5.1交换机端口安全
华三交换机端口安全操作
1-1
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
第 1 章 端口安全配置
1.1.3 端口安全模式
对于端口安全模式的具体描述，请参见 表 1-1。
i
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
第 1 章 端口安全配置
ቤተ መጻሕፍቲ ባይዱ
第1章 端口安全配置
1.1 端口安全简介
1.1.1 概述
端口安全是一种基于 MAC 地址对网络接入进行控制的安全机制，是对已有的 802.1x 认证和 MAC 地址认证的扩充。这种机制通过检测数据帧中的源 MAC 地址来控制非 授权设备对网络的访问，通过检测数据帧中的目的 MAC 地址来控制对非授权设备 的访问。 端口安全的主要功能是通过定义各种端口安全模式，让设备学习到合法的源 MAC 地址，以达到相应的网络管理效果。启动了端口安全功能之后，当发现非法报文时， 系统将触发相应特性，并按照预先指定的方式进行处理，既方便用户的管理又提高 了系统的安全性。 非法报文包括： z 禁止 MAC 地址学习时，收到的源 MAC 地址为未知 MAC 的报文； z 端口学习到的 MAC 地址达到端口所允许的最大 MAC 地址数后，收到的源
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
目录
目录
第 1 章 端口安全配置 ..............................................................................................................1-1 1.1 端口安全简介 ..................................................................................................................... 1-1 1.1.1 概述 ......................................................................................................................... 1-1 1.1.2 端口安全的特性 ....................................................................................................... 1-1 1.1.3 端口安全模式........................................................................................................... 1-2 1.2 端口安全配置任务简介....................................................................................................... 1-4 1.3 使能端口安全功能 .............................................................................................................. 1-4 1.3.1 配置准备 .................................................................................................................. 1-4 1.3.2 使能端口安全功能.................................................................................................... 1-4 1.4 配置端口允许的最大安全MAC地址数 ................................................................................ 1-5 1.5 配置端口安全模式 .............................................................................................................. 1-6 1.5.1 配置autoLearn模式.................................................................................................. 1-6 1.5.2 配置userLoginWithOUI模式 .................................................................................... 1-7 1.5.3 配置其它模式........................................................................................................... 1-7 1.6 配置端口安全的特性 .......................................................................................................... 1-8 1.6.1 配置NeedToKnow特性 ............................................................................................ 1-8 1.6.2 配置入侵检测特性.................................................................................................... 1-8 1.6.3 配置Trap特性........................................................................................................... 1-9 1.7 配置安全MAC地址 ............................................................................................................. 1-9 1.7.1 配置准备 .................................................................................................................. 1-9 1.7.2 配置安全MAC地址................................................................................................. 1-10 1.8 配置当前端口不应用服务器下发的授权信息 .................................................................... 1-10 1.9 端口安全显示和维护 ........................................................................................................ 1-10 1.10 端口安全典型配置举例................................................................................................... 1-11 1.10.1 端口安全autoLearn模式配置举例 ........................................................................ 1-11 1.10.2 端口安全userLoginWithOUI模式配置举例........................................................... 1-13 1.10.3 端口安全macAddressElseUserLoginSecure模式配置举例 ................................. 1-18 1.11 常见配置错误举例 .......................................................................................................... 1-21 1.11.1 端口安全模式无法设置 ........................................................................................ 1-21 1.11.2 无法配置端口安全MAC地址 ................................................................................ 1-21 1.11.3 用户在线情况下无法更换端口安全模式............................................................... 1-22
华为路由器交换机安全检查表
华为路由器交换机安全检查表华为路由器交换机安全检查表1.硬件安全检查1.1 确保路由器交换机的外壳完好无损。
1.2 检查电源线和插头的连接情况，确保电源供应正常。
1.3 确保所有接口和网线连接稳定可靠。
1.4 检查设备的散热情况，确保正常工作温度范围内。
2.软件安全检查2.1 检查路由器交换机的固件版本，确保已安装最新版本。
2.2 配置设备的登录认证方式，例如使用强密码、启用登录提示和登录失败限制等。
2.3 设置管理接口的访问控制列表，限制管理接口的访问权限。
2.4 启用SSH或HTTPS等安全协议，加密管理数据传输。
2.5 禁用或限制不必要的服务和端口，以减少系统的攻击面。
2.6 配置系统日志记录，对系统的操作、事件和异常进行记录和分析。
3.网络安全检查3.1 配置网络接口的访问控制列表，限制网络流量的进出。
