漏洞进行攻击。
因此，企业应该定期对服务器进行端口扫描，及时发现异常端口的开放情况。
同时，建立端口监控系统，实时监测服务器端口的开放情况，及时发现异常情况并采取相应措施。
二、端口访问控制企业应该建立严格的端口访问控制策略，只开放必要的端口，并限制访问权限。
可以通过防火墙、访问控制列表等技术手段，对端口进行访问控制，只允许授权的用户或主机访问特定端口，避免未经授权的访问。
此外，对于不常用的端口，可以暂时关闭或限制访问，减少安全风险。
三、端口过滤与防火墙设置企业可以通过端口过滤和防火墙设置，对服务器端口进行进一步的安全管理。
通过设置防火墙规则，限制特定端口的访问来源和目的地，防止恶意流量的进入。
同时，可以对端口进行过滤，只允许特定的协议或服务通过特定端口进行通信，提高服务器端口的安全性。
四、端口漏洞修复与更新及时修复端口漏洞是保障服务器端口安全的重要措施。
企业应该定期对服务器进行漏洞扫描，及时发现并修复存在的漏洞。
同时，及时更新服务器操作系统和应用程序，保持系统在最新的安全状态，避免因为漏洞导致的安全风险。
五、端口访问日志与审计建立端口访问日志和审计机制，记录服务器端口的访问情况和操作记录。
通过审计端口访问日志，可以及时发现异常访问行为，追踪操作记录，帮助企业及时发现潜在的安全威胁。
同时，定期对端口访问日志进行分析和审计，发现安全隐患并及时处理。
六、员工安全意识培训最后，企业应该加强员工的安全意识培训，提高员工对服务器端口安全的重视程度。
员工是企业信息系统中的重要环节，他们的安全意识和行为直接影响服务器端口的安全。
交换机端口的安全设置
攻击者可能会伪造MAC地址，绕过交换机的安全限制，从而非 法接入网络。
IP地址冲突
非法用户可能会盗用合法的IP地址，导致IP地址冲突，影响网络 的正常运行。
端口安全的基本原则
01
最小权限原则
只给需要的用户或设备分配必要 的网络权限，避免过度分配导致 安全漏洞。
加密传输
0203定期审计来自端口镜像技术01
端口镜像技术是指将一个端口 的流量复制到另一个端口进行 分析和监控。
02
通过端口镜像技术，可以将交 换机端口的入方向或出方向流 量复制到监控端口，供网络管 理员进行分析和故障排除。
03
端口镜像技术可以帮助管理员 实时监控网络流量，发现异常 行为和潜在的安全威胁。
04 交换机端口安全加固措施
对敏感数据进行加密传输，防止 数据在传输过程中被窃取或篡改。
定期对交换机的端口安全配置进 行审计，确保配置的正确性和有 效性。
02 交换机端口安全配置
CHAPTER
端口隔离
将交换机的物理端口划分为不同的逻 辑端口组，使同一组内的端口之间无 法直接通信，从而隔离不同用户之间 的网络。
端口隔离可以防止网络中的潜在威胁 和攻击，提高网络安全性和稳定性。
将同一VLAN内的端口进行 逻辑隔离，防止广播风暴 和恶意攻击。
通过绑定IP地址和MAC地 址，防止IP地址欺骗和 MAC地址泛洪攻击。
限制特定MAC地址的设备 连接，防止未经授权的设 备接入网络。
校园网中的交换机端口安全配置案例
01 校园网络架构
02 安全配置
03 • 划分VLAN
04
05
• 实施访问控制列 • 绑定IP地址和
交换机端口的安全设置
各种交换机端口安全总结(配置实例)
各种交换机端口安全总结(配置实例)最常用的对端口安全的理解就是可根据mac地址来做对网络流量的控制和管理，比如mac地址与具体的端口绑定，限制具体端口通过的mac地址的数量，或者在具体的端口不允许某些mac地址的帧流量通过。
稍微引申下端口安全，就是可以根据802.1x来控制网络的访问流量。
首先谈一下mac地址与端口绑定，以及根据mac地址允许流量的配置。
1.mac地址与端口绑定，当发现主机的mac 地址与交换机上……最常用的对端口安全的理解就是可根据mac地址来做对网络流量的控制和管理，比如mac地址与具体的端口绑定，限制具体端口通过的mac地址的数量，或者在具体的端口不允许某些mac地址的帧流量通过。
稍微引申下端口安全，就是可以根据802.1x来控制网络的访问流量。
首先谈一下mac地址与端口绑定，以及根据mac地址允许流量的配置。
1.mac地址与端口绑定，当发现主机的mac地址与交换机上指定的mac地址不同时，交换机相应的端口将down掉。
当给端口指定mac地址时，端口模式必须为access或者trunk状态。
3550-1#conf t3550-1(config)#int f0/13550-1(config-if)#switchport mode access /指定端口模式。
3550-1(config-if)#switchport port-security mac-address 00-90-f5-10-79-c1 /配置mac地址。
3550-1(config-if)#switchport port-security maximum 1 /限制此端口允许通过的mac地址数为1。
3550-1(config-if)#switchport port-security violation shutdown /当发现与上述配置不符时，端口down掉。
2.通过mac地址来限制端口流量，此配置允许一trunk口最多通过100个mac地址，超过100时，但来自新的主机的数据帧将丢失。
交换机端口安全配置
交换机端口安全配置注意事项
交换机端口安全功能只能在ACCESS接口进行配置
