交换机端口安全技术
华三交换机端口安全操作

1-1
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
第 1 章 端口安全配置
1.1.3 端口安全模式
对于端口安全模式的具体描述,请参见 表 1-1。
i
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
第 1 章 端口安全配置
ቤተ መጻሕፍቲ ባይዱ
第1章 端口安全配置
1.1 端口安全简介
1.1.1 概述
端口安全是一种基于 MAC 地址对网络接入进行控制的安全机制,是对已有的 802.1x 认证和 MAC 地址认证的扩充。这种机制通过检测数据帧中的源 MAC 地址来控制非 授权设备对网络的访问,通过检测数据帧中的目的 MAC 地址来控制对非授权设备 的访问。 端口安全的主要功能是通过定义各种端口安全模式,让设备学习到合法的源 MAC 地址,以达到相应的网络管理效果。启动了端口安全功能之后,当发现非法报文时, 系统将触发相应特性,并按照预先指定的方式进行处理,既方便用户的管理又提高 了系统的安全性。 非法报文包括: z 禁止 MAC 地址学习时,收到的源 MAC 地址为未知 MAC 的报文; z 端口学习到的 MAC 地址达到端口所允许的最大 MAC 地址数后,收到的源
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
目录
目录
第 1 章 端口安全配置 ..............................................................................................................1-1 1.1 端口安全简介 ..................................................................................................................... 1-1 1.1.1 概述 ......................................................................................................................... 1-1 1.1.2 端口安全的特性 ....................................................................................................... 1-1 1.1.3 端口安全模式........................................................................................................... 1-2 1.2 端口安全配置任务简介....................................................................................................... 1-4 1.3 使能端口安全功能 .............................................................................................................. 1-4 1.3.1 配置准备 .................................................................................................................. 1-4 1.3.2 使能端口安全功能.................................................................................................... 1-4 1.4 配置端口允许的最大安全MAC地址数 ................................................................................ 1-5 1.5 配置端口安全模式 .............................................................................................................. 1-6 1.5.1 配置autoLearn模式.................................................................................................. 1-6 1.5.2 配置userLoginWithOUI模式 .................................................................................... 1-7 1.5.3 配置其它模式........................................................................................................... 1-7 1.6 配置端口安全的特性 .......................................................................................................... 1-8 1.6.1 配置NeedToKnow特性 ............................................................................................ 1-8 1.6.2 配置入侵检测特性.................................................................................................... 1-8 1.6.3 配置Trap特性........................................................................................................... 1-9 1.7 配置安全MAC地址 ............................................................................................................. 1-9 1.7.1 配置准备 .................................................................................................................. 1-9 1.7.2 配置安全MAC地址................................................................................................. 1-10 1.8 配置当前端口不应用服务器下发的授权信息 .................................................................... 1-10 1.9 端口安全显示和维护 ........................................................................................................ 1-10 1.10 端口安全典型配置举例................................................................................................... 1-11 1.10.1 端口安全autoLearn模式配置举例 ........................................................................ 1-11 1.10.2 端口安全userLoginWithOUI模式配置举例........................................................... 1-13 1.10.3 端口安全macAddressElseUserLoginSecure模式配置举例 ................................. 1-18 1.11 常见配置错误举例 .......................................................................................................... 1-21 1.11.1 端口安全模式无法设置 ........................................................................................ 1-21 1.11.2 无法配置端口安全MAC地址 ................................................................................ 1-21 1.11.3 用户在线情况下无法更换端口安全模式............................................................... 1-22