3.2 启用网络地质转换(NAT)，隐藏内部网络拓扑结构。
3.3 设置虚拟专用网络(VPN)，提供加密的远程连接。
3.4 启用防火墙，过滤和阻止恶意网络流量。
3.5 使用网络流量分析工具，检测和阻止非法入侵行为。
3.6 配置网络隔离，将不同的网络设备与流量隔离开来，加强安全性。
4.用户安全检查4.1 设置强密码策略，要求用户使用复杂的密码，并定期更换密码。
4.2 限制用户权限，按需为用户分配最小的权限。
4.3 定期审查用户账号和权限，及时删除或修改不再需要的账号。
4.4 建立用户操作日志，对用户的操作进行审计和监控。
4.5 提供网络安全教育和培训，提升用户的安全意识和知识。
5.定期安全检查5.1 建立安全巡检计划，定期对路由器交换机进行安全检查。
5.2 检查安全策略的有效性，及时更新和补充安全策略。
5.3 分析和评估安全事件和漏洞，及时采取修复措施。
5.4 定期备份关键配置和日志，以便在需要时进行恢复和分析。
附件：无法律名词及注释：- 登录认证：验证用户身份的过程，以确保只有授权用户可以访问系统。
交换机端口安全portsecurity超级详解
交换机端口安全Port-Security超级详解交换安全交换机端口安全Port-Security超级详解一、Port-Security概述在部署园区网的时候,对于交换机,我们往往有如下几种特殊的需求：限制交换机每个端口下接入主机的数量MAC地址数量限定交换机端口下所连接的主机根据IP或MAC地址进行过滤当出现违例时间的时候能够检测到,并可采取惩罚措施上述需求,可通过交换机的Port-Security功能来实现：二、理解Port-Security安全地址：secure MAC address在接口上激活Port-Security后,该接口就具有了一定的安全功能,例如能够限制接口所连接的的最大MAC数量,从而限制接入的主机用户；或者限定接口所连接的特定MAC,从而实现接入用户的限制;那么要执行过滤或者限制动作,就需要有依据,这个依据就是安全地址– secure MAC address;安全地址表项可以通过让使用端口动态学习到的MACSecureDynamic,或者是手工在接口下进行配置SecureConfigured,以及sticy MAC addressSecureSticky 三种方式进行配置;当我们将接口允许的MAC地址数量设置为1并且为接口设置一个安全地址,那么这个接口将只为该MAC所属的PC服务,也就是源为该MAC的数据帧能够进入该接口;2.当以下情况发生时,激活惩罚violation：当一个激活了Port-Security的接口上,MAC地址数量已经达到了配置的最大安全地址数量,并且又收到了一个新的数据帧,而这个数据帧的源MAC并不在这些安全地址中,那么启动惩罚措施当在一个Port-Security接口上配置了某个安全地址,而这个安全地址的MAC又企图在同VLAN的另一个Port-Security接口上接入时,启动惩罚措施当设置了Port-Security接口的最大允许MAC的数量后,接口关联的安全地址表项可以通过如下方式获取：在接口下使用switchport port-security mac-address 来配置静态安全地址表项使用接口动态学习到的MAC来构成安全地址表项一部分静态配置,一部分动态学习当接口出现up/down,则所有动态学习的MAC安全地址表项将清空;而静态配置的安全地址表项依然保留;与Sticky MAC地址上面我们说了,通过接口动态学习的MAC地址构成的安全地址表项,在接口出现up/down后,将会丢失这些通过动态学习到的MAC构成的安全地址表项,但是所有的接口都用switchport port-security mac-address手工来配置,工作量又太大;因此这个sticky mac 地址,可以让我们将这些动态学习到的MAC变成“粘滞状态”,可以简单的理解为,我先动态的学,学到之后我再将你粘起来,形成一条”静态“ 实际上是SecureSticky的表项;在up/down现象出现后仍能保存;而在使用wr后,这些sticky安全地址将被写入start-up config,即使设备重启也不会被丢失;三、默认的Port-Security配置Port-Security 默认关闭默认最大允许的安全MAC地址数量 1惩罚模式 shutdown进入err-disable状态,同时发送一个SNMP trap四、Port-Security的部署注意事项配置步骤a 在接口上激活Port-SecurityPort-Security开启后,相关参数都有默认配置,需关注b 配置每个接口的安全地址Secure MAC Address可通过交换机动态学习、手工配置、以及stciky等方式创建安全地址c 配置Port-Security惩罚机制默认为shutdown,可选的还有protect、restrictd 可选配置安全地址老化时间2.关于被惩罚后进入err-disable的恢复：如果一个psec端口由于被惩罚进入了err-disable,可以使用如下方法来恢复接口的状态：使用全局配置命令：err-disable recovery psecure-violation手工将特定的端口shutdown再noshutdown3.清除接口上动态学习到的安全地址表项使用clear port-security dynamic命令,将清除所有port-security接口上通过动态学习到的安全地址表项使用clear port-security sticky 命令,将清除所有sticky安全地址表项使用clear port-security configured命令,将清除所有手工配置的安全地址表项使用clear port-security all命令,将清除所有安全地址表项使用show port-security address来查看每个port-security接口下的安全地址表项4.关于sticky安全地址Sticky安全地址,是允许我们将Port-Security接口通过动态学习到的MAC地址变成“粘滞”的安全地址,从而不会由于接口的up/down丢失;然而如果我们希望在设备重启之后,这个sticky的安全地址表项仍然存在,那么就需要wr一下;将配置写入start-up config 文件;Sticky安全地址也是一个简化我们管理员操作的一个很好的工具,毕竟现在不用再一条条的手工去绑了;支持private vlan支持 tunnel接口不支持SPAN的目的接口不支持etherchannel的port-channel接口9.在CISCO IOS 33SXH 以及后续的版本,我们可以将port-security及部署在同一个接口上;而在此之前的软件版本：如果你试图在一个port-security接口上激活则会报错,并且功能无法开启如果你试图在一个接口上激活port-security则也会报错,并且port-security特性无法开启支持nonegotiating trunk 接口Port-Security 支持在如下配置的trunk上激活switchportswitchport trunk encapsulationswitchport mode truknswitchport nonegotiateIf you reconfigure a secure access port as a trunk, port security converts all the sticky and static secure addresses on that port that were dynamicallylearned in the access VLAN to sticky or static secure addresses on the native VLAN of the trunk. Port security removes all secure addresses on the voice VLAN of the access port.If you reconfigure a secure trunk as an access port, port security converts all sticky and static addresses learned on the native VLAN to addresses learned on the access VLAN of the access port. Port security removes all addresses learned on VLANs other than the native VLAN.links和Port-Security互不兼容五、Port-security的配置1.激活Port-Security在access接口上Switchconfig interface fast0/1Switchconfig-if switchportSwitchconfig-if switchport mode accessSwitchconfig-if switchport access vlan 10Switchconfig-if switchport port-security接口的Port-Security特性一旦激活后,默认的最大安全地址个数为1,也就是说,在不进行手工配置安全地址的情况下,这个接口将使用其动态学习到的MAC作为安全地址,并且,这个接口相当于被该MAC所属的设备独占;而且默认的violation是shutdownSW1show port-security interface f0/1Port Security : EnabledPort Status : Secure-up 接口目前的状态是up的Violation Mode : Shutdown 违例后的惩罚措施,默认为shutdownAging Time : 0 minsAging Type : AbsoluteSecureStatic Address Aging : DisabledMaximum MAC Addresses : 1 最大安全地址个数,默认为1Total MAC Addresses : 0Configured MAC Addresses : 0 手工静态配置的安全MAC地址,这里没配Sticky MAC Addresses : 0 sticky的安全地址,这里没有Last Source Address:Vlan : 最近的一个安全地址+vlanSecurity Violation Count : 0 该接口历史上出现过的违例次数这个时候,如果另一台PC接入到这个端口上,那么该port-security接口将会收到一个新的、非安全地址表项中的MAC地址的数据帧,于是触发的违例动作,给接口将被err-disable掉;同时产生一个snmp trap消息,另外,接口下,Security Violation Count将会加12.