交换机最大连接数限制取值范围是1接数限制默认的处理方式是protect。
演讲完毕，感谢观看
单击此处添加正文，文字是您思想的提炼，为了演示发布的良好效果，请言简意赅地阐述您的观点。
汇报人姓名
S2126（1台）、直连线（1条）、PC(1台)
交换机端口安全配置
添加标题
添加标题
添加标题
贰
壹
叁
技术原理
交换机端口安全配置
配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： Protect 当安全地址个数满后，安全端口将丢弃未知名地址的包 Restrict 当违例产生时，将发送一个Trap通知。 Shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态恢复过来。
销售工作通用科技风格模板
单击添加副标题
实验二：交换机端口安全功能配置
实验目的
交换机端口安全功能配置
理解什么是交换机的端口安全性； 掌握交换机的端口安全功能，控制用户的安全接入。
交换机端口安全配置
你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G上。
交换机端口安全配置
【实验内容】
端口接入安全
端口接入安全：1、端口安全2、全局安全地址3、DHCP Snooping4、IP Source Guard端口安全主要是在二层交换机上建立端口和地址的绑定关系，包括用户的源IP+MAC地址，控制接口记录的最大MAC地址数，默认是128在交换机中的配置及其应用场景和作用：1）Switchport port-security 开启端口安全Switchport-security maximum 1 只允许记录绑定学习一个MAC地址Sw port-security mac-address 0006.1d23.84a0.a345 vlan 10Sw port-security binding 192.168.1.1Sw port-security binding 0000.0000.0000.0233 vlan 10 192.168.1.10Int f0/1!interface FastEthernet 0/1switchport port-security binding 192.168.10.1switchport port-security binding 206a.8a8d.6c32 vlan 10192.168.100.1switchport port-security maximum 1Sw port-security violation protect 设置端口违例方式{ protect |restric | shutdown }查看show port-security address int f0/1Ruijie(config)#switchport port-security helpExamples:-------------------------------------------------------------------------------->switchport port-security interface GigabitEthernet 0/1 mac-address0000.0000.0002 vlan 3Configure the secure address of port Gi0/1.Gi0/1: port number; 0000.0000.0002: MAC address;3: VLAN id;-------------------------------------------------------------------------------->switchport port-security interface GigabitEthernet 0/1 binding 0000.0000.0001vlan 2 192.168.5.113Bind the secure address of port Gi0/1 configured in source IP and source MACintegrated mode.Gi0/1: port number; 0000.0000.0001: MAC address;2: VLAN id; 192.168.5.113: IP address;--------------------------------------------------------------------------------2）交换机全局绑定IP+MAC地址，只有源地址满足绑定关系的用户才能通过该交换机接入网络，防止非授权用户接入，用户接入不再受限于特定的端口Address-bind install 开启全局绑定地址的功能Address-bind 192.168.1.1 0023.8823.9920.00f1Address-bind uplink f0/25 上联口是用户的出接口Ruijie(config)#address-bind helpExamples:-------------------------------------------------------------------------------->address-bind 1.1.1.1 0000.0000.1111Set the IP+MAC address bind.1.1.1.1: IP address; 0000.0000.1111: MAC address;-------------------------------------------------------------------------------->address-bind ipv6-mode compatibleSet the compatible address-bind mode, strict by default.