交换机端口安全

【实训目的】

（1）掌握交换机端口安全功能，控制用户的安全接入

（2）掌握交换机的端口配置的连接数

（3）掌握如何针对PC1主机的接口进行IP+MAC地址绑定

【实训技术原理】

交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入；交换机端口安全主要有两种类型：一是限制交换机端口的最大连接数；二是针对交换机端口进行MAC地址、IP地址的绑定；

配置交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种：

（1）protect 当安全地址个数满后，安全端口将丢弃未知地址的包；

（2）restrict当违例产生时，将发送一个trap通知；

（3）shutdown当违例产生时，将关闭端口并发送一个trap通知；

当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来；

【实训背景描述】

你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.23/24，主机MAC地址是0090.210E.55A0。该主机连接在1台2126G上。

【实训设备】

S2126G（1台），PC（2台）、直连线（2条）

【实训内容】

（1）按照拓扑进行网络连接

（2）配置交换机端口最大连接数限制

（3）配置交换机端口地址绑定

【实训拓扑图】

（1）配置交换机端口的最大连接数限制

Switch#configure terminal

Switch(config)#interface range fastethernet 0/1-23 ！打开交换机

1-23端口

Switch(config-if-range)# switchport mode access

Switch(config-if-range)#switchport port-security ！开启1-23安全端口功能

Switch(config-if-range)#switchport port-security maximum 1 ！开启端口的最大连接数为1

Switch(config-if-range)#switchport port-security violation shutdown ！配置安全违例的处理方式shutdown

（2）验证测试：查看交换机的端口安全配置

Switch#show port-security

（3）配置交换机端口的地址绑定

① 查看主机的IP和MAC地址信息。在PC1主机上打开CMD命令提示符窗口，执行Ipcinfig/All命令，查看测试计算机PC1的IP和MAC地址信息:MAC 地址0090.210E.55A0

② 配置交换机端口的地址绑定

Switch#configure terminal

Switch(config)#interface fastethernet 0/3

Switch(config-if)#switchport port-security

Switch(config-if)#switchport

port-security mac-address 0090.210E.55A0 Ip-address 172.16.1.23 ！配置地址绑定

③ 查看地址绑定配置

Switch#show port-security address

【实训测试】

在特权模式开始，可以通过下面的命令，查看端口安全的信息，测试刚才为交换机配置的安全项目内容：

查看接口的端口安全配置信息：show port-security interface Fa0/1 查看安全地址信息: show port-security address

显示某个接口上的安全地址信息: Show port-security interface Fa0/1 address

显示所有安全端口的统计信息，包括最大安全地址数，当前安全地址数以及违例处理方式等: Show port-security

假设PC2的IP地址为172.16.1.24/24，现在PC1可以正常Ping通PC2；如果现在换成另外一台PC3接入交换机的Fa0/1端口，不仅Ping不通PC2，还会发现Fa0/1因为违例被Shutdown了。想再次开启Fa0/1端口，no shutdown 是不管用的，需要使用errdisable recovery恢复。

【实验问题】

（1）交换机端口安全功能有哪些？

（2）对交换机的端口配置最大连接数是多少？

（3）交换机端口安全功能只能在哪个接口进行配置？

（4）交换机最大连接数限制默认的处理方式是什么？

【实训注意事项】

（1）锐捷交换机安全功能只能在ACCESS接口进行配置；

（2）锐捷交换机最大连接数限制取值范围是1～128，默认是128；

（3）锐捷交换机最大连接数限制默认的处理方式是protect；

————————————————————————

华为配置省略。

帮定IP地址和MAC地址命令如下：

# 进入Ethernet1/0/1端口视图。

[SwitchA] interface Ethernet1/0/1

# 将Host A的MAC地址和IP地址绑定到Ethernet1/0/1端口。[SwitchA-Ethernet1/0/1] am user-bind mac-addr 0001-0002-0003

ip-addr10.12.1.1