激活Port-Security在trunk接口上3. Port-Security violation惩罚措施默认的violation是shutdown;如果是protect,那么惩罚就会温柔些,对于非法的数据帧例如数据帧的源MAC不在安全地址表项中的、且安全地址已经达到最大数,这些非法数据将仅仅被丢弃,合法数据照常转发,同时不会触发一个syslog消息,另外接口下的“Security Violation Count”也不会加1;而如果是restrict,那么非法数据被丢弃,同时触发一个syslog消息,再者,Security Violation Count加1,合法的数据照常转发;4. 配置Port Security Rate Limiter注意,在6509交换机,truncated switching模式下不支持该功能在交换机接口上开启Port-Security是会耗费资源的,Port-Security会检测每一个进入接口的数据帧,以判断流量是否合法,或者是否存在违例行为;当一个安全接口设置的violation为shutdown的时候,该接口在违例后触发惩罚机制,进入err-diasble状态,这样可以有效的方式有效的防止交换机由于处理违例事件导致交换机的CPU利用率过高;然而protect和restict的惩罚措施,则不会将端口关闭,端口依然可用,那么这就可能导致在违例事件发生的情况下交换机的CPU利用率飙高例如大量的非法数据涌入;因此当使用protect和restrict这两种违例惩罚措施事,可以通过Port-Secuirty rate limiter来防止CPU飙高;Switchconfig mls rate-limite layer2 port-security rate_in_pps burst_size关于rate_in_pps参数：范围是10- 1000000没有默认值值设置的越低,对CPU的保护程度就越高,这个值对惩罚措施发生前、后都生效,当然这个值也不能设置的过低,至少要保障合法流量被处理吧;一般低于1000就差不多;关于burst-size参数：范围是1-255默认是10,这个默认值一般就够用了;5. 配置Port-Security 最大允许的安全地址数量最大安全地址数量,不同的软件平台允许的上限值有所不同,但是默认都是1;在trunk口上,前面说了,也是可以激活port-security的,而在trunk口上配置最大安全地址数量,可以基于接口配置对所有VLAN生效,也可以基于VLAN进行配置;如下：switchport port-security maximum 1switchport port-security maximum 1 vlan 10,20,30 可以关联多个VLAN6. 在port-security接口上手工配置安全地址上述配置中,最大安全地址数设置为3,然后使用手工配置了一个安全地址,那么剩下2个,交换机可以通过动态学习的方式来构建安全地址;在trunk接口上手工配置安全地址,可关联vlan关键字;如果在trunk接口上手工配置安全地址,没有关联vlan关键字,那么该安全地址将被关联到trunk的native vlan上7. 在port-security接口上使用sticky MAC地址我们知道,构成安全地址表项的方式有好几种,其中一种是使用switchport port-security mac 来手工配置,但是这种方式耗时耗力,更需要去PC上抄MAC,工作成本比较高;而另一种构成安全地址的方式是让交换机使用动态学习到的MAC,然而这些安全地址在接口一旦up/down后,将丢失,更别说重启设备了;因此可以使用sticky mac的方式,这种方式激活后,交换机将动态学习到的MAC“粘起来”,具体的动作很简单,就是在动态学习到MAC例如一个后,如果我激活了sticiky MAC address,则在接口下自动产生一条命令：interface FastEthernet0/1switchport access vlan 10switchport mode accessswitchport port-securityswitchport port-security mac-address stickyswitchport port-security mac-address sticky 自动产生这样形成的安全地址表项是SecureSticky的,即使在接口翻动,也不会丢失;在者如果wr保存配置,命令写入,那么设备即使重启,安全地址也不会丢失;当在接口上激活了port-security mac-address sticky,那么：该接口上所有通过动态学习到的MAC,将被转成sticky mac address从而形成安全地址接口上的静态手工配置的安全地址不会被转成sticky mac address通过voice vlan动态学习到的安全地址不会被转成sticky mac address命令配置后,新学习到的MAC地址,也是sticky的当此时又敲入no port-secuirty mac-address sticiky ,则所有的sticky安全地址条目都变成动态的安全地址条目SecureDynamic8. 配置安全地址老化时间配置的命令比较简单：Switchconfig-if switchport port-security aging type {absolute | inactivity}配置老化时间的类型,如果选择absolute,也就是绝对时间,需要搭配aging time命令设定老化时间的具体值,命令一旦敲下去后,所有的通过动态学习的MAC构建的安全地址表项将开始以aging time倒计时;如果是inactivity关键字,则只在该动态安全地址表项不活跃的时候譬如主机离线了或者挂掉了才开始倒计时;Switchconfig-if switchport port-security aging time设定老化时间Switchconfig-if switchport port-security aging static使用前面两条命令,老化时间是不会影响那些使用静态手工配置的安全地址表项的,当然sticky表项也不会受影响,这些表项都是永不老化的,但是如果搭配上上面这条命令,则手工配置的安全地址表项也受限于老化时间了;不过对于sticky表项,则始终不会激活aging time,它是不会老化的;示例1：将安全地址老化时间设置为50min;针对动态学习到的MAC构成的安全地址有效50min是一个绝对时间,配置完成后开始倒计时,无论该MAC是否依然活跃,都始终进行倒计时示例2：针对动态学习到的MAC构成的安全地址有效,如果该MAC在50min内一直处于失效状态例如主机离线了,那么该安全地址在aging time超时后被清除示例3：注意,上述两种配置方式,对手工配置switchport port-security mac-address 的安全地址无效;也就是采用上述方法配置的静态安全地址表项永不超时;如果增加switchport port-security aging static命令,则手工静态配置的安全地址也的aging time也开始计时注意,对于sticky mac address,安全地址的老化时间无效。
宽带接入之交换机端口安全介绍
降低管理成本： 端口安全优化可 以简化网络管理， 降低管理成本。
满足合规要求： 端口安全优化可 以帮助企业满足 相关法规和标准 的要求，降低法 律风险。
端口安全优化的方法
01 端口安全策略：设置端口安全策 略，限制端口访问权限
02 端口访问控制：设置端口访问控 制，限制特定端口的访问
03 端口加密：使用加密技术，提高 端口数据的安全性
监控端口状态：实时 监控交换机端口的状 态，发现异常情况及
时处理
配置安全参数：设置 端口允许的最大MAC 地址数量、安全动作、
安全时间等参数
定期更新安全策略： 根据网络环境的变化， 定期更新端口安全策
略，确保网络安全
绑定MAC地址：将交 换机端口与特定的
MAC地址进行绑定， 防止非法设备接入
端口安全配置参数
端口安全模式：包括安全模 式和非安全模式，安全模式 可以限制端口的最大连接数， 非安全模式则没有限制。
端口安全动作：包括关闭端 口、限制连接数和限制流量 等，可以根据需要选择合适 的动作。
端口安全年龄：设置端口安 全年龄可以限制端口的最大 连接时间，超过设定时间后， 连接将被断开。
端口安全协议：可以设置端 口安全协议，如TCP、UDP 等，以限制端口的连接类型。
宽带接入之交换 机端口安全介绍
目录
01. 交换机端口安全概述 02. 交换机端口安全配置 03. 交换机端口安全策略 04. 交换机端口安全优化
1
交换机端口安全 概述
交换机端口安全的重要性
01
02
03
04
保护网络免受未 经授权的访问防止恶意软件和 病毒的传播
保障数据传输的 安全性和完整性
提高网络性能和 稳定性
交换机端口安全技术讲义
交换机端口安全技术讲义一、为什么需要端口安全技术？- 交换机是网络中非常重要的设备，端口是交换机连接其他设备的接口。
因此，保护交换机端口的安全对于整个网络的安全至关重要。
二、常见的端口安全技术1. MAC地址绑定- 通过将特定MAC地址与端口进行绑定，只有被绑定的设备才能使用该端口进行通信，其他设备将无法访问该端口。
2. 802.1X认证- 802.1X是一种端口认证协议，通过在交换机端口上实施认证服务，可以有效地防止未授权的设备接入网络。
只有经过认证的设备才能使用交换机端口。
3. 端口安全限制- 通过设置每个交换机端口允许连接的最大设备数量，可以防止未经授权的设备接入网络。
4. DHCP snooping- 通过检测和验证DHCP报文，防止恶意DHCP服务器对网络设备进行攻击或者误导。
5. 端口状态监控- 交换机可以监控端口的通信状态，一旦发现异常情况，可以及时做出处理，防止网络安全风险。
三、如何实施端口安全技术- 在交换机上配置相应的端口安全措施，包括MAC地址绑定、802.1X认证、端口安全限制、DHCP snooping等，并定期对端口进行监控和审计，及时发现并处理异常情况。
四、端口安全技术带来的好处- 通过实施端口安全技术，可以有效地防止未经授权的设备接入网络，保护网络的安全。
同时，也可以有效地减少网络故障和攻击的风险，保障网络的正常运行。
五、端口安全技术的应用场景端口安全技术广泛应用于企业、学校、政府机构以及各种组织和机构的网络中。
无论是小型局域网还是大型企业网络，都需要采取端口安全技术来保护网络的安全和稳定性。
特别是在一些对网络安全要求较高的领域，如金融、医疗、军事等，端口安全技术更是不可或缺的一部分。
六、端口安全技术的挑战与解决方案虽然端口安全技术在保护网络安全方面起到了重要作用，但也面临着一些挑战。
例如，管理和维护成本较高、配置复杂、容易受到攻击等。
为了解决这些问题，可以采取以下措施：1. 自动化管理工具：可以使用自动化管理工具来简化端口安全技术的配置和管理，减少人工操作的成本和错误。
锐捷实训4-交换机的端口安全