-------------------------------------------------------------------------------->address-bind uplink GigabitEthernet 0/1Set the Gi0/1 as the address-bind exceptional interface.--------------------------------------------------------------3）Dhcp soonping 防用户私设dhcp服务器开启dhcp snooping 后所有端口都是Untrust接口Ip Dhcp snoopingInt gi0/25Ip Dhcp snooping trust 设置上联口为trust口只转发从trust口接受到的dhcp响应报文（offer、ACK、NAK）可以记录dhcp报文中的信息，记录用户IP+MAC 端口VLAN ID等作为安全检查的依据5）IP source guardIPSG维护ip源地址绑定数据库，检查接收到的所有的非Dhcp的IP报文中的源IP+MAC，丢弃不匹配的数据IP source guardRuijie(config-if-GigabitEthernet 0/26)#ip verify source ?port-security Port security<cr>Ruijie(config-if-GigabitEthernet 0/26)#ip verify source port-security在dhcp snooping 的Untrust 口开启IPSG功能，仅仅检查源IP地址IP verify sourceRuijie(config)#ip dhcp snooping verify mac-address ?<cr>在dhcp snooping 的Untrust口开启IPSG功能，检查源IP+源MACInt gi0/25Ip verify source port-seurity6）配置静态源地址绑定：Conf tIp source binding 0025.5511.4411.5531 vlan 10 102.178.1.1 interface f0/1 以上是今天四个接入安全的知识。
端口安全
Switch(conifg-if)#
switchport port-security aging{static | time time } 配置安全地址的老化时间
Switport-security aging time 关闭一个接口的安全地址老化功能（老化时间为0）
。 还可以限制一个端口上能包含的安全地址最大个数，如果将最大个
数设置为1，并且为该端口配置一个安全地址，则连接到这个口的
工作站其地址为配置的安全地址将独享该端口的全部带宽。
交换机端口安全概述
交换机的端口安全机制是工作在交换机二层端口上的一个安全特性
只允许特定MAC地址的设备接入到网络中，从而防止用户将非法或未授 权的设备接入网络。 限制端口接入的设备数量，防止用户将过多的设备接入到网络中。
配置端口安全存在以下限制：
一个安全端口必须是一个Access端口，及连接终端设备的端口，而非 Trunk端口。
一个安全端口不能是一个聚合端口（Aggregate Port）。
一个安全端口不能是SPAN的目的端口。
交换机端口安全概述
当配置完成端口安全之后，如果当违例产生时，可以设置下面几种 针对违例的处理模式：
查看配置信息
查看所有接口的安全统计信息，包括最大安全地址数 ，当前安全地址数以及违例处理方式等
Switch#show port-security
Secure Port MaxSecureAddr CurrentAddr Security Action ----------------Gi1/3 -------8 --------1 -------------Protect
个数为8，设置违例方式为protect
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
配置端口安全
[收藏此页] [打印] [推荐] [挑错]
作者：freebeme 2007-06-23
内容导航：
配置端口安全
第1页：配置端口安全第2页：配置端口安全
你可以使用端口安全特性来约束进入一个端口的访问，基于识别站点的mac地址的方法。
当你绑定了mac地址给一个端口，这个口不会转发限制以外的mac地址为源的包。
如果你限制安全mac地址的数目为1，并且把这个唯一的源地址绑定了，那么连接在这个接口的主机将独自占有这个端口的全部带宽。
如果一个端口已经达到了配置的最大数量的安全mac地址，当这个时候又有另一个mac地址要通过这个端口连接的时候就发生了安全违规，( security violation).同样地，如果一个站点配置了mac地址安全的或者是从一个安全端口试图连接到另一个安全端口，就打上了违规标志了。