实训4 交换机的端口安全【实训目的】（1）掌握交换机端口安全功能，控制用户的安全接入（2）掌握交换机的端口配置的连接数（3）掌握如何针对PC1主机的接口进行IP+MAC地址绑定【实训技术原理】交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入；交换机端口安全主要有两种类型：一是限制交换机端口的最大连接数；二是针对交换机端口进行MAC地址、IP地址的绑定；配置交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种：（1）protect 当安全地址个数满后，安全端口将丢弃未知地址的包；（2）restrict当违例产生时，将发送一个trap通知；（3）shutdown当违例产生时，将关闭端口并发送一个trap通知；当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来；【实训背景描述】你是一个公司的网络管理员，公司要求对网络进行严格控制。
为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。
为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。
例如：某员工分配的IP地址是172.16.1.23/24，主机MAC地址是0019.2147.10F9。
该主机连接在1台2126G上。
【实训设备】S2126G（1台），PC（2台）、直连线（2条）【实训内容】（1）按照拓扑进行网络连接（2）配置交换机端口最大连接数限制（3）配置交换机端口地址绑定【实训拓扑图】【实训步骤】（1）配置交换机端口的最大连接数限制S w i t c h#c o n f i g u r e t e r m i n a lS w i t c h(c o n f i g)#i n t e r f a c e r a n g e f a s t e t h e r n e t0/1-23！打开交换机1-23端口S w i t c h(c o n f i g-i f-r a n g e)#s w i t c h p o r t p o r t-s e c u r i t y！开启1-23安全端口功能S w i t c h(c o n f i g-i f-r a n g e)#s w i t c h p o r t p o r t-s e c u r i t y m a x i m u m1！开启端口的最大连接数为1S w i t c h(c o n f i g-i f-r a n g e)#s w i t c h p o r t p o r t-s e c u r i t y v i o l a t i o ns h u t d o w n！配置安全违例的处理方式s h u t d o w n（2）验证测试：查看交换机的端口安全配置S w i t c h#s h o w p o r t-s e c u r i t y（3）配置交换机端口的地址绑定①查看主机的I P和M A C地址信息。
交换机端口安全认证实验报告
交换机端口安全认证实验报告一、实验目的本实验旨在通过交换机端口安全认证，保障网络的信息安全。
通过实验，掌握交换机端口安全认证的原理和操作方法。
二、实验原理交换机端口安全认证是一种网络安全技术，用于限制未经授权设备接入网络。
其原理是利用交换机的MAC地址过滤功能，将非授权MAC地址的设备隔离或阻断，确保网络中只有授权设备能够接入。
三、实验环境1. 实验设备：一台交换机、若干台计算机设备2. 实验软件：网络配置工具、终端仿真软件四、实验步骤1. 配置交换机端口安全策略a. 进入交换机管理界面，并使用管理员账号登录。
b. 找到需要配置端口安全的端口，例如FastEthernet0/1。
c. 配置端口安全认证，设置允许连接设备的最大数量，例如2。
d. 配置端口安全认证方式为“限制”模式，即在达到最大设备数量时阻断后续设备连接。
e. 保存配置并退出管理界面。
2. 连接计算机设备a. 将一台计算机连接到已配置了端口安全的交换机端口上。
b. 打开终端仿真软件，配置计算机的IP地址和子网掩码。
c. 确保计算机与交换机端口连接正常。
3. 验证端口安全认证功能a. 将其他计算机设备依次连接到交换机端口。
b. 观察并记录交换机管理界面上的端口状态变化。
c. 当连入的设备数量达到最大允许数量时，验证交换机是否能够正确阻断后续设备连接。
五、实验结果与分析根据实验步骤进行操作后，我们观察到交换机管理界面上的端口状态发生了如下变化：1. 当第一台设备连接到交换机端口时，端口状态显示为“已连接”。
2. 当第二台设备连接到交换机端口时，端口状态仍显示为“已连接”，符合我们设定的最大允许设备数量为2。
3. 当第三台设备尝试连接到交换机端口时，端口状态显示为“已阻断”，交换机成功拦截了未授权设备连接。
通过以上观察，我们可以得出结论：交换机端口安全认证功能有效，能够根据设定的策略拦截未授权设备的连接，确保网络的安全性。
六、实验总结本次实验通过对交换机端口安全认证的配置和验证，详细了解了其原理和操作方法。
安全技巧：提高交换机端口的安全性
来很大的安全隐患。如员工带来的电脑可能本身就带有病毒 ， 从而使 得病毒通过企业内部 网络进行传播 或者非法复制企 业内部的资料等
等～ 二是 未 经 批 准 采 用集 线 器 等设 备 。 些 员 工 为 了增 加 网 络 终端 的 有
而缺陷就是配置的工作量会 比较大 ， 在初期 的时候 ． 需要为每个交换
地 址 不 同 而 造成 的 因 为在 交 换机 的 这个 端 口中 ， 有一 个 限 制 条 件 。 只
在企 业 中 ． 胁 交换 机 端 口的 行 为 比较 多 ． 结 一下 有 如 下 情 形 ： 威 总
一
有 特 定 的 ｌ 址 才 可 以通 过 这 个 端 Ｅ连 入 到 网络 中 ？如 果 主 机 变 更 Ｐ地 ｌ 了 ． 需 要 让 其 允 许 连 接 这 个 端 口 的话 ， 么 就 需 要 重 新 调 整 交 换 机 还 那 的 ＭＡＣ地 址 设 置 这 种 手 段 的 好 处 就 是 可 以 控 制 ， 有 授 权 的 主 机 只 才 能 够 连 接 到交 换 机 特 定 的端 Ｅ 中 ．未 经授 权 的 用户 无 法 进 行 连 接 ： ｌ
量增加， 从而导致网络 性能的下降 在企业 网络 日常管理 中， 这也是经
常遇 到 的一 种 危 险 的 行为
所说的 ， 要执 行这个限制的话 ， 工作量会比较大 。 三是对可以接人的设备进行限制。出于客户端性能的考虑 ， 我们 往往需要限制某个交换机端 口可 以连接的最 多的主机数量。 如我们可 以将这个参数设置为 １ 那么就只允许 一台主机连接到交换机的端 口 ． 中。如此的话 。 就可 以避免 用户私 自使用集线器或者交换机等设备来
机 的端 １进 行 配 置 。 如果 后 续 主 机 有 调 整 或 者 网 卡 有 更换 的话 （ 最 ３ 如
交换机端口安全性
交换机端口安全性交换机端口安全性【实验名称】交换机端口安全性【实验目的】理解什么是交换机的端口安全性，如何配置端口安全性。
【背景描述】从网络管理的安全性考虑，某企业网络管理员想对交换机上端口的访问权限做些限制，通过限制允许访问交换机某个端口的MAC地址以及IP地址（可选）来实现严格控制对该端口的输入。
现在要通过在交换机上做适当配置来实现这一目标。
本实验以一台S2126G交换机为例，交换机名为SwitchA。
一台PC机通过串口（Com）连接到交换机的控制（Console）端口，通过网卡(NIC)连接到交换机的fastethernet 0/1端口。
假设该PC机的IP地址为192.168.0.137 ，网络掩码为255.255.255.0 ，MAC地址为00-E0-98-23-95-26，为了验证实验的效果，另准备一台PC机，其IP地址设为192.168.0.150 ，网络掩码为255.255.255.0 。
【实现功能】通过在交换机上设置端口安全性来实现对网络访问的控制。
【实验拓扑】F0/1ConsoleNIC ComPC【实验设备】S2126G（1台）【实验步骤】第一步：在交换机上配置管理接口IP地址SwitchA(config)# interface vlan 1 ！进入交换机管理接口配置模式SwitchA(config-if)# ip address 192.168.0.138 255.255.255.0 ！配置交换机管理接口IP地址SwitchA(config-if))# no shutdown ！开启交换机管理接口验证测试：验证交换机管理IP地址已经配置和开启，PC机与交换机有网络连通性SwitchA#show ip interface ！验证交换机管理IP地址已经配置，管理接口已开启Interface : VL1Description : Vlan 1OperStatus : upManagementStatus : EnabledPrimary Internet address: 192.168.0.138/24Broadcast address : 255.255.255.255PhysAddress : 00d0.f8ef.9d08SwitchA#ping 192.168.0.137 ！验证交换机与PC机具有网络连通性Sending 5, 100-byte ICMP Echos to 192.168.0.137,timeout is 2000 milliseconds.Success rate is 100 percent (5/5)Minimum = 1ms Maximum = 3ms, Average = 1ms第二步：打开交换机上fastethernet 0/1接口的端口安全功能SwitchA(config)# interface fastethernet 0/1SwitchA(config-if)#switchport mode access ！配置fastethernet 0/1接口为access 模式SwitchA(config-if)#switchport port-security ！在fastethernet 0/1接口上打开端口安全功能验证测试：验证已开启fastethernet 0/1接口的端口安全功能SwitchA#show port-security interface fastethernet 0/1Interface : Fa0/1Port Security : EnabledPort status : upViolation mode : ProtectMaximum MAC Addresses : 128Total MAC Addresses : 0Configured MAC Addresses : 0Aging time : 0 minsSecure static address aging : Disabled第三步：配置安全端口上的安全地址(可选)SwitchA(config)# interface fastethernet 0/1SwitchA(config-if)# switchport port-security mac-address 00e0.9823.9526 ip-address 192.168.0.137! 手工配置接口上的安全地址验证测试：验证已配置了安全地址SwitchA#show port-security addresslan Mac Address IP Address Type Port Remaining Age(mins)---- --------------- --------------- ---------- -------- ------------------- 1 00e0.9823.9526 192.168.0.137 Configured Fa0/1第四步：验证这台PC机可以通过fastethernet 0/1端口访问交换机，而其它计算机不能通过fastethernet 0/1端口访问该交换机C:\>ping 192.168.0.138 ! 验证这台PC机可以通过fastethernet 0/1端口访问交换机现在拔下网线，将另一台计算机连接到交换机的fastethernet 0/1端口上C:\>ping 192.168.0.138 ! 验证这台PC机不能通过fastethernet 0/1端口访问交换机【注意事项】●安全地址设置是可选的；●如果交换机端口所连接的计算机网卡或IP地址发生改变，则必须在交换机上做相应的改变。
交换机的端口安全
交换机的端⼝安全交换机最常⽤的对端⼝安全的理解就是可根据MAC地址来做对⽹络流量的控制和管理，⽐如MAC地址与具体的端⼝绑定，限制具体端⼝通过的MAC地址的数量，或者在具体的端⼝不允许某些MAC地址的帧流量通过。
稍微引申下端⼝安全，就是可以根据802.1X来控制⽹络的访问流量。
⼀、MAC地址与端⼝绑定和根据MAC地址允许流量的配置1.MAC地址与端⼝绑定当发现主机的MAC地址与交换机上指定的MAC地址不同时，交换机相应的端⼝将down 掉。
当给端⼝指定MAC地址时，端⼝模式必须为access或者Trunk状态。
1.3550-1#conf t2.3550-1(config)#int f0/13.3550-1(config-if)#switchport mode access /指定端⼝模式。
4.3550-1(config-if)#switchport port-security mac-address 00-90-F5-10-79-C1 /配置MAC地址。
5.3550-1(config-if)#switchport port-security maximum 1 /限制此端⼝允许通过的MAC地址数为1。
6.3550-1(config-if)#switchport port-security violation shutdown /当发现与上述配置不符时，端⼝down掉。
2.通过MAC地址来限制端⼝流量此配置允许⼀TRUNK⼝最多通过100个MAC地址，超过100时，但来⾃新的主机的数据帧将丢失。
1.3550-1#conf t2.3550-1(config)#int f0/13.3550-1(config-if)#switchport trunk encapsulation dot1q4.3550-1(config-if)#switchport mode trunk /配置端⼝模式为TRUNK。
5.3550-1(config-if)#switchport port-security maximum 100 /允许此端⼝通过的最⼤MAC地址数⽬为100。
交换机的流量控制和端口安全
交换机的流量控制和端口安全
(2009-10-16 )
四大traffic control:
∙
storm-control ——用于限制广播/组播/单播流量不超过门
限 只有storm-control 不是switchport 语句
∙ switch protect,—— 用于接口隔离，配protect 的接口互相隔离 ∙ switch block ——用于block unknown unicast/multicast 包 ∙ switch port-security —— 只允许某个MAC 地址的包
∙
protected port 和另一个protected port 肯定隔离
∙ 常用于接入服务：要求流量只被uplink
转出，不转发到SW 其他端口，即端口间互相隔离,只和上层连接
swichport security配置经验
∙ switchport mode access
配置switchport port-security 前，先显式配置switchport mode access 否则提示错误
∙因为是switchport指令，所以不能应用在三层口如int vlan 20∙配前一定要先shutdown接口, 否则端口会报告地址重复。
华为交换机端口安全详解--端口隔离、环路检测与端口安全
华为交换机端口安全详解--端口隔离、环路检测与端口安全一、端口隔离--port-isolate组网需求如图1所示，要求PC1与PC2之间不能互相访问，PC1与PC3之间可以互相访问，PC2与PC3之间可以互相访问。
配置端口隔离功能# 配置端口隔离模式为二层隔离三层互通。
<Quidway> system-view[Quidway] port-isolate mode l2# 配置Ethernet0/0/1和Ethernet0/0/2的端口隔离功能。
<Quidway> system-view[Quidway] interface ethernet 0/0/1[Quidway-Ethernet0/0/1] port-isolate enable group 1[Quidway-Ethernet0/0/1] quit[Quidway] interface ethernet 0/0/2[Quidway-Ethernet0/0/2] port-isolate enable group 1[Quidway-Ethernet0/0/2] quitethernet 0/0/3 无需加入端口隔离组，处于隔离组的各个端口间不能通信查看当前配置disp cur#sysname Quidway#interface Ethernet0/0/1port-isolate enable group 1#interface Ethernet0/0/2port-isolate enable group 1#interface Ethernet0/0/3#return验证配置结果：PC1和PC2不能互相ping通，PC1和PC3可以互相ping通，PC2和PC3可以互相ping通。
实现了需求。
二、端口防环--port-security适用与华为交换机，防止下级环路，自动shutdown下级有环路的端口。
<Huawei>system view#loopback-detect enable 全局模式下，启用环路检测功能# interface GigabitEthernet0/0/1loopback-detect action shutdown 如果下级有环路，shutdown本端口# interface GigabitEthernet0/0/2loopback-detect action shutdown# interface GigabitEthernet0/0/3loopback-detect action shutdown#……那如何检测与识别环路并定位呢？详见这个：https:///view/1599b6a22cc58bd63086bd5d.html三、端口安全--port-security在网络中MAC地址是设备中不变的物理地址，控制MAC地址接入就控制了交换机的端口接入，所以端口安全也是对MAC的的安全。
交换机端口利用率的安全值
交换机端口利用率的安全值
交换机端口利用率的正常范围在70%~80%，新建网络达到60%时，可以考虑使用更高级的设备或增加备份等。
如果端口利用率达到80%~90%，网络通常仍能正常运行，但长时间处于高负荷状态可能导致设备出现误码等问题，影响稳定性。
以上仅供参考，端口利用率的安全值会根据交换机的品牌和型号而有所差异。
因此，对于交换机的监控和安全值的设定，最好参照生产厂商的文档或者咨询专业技术人员的建议。
交换机端口利用率的安全值指的是在交换机端口正常工作时，其带宽的使用率应保持在一定的范围内，以确保网络正常运行和避免潜在的风险。
一般来说，交换机端口利用率的正常范围在70%~80%，如果超出这个范围，可能会导致网络性能下降或出现其他问题。
如果交换机端口利用率过高，可能会导致网络拥堵和数据传输延迟，甚至可能出现丢包现象。
这不仅会影响用户的网络体验，还可能对网络设备的正常运行造成影响。
因此，需要监控交换机端口的利用率，并采取相应的措施来确保网络的稳定性和可靠性。
为了确保交换机端口利用率的安全，可以采取以下措施：
1.合理规划网络结构，避免网络瓶颈的出现。
2.合理配置交换机端口的速度和双工模式，以匹配网络的实际需求。
3.定期检查网络设备的性能指标，及时发现和解决潜在的问题。
4.实施流量控制和限速等策略，避免网络拥堵和异常流量的产生。
5.备份关键网络设备，确保在设备故障时可以快速恢复网络的正常运行。
总之，合理规划和配置交换机端口，以及采取相应的措施来监控和管理网络设备的性能指标，是确保网络稳定性和可靠性的关键。
交换机端口隔离及端口安全
实验二 交换机端口隔离及端口安全背景描述：假设你所用的交换机是宽带小区城域网中的1台楼道交换机，住户PC1连接在交换机的0/1口，住户PC2连接在交换机的0/2口。
住户不希望他们之间能够相互访问，现要实现各家各户的端口隔离。
一、:实验名称:交换机端口隔离二、实验目的:1. 熟练掌握网络互联设备-交换机的基本配置方法2. 理解和掌握Port Vlan 的配置方法三、实验设备：每一实验小组提供如下实验设备1、 实验台设备：计算机两台PC1和PC2（或者PC4和PC5）2、 实验机柜设备： S2126(或者S3550)交换机一台3、 实验工具及附件：网线测试仪一台 跳线若干四、实验原理及要求：1、Vlan(virual laocal area network,虚拟局域网)，是指在一个物理网段内，进行逻辑的划分，划分成若干个虚拟局域网。
其最大的特性是不受物理位置的限制，可以进行灵活的划分。
VLAN 具备一个物理网段所具备的特性。
相同的VLAN 内的主机可以相互直接访问，不同的VLAN 间的主机之间互相访问必须经由路由设备进行转发，广播包只可以在本VLAN 内进行传播，不能传输到其他VLAN 中。
2、PORT VLAN 是实现VLAN 的方式之一，PORT VLAN 是利用交换机的端口进行VLAN 的划分，一个普通端口只能属于一个VLAN 。
五、实验注意事项及要求：1、 实验中严禁在设备端口上随意插拔线缆，如果确实需要应向老师说明征求许可。