理解端口安全：
当你给一个端口配置了最大安全mac地址数量，安全地址是以一下方式包括在一个地址表中的：
·你可以配置所有的mac地址使用 switchport port-security mac-address <mac地址>，这个接口命令。
·你也可以允许动态配置安全mac地址，使用已连接的设备的mac地址。
·你可以配置一个地址的数目且允许保持动态配置。
注意：如果这个端口shutdown了，所有的动态学的mac地址都会被移除。
一旦达到配置的最大的mac地址的数量，地址们就会被存在一个地址表中。
设置最大mac地址数量为1，并且配置连接到设备的地址确保这个设备独占这个端口的带宽。
当以下情况发生时就是一个安全违规：
·最大安全数目mac地址表外的一个mac地址试图访问这个端口。
·一个mac地址被配置为其他的接口的安全mac地址的站点试图访问这个端口。
你可以配置接口的三种违规模式，这三种模式基于违规发生后的动作：·protect-当mac地址的数量达到了这个端口所最大允许的数量，带有未知的源地址的包就会被丢弃，直到删除了足够数量的mac地址，来降下最大数值之后才会不丢弃。
·restrict-一个限制数据和并引起"安全违规"计数器的增加的端口安全违规动作。
·shutdown-一个导致接口马上shutdown，并且发送SNMP陷阱的端口安全违规
动作。
当一个安全端口处在error-disable状态，你要恢复正常必须得敲入全局下的errdisable recovery cause psecure-violation命令，或者你可以手动的shut再no shut端口。
这个是端口安全违规的默认动作
默认的端口安全配置：
以下是端口安全在接口下的配置-
特性：port-sercurity 默认设置：关闭的。
特性：最大安全mac地址数目默认设置：1
特性：违规模式默认配置：shutdown，这端口在最大安全mac地址数量达到的时候会shutdown，并发snmp陷阱。
配置向导：
下面是配置端口安全的向导-
·安全端口不能在动态的access口或者trunk口上做，换言之，敲port-secure 之前必须的是switch mode acc之后。
·安全端口不能是一个被保护的口。
·安全端口不能是SPAN的目的地址。
·安全端口不能属于GEC或FEC的组。
·安全端口不能属于802.1x端口。
如果你在安全端口试图开启802.1x，就会有报错信息，而且802.1x也关了。
如果你试图改变开启了802.1x的端口为安全端口，错误信息就会出现，安全性设置不会改变。
配置案例：
1.在f0/12上最大mac地址数目为5的端口安全，违规动作为默认。
switch#config t
Enter configuration commands, one per line. End with CNTL/Z.
switch(config)#int f0/12
switch(config-if)#swi mode acc
switch(config-if)#swi port-sec
switch(config-if)#swi port-sec max 5
switch(config-if)#end
switch#show port-sec int f0/12
Security Enabled:Yes, Port Status:SecureUp
Violation Mode:Shutdown
Max. Addrs:5, Current Addrs:0, Configure Addrs:0
2.如何配置f0/12安全mac地址
switch(config)#int f0/12
switch(config-if)#swi mode acc
switch(config-if)#swi port-sec
switch(config-if)#swi port-sec mac-add 1111.1111.1111
switch(config-if)#end
switch#show port-sec add
Secure Mac Address Table
------------------------------------------------------------
Vlan Mac Address Type Ports
---- ----------- ---- -----
1 1000.2000.3000 SecureConfigured Fa0/12
3.配置端口安全超时时间两小时。
switch(config)#int f0/12
switch(config)#swi port-sec aging time 120
4.端口安全超时时间2分钟，给配置了安全地址的接口，类型为inactivity aging：
switch(config-if)#swi port-sec aging time 2
switch(config-if)#swi port-sec aging type inactivity
switch(config-if)#swi port-sec aging static
show port-security interface f0/12可以看状态.
其他show
show port-security 看哪些接口启用了端口安全.
show port-security address 看安全端口mac地址绑定关系.。