2、 以电子文档形式提交实验报告。
3、 本次实验结果保留：是 √ 否4、 将交换机的配置文档、验证计算机的TCP/IP 配置信息保存。
5、 将交换机的配置信息以图片的形式保存到实验报告中。
6、 六、实验用拓扑图注意：实验时按照拓扑图进行网络的连接，注意主机和交换机连接的端口七、实验具体步骤及实验结果记录：1、 实现两台主机的互联，确保在未划分VLAN 前两台PC 是可以通讯的（即F0/1和F0/2间是可以通讯的）。
思科交换机安全配置(包括AAA、端口安全、ARP安全、DHCP侦听、日志审计流量限制)
思科交换机安全配置(包括A A A、端口安全、A R P安全、D H C P侦听、日志审计流量限制)-标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII网络拓扑图如下：根据图示连接设备。
在本次试验中，具体端口情况如上图数字标出。
核心交换机（core ）设置为s1或者SW1，汇聚层交换机（access）设置为s2或者SW2。
IP 地址分配：Router：e0： 192.168.1.1Core：f0/1: 192.168.1.2Svi接口：Core vlan10: 172.16.10.254Vlan20: 172.16.20.254Vlan30: 172.16.30.254Access vlan10: 172.16.10.253Vlan20: 172.16.20.253Vlan30: 172.16.30.253服务器IP地址：192.168.30.1Office区域网段地址：PC1：192.168.10.1PC2：192.168.10.2路由器清空配置命令：enerase startup-configReload交换机清空配置命令：enerase startup-configdelete vlan.datReload加速命令：enconf tno ip domain lookupline con 0exec-timeout 0 0logging synhostname一、OFFICE 区域地址静态分配，防止 OFFICE 网络发生 ARP 攻击，不允许OFFICE 网段 PC 互访；STUDENTS 区域主机输入正确的学号和密码后接入网络，自动获取地址，阻止STUDENTS网段地址发生ARP攻击；1、基本配置SW1的配置：SW1(config)#vtp domain cisco //SW1配置vtp，模式为server，SW2模式为clientSW1(config)#vtp password sovandSW1(config)#vtp mode serverSW1(config)#vlan 10SW1(config)#int range f0/3,f0/4 //链路捆绑SW1(config-if-range)#Channel-protocol pagpSW1(config-if-range)#Channel-group 10 mode onSW1(config)#int port-channel 10 //链路设置为trunk模式，封装802.1q协议，三层交换机默认没有封装该协议SW1(config-if)#switchport trunk encapsulation dot1qSW1(config-if)#switchport mode trunkSW2配置：SW2(config)#vtp domain ciscoSW2(config)#vtp password sovandSW2(config)#vtp mode clientSW2(config)#int range f0/3,f0/4SW2(config-if-range)#Channel-protocol pagpSW2(config-if-range)#Channel-group 10 mode onCreating a port-channel interface Port-channel 10SW2(config)#int port-channel 10SW2(config-if)#switchport trunk encapsulation dot1qSW2(config-if)#switchport mode trunkSW2(config)#int f0/1 //把f0/1,f0/2划入vlan10SW2(config-if)#switchport mode accessSW2(config-if)#switchport access vlan 10SW2(config-if)#int f0/2SW2(config-if)#switchport mode accessSW2(config-if)#switchport access vlan 102、vlan aclOffice区域禁止PC机互访：使用show int e0/0命令查看mac地址SW2(config)#mac access-list extended macaclSW2(config-ext-macl)#permit host 0007.8562.9de0 host 0007.8562.9c20 //要禁止双向通信SW2(config-ext-macl)#permit host 0007.8562.9c20 host 0007.8562.9de0SW2(config)#vlan access-map vmap 10 //禁止pc间的通信SW2(config-access-map)#match mac add macaclSW2(config-access-map)#action dropSW2(config)#vlan access-map vmap 20 //对其他数据放行，不然pc机无法ping 通svi口、网关SW2(config-access-map)#action forwardSW2(config)#vlan filter vmap vlan-list 10未使用VLAN ACL时pc1可以ping通pc2，如下图：使用VLAN ACL时pc1可以无法ping通pc2，如下图：3、Office区域静态配置ip地址时采用的ARP防护：配置如下：SW2(config)#ip arp inspection vlan 10SW2(config)#arp access-list arplistSW2(config-arp-nacl)#permit ip host 192.168.10.1 mac host 0007.8562.9de0 //ip地址与mac地址对应表SW2(config-arp-nacl)#permit ip host 192.168.10.2 mac host 0007.8562.9c20SW2(config-arp-nacl)#ip arp inspection filter arplist vlan 10SW2(config)#int port-channel 10SW2(config-if)#ip arp inspection trust注意：配置静态arp防护（用户主机静态配置地址，不是通过DHCP获取地址），需要新建ip与mac映射表，不然pc1无法ping通svi口4、OSPF与DHCP全网起OSPF协议，使pc1可以ping通路由器。
交换机端口安全配置
交换机端口安全配置注意事项
交换机端口安全功能只能在ACCESS接口进行配置
交换机最大连接数限制取值范围是1接数限制默认的处理方式是protect。
演讲完毕，感谢观看
单击此处添加正文，文字是您思想的提炼，为了演示发布的良好效果，请言简意赅地阐述您的观点。
汇报人姓名
S2126（1台）、直连线（1条）、PC(1台)
交换机端口安全配置
添加标题
添加标题
添加标题
贰
壹
叁
技术原理
交换机端口安全配置
配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： Protect 当安全地址个数满后，安全端口将丢弃未知名地址的包 Restrict 当违例产生时，将发送一个Trap通知。 Shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态恢复过来。
销售工作通用科技风格模板
单击添加副标题
实验二：交换机端口安全功能配置
实验目的
交换机端口安全功能配置
理解什么是交换机的端口安全性； 掌握交换机的端口安全功能，控制用户的安全接入。
交换机端口安全配置
你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G上。
交换机端口安全配置
【实验内容】
交换机端口安全防护与配置方法技巧
交换机端口安全防护与配置方法技巧交换机的主要功能包括物理编址、网络拓扑结构、错误校验、帧序列以及流控。
交换机还具备了一些新的功能，如对VLAN虚拟局域网的支持、对链路汇聚的支持，甚至有的还具有防火墙的功能。
今天我们来介绍一下交换机端口安全的配置内容，主要防止公司内部的网络攻击和破坏行为，详细的教程，请看下文介绍，需要的朋友可以参考下方法步骤1、配置交换机端口的最大连接数限制。
Switch#configure terminalSwitchconfig#interface range fastethernet 0/3 进行0模块第3端口的配置模式 Switchconfig-if#switchport port-security 开启交换机的端口安全功能Switchconfig-if#switchport port-secruity maximum 1 配置端口的最大连接数为1Switchconfig-if#switchport port-secruity violation shutdown 配置安全违例的处理方式为shutdown2、验证测试：查看交换机的端口安全配置。
Switch#show port-security3、配置交换机端口的地址绑定Switch#configure terminalSwitchconfig#interface f astethernet 0/3Switchconfig-if#switchport port-securitySwitchconfig-if#switchport port-security mac-address 00 06.1bde.13b4 ip-address 172.16.1.55 配置IP 地址和MAC 地址的绑定4、验证测试：查看地址安全绑定配置。
Switch#show port-security address5、查看主机的IP 和MAC 地址信息。
配置交换机端口安全-静态MAC地址绑定
配置交换机端⼝安全-静态MAC地址绑定要求:1. 配置SW1上的e0/0这个接⼝，只允许MAC地址为11.1111的设备连接预配置：SW1:enconf thostname SW1int e0/0sw mo acsw ac vlan 1switchport port-securityswitchport port-security maximum 1switchport port-security mac-address 11.1111Exit配置结束后，在SW1上使⽤show port-security查看接⼝的安全配置sw1#show port-securitySecure Port MaxSecureAddr CurrentAddr SecurityViolation Security Action(Count) (Count) (Count)---------------------------------------------------------------------------Et0/0 1 1 55 Shutdown---------------------------------------------------------------------------Total Addresses in System (excluding one mac per port) : 0Max Addresses limit in System (excluding one mac per port) : 4096sw1#使⽤show port-security int e0/0查看接⼝安全信息配置SW1#show port-security int e0/0Port Security : EnabledPort Status : Secure-upViolation Mode : ShutdownAging Time : 0 minsAging Type : AbsoluteSecureStatic Address Aging : DisabledMaximum MAC Addresses : 1Total MAC Addresses : 1Configured MAC Addresses : 1Sticky MAC Addresses : 0Last Source Address:Vlan : 0000.0000.0000:0Security Violation Count : 0使⽤show port-security address能看到什么？sw1#show port-security addressSecure Mac Address Table-----------------------------------------------------------------------------Vlan Mac Address Type Ports Remaining Age (mins)---- ----------- ---- ----- -------------1 11.1111 SecureConfigured Et0/0 ------------------------------------------------------------------------------Total Addresses in System (excluding one mac per port) : 0Max Addresses limit in System (excluding one mac per port) : 4096在SW1上打开debug port-security现在配置R1的e0/0接⼝，R2的e0/0接⼝：R1:enconf thostname R1int e0/0ip add 192.168.0.1 255.255.255.0no shExitR2:enconf thostname R2int e0/0ip add 192.168.0.2 255.255.255.0no shExit现在SW1上debug会显⽰什么信息？sw1#debug port-securityAll Port Security debugging is onsw1#*Jan 23 09:43:56.004: PSECURE: unix_psecure_input: swidb = Ethernet0/0 mac_addr = 00.0200 vlanid = 1*J a n 23 09:43:56.004: PSECURE: Violation/duplicate detected u p o n receiving 00.0200 o n v l a n 1: port_num_addrs 1 port_max_addrs 1 vlan_addr_ct 1: vlan_addr_max 1 total_addrs 0: max_total_addrs 4096*Jan 23 09:43:56.004: PSECURE: psecure_add_addr_check: Security violation occurred, bring down the interface*Jan 23 09:43:56.004: %PM-4-ERR_DISABLE: psecure-violation error detected on Et0/0, putting Et0/0 in err-disable state*Jan 23 09:43:56.004: PSECURE: psecure_vp_fwdchange invoked*Jan 23 09:43:56.004: PSECURE: psecure_vp_linkdown port Et0/0, vlan 1, oper mode access, sb mode access*Jan 23 09:43:56.004: PSECURE: Clearing HA table for 1*Jan 23 09:43:56.004: PSECURE: psecure_clear_ha_table: called*Jan 23 09:43:56.004: PSECURE: psecure_clear_ha_table: delete 11.1111 vlan 1*Jan 23 09:43:56.004: PSECURE:psecure_platform_del_mac_addrs: unimplemented function!*Jan 23 09:43:56.004: PSECURE: psecure_linkchange: Et0/0 hwidb=0xACD8C2E0*Jan 23 09:43:56.004: PSECURE: Link is going down*Jan 23 09:43:56.004: PSECURE: psecure_linkdown_init: Et0/0 hwidb = 0xACD8C2E0*Jan 23 09:43:56.004: PSECURE: psecure_deactivate_port_security: Deactivating port-security feature*Jan 23 09:43:56.004: PSECURE: port_deactivate: port status is 0*Jan 23 09:43:56.004: PSECURE: psecure_clear_ha_table: called*J a n 2 3 09:43:56.004: %PORT_SECURITY-2-PSECURE_VIOLATION: Se cu r ity violation occurred, c a u s e d b y M A C address 00.0200 on port Ethernet0/0.sw1#*Jan 23 09:43:56.004: PSECURE: Security violation, TrapCount:1*Jan 23 09:43:57.009: %LINEPROTO-5-UPDOWN: Line protocol on Interface Ethernet0/0, changed state to downsw1#*Jan 23 09:43:58.004: %LINK-3-UPDOWN: Interface Ethernet0/0, changed state to downsw1#现在SW1上使⽤show int e0/0，这个接⼝是什么状态？sw1#show int e0/0Ethernet0/0 is down, line protocol is down (err-disabled)Hardware is AmdP2, address is 00.0100 (bia 00.0100)MTU 1500 bytes, BW 10000 Kbit/sec, DLY 1000 usec,reliability 255/255, txload 1/255, rxload 1/255Encapsulation ARPA, loopback not setKeepalive set (10 sec)Auto-duplex, Auto-speed, media type is unknowninput flow-control is off, output flow-control is unsupportedARP type: ARPA, ARP Timeout 04:00:00Last input 00:00:03, output 00:03:47, output hang neverLast clearing of "show interface" counters neverInput queue: 0/2000/0/0 (size/max/drops/flushes); Total output drops: 0Queueing strategy: fifoOutput queue: 0/0 (size/max)5 minute input rate 0 bits/sec, 0 packets/sec5 minute output rate 0 bits/sec, 0 packets/sec60 packets input, 10766 bytes, 0 no bufferReceived 36 broadcasts (0 multicasts)0 runts, 0 giants, 0 throttles0 input errors, 0 CRC, 0 frame, 0 overrun, 0 ignored0 input packets with dribble condition detected259 packets output, 19906 bytes, 0 underruns0 output errors, 0 collisions, 0 interface resets0 unknown protocol drops0 babbles, 0 late collision, 0 deferred0 lost carrier, 0 no carrier0 output buffer failures, 0 output buffers swapped outsw1#现在R1把MAC地址修改成11.1111能接⼊到交换机上吗？（把SW1的e0/0恢复）Conf tint e0/0mac-address 11.1111现在R1能Ping通R2吗？sw1(config)#int e0/0sw1(config-if)#shsw1(config-if)#no shsw1(config-if)#sw1#show ip int bInterface IP-Address OK? Method Status ProtocolEthernet0/0 unassigned YES unset up upEthernet0/1 unassigned YES unset up upEthernet0/2 unassigned YES unset up upEthernet0/3 unassigned YES unset up upEthernet1/0 unassigned YES unset up up Ethernet1/1 unassigned YES unset up up Ethernet1/2 unassigned YES unset up up Ethernet1/3 unassigned YES unset up up Serial2/0 unassigned YES unset administratively down down Serial2/1 unassigned YES unset administratively down down Serial2/2 unassigned YES unset administratively down down Serial2/3 unassigned YES unset administratively down down Serial3/0 unassigned YES unset administratively down down Serial3/1 unassigned YES unset administratively down down Serial3/2 unassigned YES unset administratively down down Serial3/3 unassigned YES unset administratively down down sw1#^ZR1#ping 192.168.0.2Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 192.168.0.2, timeout is 2 seconds:Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/4 msR1#。
交换机端口保护机制
交换机端口保护机制交换机端口保护机制是网络中非常重要的一环，它可以帮助网络管理员保护交换机端口免受潜在的网络攻击和滥用。
在本文中，将探讨交换机端口保护机制的基本原理，不同的端口保护技术，以及如何配置和优化这些保护机制。
交换机端口保护机制的基本原理是通过限制交换机上每个端口的交通流量来保护网络安全。
这些保护机制可以防止由于设备故障、恶意软件或非法操作而导致的网络拥塞、数据泄漏或其他安全问题。
常见的交换机端口保护机制包括端口安全、端口瓶颈检测和入侵检测。
端口安全是最常见和最基本的交换机端口保护机制之一。
它通过限制交换机上每个端口的MAC地址数量、VLAN数量或IP地址数量来保护网络安全。
交换机通常会有一个默认的端口安全阈值，当这个阈值被超过时，交换机将会采取措施，如关闭该端口或发送警报消息。
端口安全可以防止潜在的网络攻击，如ARP欺骗和MAC泛洪。
端口瓶颈检测是另一种常见的交换机端口保护机制。
它通过监测交换机上每个端口的交通流量，以便检测到潜在的网络瓶颈。
当交换机上的某个端口的流量达到设定的阈值时，交换机可以采取相应的措施，如关闭该端口或重新路由该流量。
端口瓶颈检测可以帮助网络管理员实时监测交换机的负载情况，以便及时调整网络配置和优化网络性能。
入侵检测是交换机端口保护机制的另一项重要功能。
它可以通过扫描和监测网络流量中的异常行为来检测潜在的入侵或攻击。
这些异常行为可能包括网络扫描、未经授权的访问尝试、数据包嗅探和端口扫描等。
当交换机检测到这些异常行为时，它可以发送警报并采取相应的措施，如关闭相应的端口或隔离有问题的设备。
除了这些基本的交换机端口保护机制之外，还有一些其他的技术和配置选项可以增强网络的安全性。
例如，网络管理员可以使用MAC地址过滤来限制允许访问交换机的设备。
他们还可以使用虚拟专用网络（VPN）来保护敏感数据的传输和访问。
此外，访问控制列表（ACL）可以用于限制通过交换机的特定端口的流量。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
5.1交换机端口安全-标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII
案例一交换机端口安全
【案例描述】
你是一个公司的网络管理员，公司要求对网络进行严格控制。
为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。
为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。
例如：某员工分配的IP地址是/24，主机MAC地址是00-06-1B-DE-13-B4.该主机连接在1台2126G上边。
【教学目标】
掌握交换机最大连接数及进行IP+MAC地址绑定技术。
【案例拓扑】
【案例实施】
步骤1 配置交换机的最大连接数限制
Switch#conf t
Switch(config)#interface range fastEthernet 0/1-23 ！进行一组端口的配置模式
Switch(config-if-range)#switchport port-security ！开启交换机的端口安全功能
Switch(config-if-range)#switchport port-security maximum 1
！配置端口的最大连接数为1
Switch(config-if-range)#switchport port-security violation shutdown ！配置安全违例的处理方式为 shutdown
验证测试：查看交换机的端口安全配置
Switch#SHow port-security
Secure Port MaxSecureAddr(count) CurrentAddr(count) Security Action
------------ -------------------- ------------------ ----------------
Fa0/1 1 0 Shutdown
Fa0/2 1 0 Shutdown
Fa0/3 1 0 Shutdown
Fa0/4 1 0 Shutdown
Fa0/5 1 0 Shutdown
Fa0/6 1 0 Shutdown
Fa0/7 1 1 Shutdown
Fa0/8 1 0 Shutdown
Fa0/9 1 1 Shutdown
Fa0/10 1 0 Shutdown
Fa0/11 1 0 Shutdown
Fa0/12 1 1 Shutdown
Fa0/13 1 1 Shutdown
Fa0/14 1 0 Shutdown
Fa0/15 1 1 Shutdown
Fa0/16 1 0 Shutdown
Fa0/17 1 0 Shutdown
Fa0/18 1 0 Shutdown
Fa0/19 1 0 Shutdown
Fa0/20 1 1 Shutdown
Fa0/21 1 0 Shutdown
Fa0/22 1 1 Shutdown
Fa0/23 1 0 Shutdown
步骤2 配置交换机端口的地址绑定
1. 查看主机的IP和MAC地址信息
在主机上打开cmd命令提示窗口，执行ipconfig/all命令
C:\Documents and Settings\Administrator>ipconfig/all
Windows IP Configuration
Host Name . . . . . . . . . . . . : 25-56d2b5f93f1
Primary Dns Suffix . . . . . . . :
Node Type . . . . . . . . . . . . : Unknown
IP Routing Enabled. . . . . . . . : Yes
WINS Proxy Enabled. . . . . . . . : No
Ethernet adapter 本地连接:
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Realtek RTL8139/810x Family Fast Eth
ernet NIC
Physical Address. . . . . . . . . : 00-01-6C-B2-25-44
Dhcp Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . :
Subnet Mask . . . . . . . . . . . :
Default Gateway . . . . . . . . . :
DNS Servers . . . . . . . . . . . :
2. 配置交换机端口的绑定地址
Switch#configure terminal
Switch(config)#interface fastEthernet 0/3
Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security mac-address ip-address 3. 验证测试：查看地址安全绑定配置
Switch#show port-security address
Vlan Mac Address IP Address Type Port Remaining Age(mins)
---- --------------- --------------- ---------- -------- -------------------
1 Dynamic Fa0/1
2 -
1 Dynamic Fa0/13 -
1 2.255a Dynamic Fa0/15 -
1 Dynamic Fa0/9 -
1 Dynamic Fa0/7 -
1 Configured Fa0/3 -
1 Dynamic Fa0/2
2 -
1 Dynamic Fa0/20 -
注意事项
1. 交换机端口安全功能只能在ACCESS接口进行配置。
2. 交换机最大连接数限制取值范围是1-128，默认是128。
3. 交换机最大连接数限制默认的处理方式是protect。