第15章 交换机端口安全技术.ppt [兼容模式]
![第15章 交换机端口安全技术.ppt [兼容模式]](https://img.taocdn.com/s3/m/1b0dfcc55fbfc77da269b1e0.png)
目录
n 802.1X的基本原理和配置 n 端口隔离技术及其配置 n 端口绑定技术及其配置
端口隔离简介
Switch
Switch
Uplink-port
VLAN1
VLAN2
VLAN3
Port-isolate Group
l
端口隔离用于在VLAN内隔离以太网端口
802.1X技术简介
Internet
802.1X
802.11
l
802.1X协议起源于标准的无线局域网协议802.11。主要目的是 为了解决有线局域网用户的接入认证问题。
802.1X的体系结构
客户端
设备端
认证服务 器端
l l
本地认证
à
由设备端内置本地服务器对客户端进行认证
远程集中认证
[Switch] dot1x l
[Switch] dot1x interface interface-list l
[Switch] local-user user-name [Switch-luser-localuser] service-type lan-access [Switch-luser-localuser] password { cipher | simple } password
E1/0/1 E1/0/2 E1/0/3 E1/0/4
PCA
MAC:0001-0201-2123 IP:10.1.1.1/24
PCB
MAC:0001-0401-2126 IP:10.2.1.1/24
PCC
MAC:0002-0261-2562 IP:10.3.1.1/24
l
通过“MAC+IP+端口”绑定功能,可以实现设备对转发报文的 过滤控制,提高了安全性。
交换机端口安全portsecurity超级详解

交换机端口安全Port-Security超级详解交换安全交换机端口安全Port-Security超级详解一、Port-Security概述在部署园区网的时候,对于交换机,我们往往有如下几种特殊的需求:限制交换机每个端口下接入主机的数量MAC地址数量限定交换机端口下所连接的主机根据IP或MAC地址进行过滤当出现违例时间的时候能够检测到,并可采取惩罚措施上述需求,可通过交换机的Port-Security功能来实现:二、理解Port-Security安全地址:secure MAC address在接口上激活Port-Security后,该接口就具有了一定的安全功能,例如能够限制接口所连接的的最大MAC数量,从而限制接入的主机用户;或者限定接口所连接的特定MAC,从而实现接入用户的限制;那么要执行过滤或者限制动作,就需要有依据,这个依据就是安全地址– secure MAC address;安全地址表项可以通过让使用端口动态学习到的MACSecureDynamic,或者是手工在接口下进行配置SecureConfigured,以及sticy MAC addressSecureSticky 三种方式进行配置;当我们将接口允许的MAC地址数量设置为1并且为接口设置一个安全地址,那么这个接口将只为该MAC所属的PC服务,也就是源为该MAC的数据帧能够进入该接口;2.当以下情况发生时,激活惩罚violation:当一个激活了Port-Security的接口上,MAC地址数量已经达到了配置的最大安全地址数量,并且又收到了一个新的数据帧,而这个数据帧的源MAC并不在这些安全地址中,那么启动惩罚措施当在一个Port-Security接口上配置了某个安全地址,而这个安全地址的MAC又企图在同VLAN的另一个Port-Security接口上接入时,启动惩罚措施当设置了Port-Security接口的最大允许MAC的数量后,接口关联的安全地址表项可以通过如下方式获取:在接口下使用switchport port-security mac-address 来配置静态安全地址表项使用接口动态学习到的MAC来构成安全地址表项一部分静态配置,一部分动态学习当接口出现up/down,则所有动态学习的MAC安全地址表项将清空;而静态配置的安全地址表项依然保留;与Sticky MAC地址上面我们说了,通过接口动态学习的MAC地址构成的安全地址表项,在接口出现up/down后,将会丢失这些通过动态学习到的MAC构成的安全地址表项,但是所有的接口都用switchport port-security mac-address手工来配置,工作量又太大;因此这个sticky mac 地址,可以让我们将这些动态学习到的MAC变成“粘滞状态”,可以简单的理解为,我先动态的学,学到之后我再将你粘起来,形成一条”静态“ 实际上是SecureSticky的表项;在up/down现象出现后仍能保存;而在使用wr后,这些sticky安全地址将被写入start-up config,即使设备重启也不会被丢失;三、默认的Port-Security配置Port-Security 默认关闭默认最大允许的安全MAC地址数量 1惩罚模式 shutdown进入err-disable状态,同时发送一个SNMP trap四、Port-Security的部署注意事项配置步骤a 在接口上激活Port-SecurityPort-Security开启后,相关参数都有默认配置,需关注b 配置每个接口的安全地址Secure MAC Address可通过交换机动态学习、手工配置、以及stciky等方式创建安全地址c 配置Port-Security惩罚机制默认为shutdown,可选的还有protect、restrictd 可选配置安全地址老化时间2.关于被惩罚后进入err-disable的恢复:如果一个psec端口由于被惩罚进入了err-disable,可以使用如下方法来恢复接口的状态:使用全局配置命令:err-disable recovery psecure-violation手工将特定的端口shutdown再noshutdown3.清除接口上动态学习到的安全地址表项使用clear port-security dynamic命令,将清除所有port-security接口上通过动态学习到的安全地址表项使用clear port-security sticky 命令,将清除所有sticky安全地址表项使用clear port-security configured命令,将清除所有手工配置的安全地址表项使用clear port-security all命令,将清除所有安全地址表项使用show port-security address来查看每个port-security接口下的安全地址表项4.关于sticky安全地址Sticky安全地址,是允许我们将Port-Security接口通过动态学习到的MAC地址变成“粘滞”的安全地址,从而不会由于接口的up/down丢失;然而如果我们希望在设备重启之后,这个sticky的安全地址表项仍然存在,那么就需要wr一下;将配置写入start-up config 文件;Sticky安全地址也是一个简化我们管理员操作的一个很好的工具,毕竟现在不用再一条条的手工去绑了;支持private vlan支持 tunnel接口不支持SPAN的目的接口不支持etherchannel的port-channel接口9.在CISCO IOS 33SXH 以及后续的版本,我们可以将port-security及部署在同一个接口上;而在此之前的软件版本:如果你试图在一个port-security接口上激活则会报错,并且功能无法开启如果你试图在一个接口上激活port-security则也会报错,并且port-security特性无法开启支持nonegotiating trunk 接口Port-Security 支持在如下配置的trunk上激活switchportswitchport trunk encapsulationswitchport mode truknswitchport nonegotiateIf you reconfigure a secure access port as a trunk, port security converts all the sticky and static secure addresses on that port that were dynamicallylearned in the access VLAN to sticky or static secure addresses on the native VLAN of the trunk. Port security removes all secure addresses on the voice VLAN of the access port.If you reconfigure a secure trunk as an access port, port security converts all sticky and static addresses learned on the native VLAN to addresses learned on the access VLAN of the access port. Port security removes all addresses learned on VLANs other than the native VLAN.links和Port-Security互不兼容五、Port-security的配置1.激活Port-Security在access接口上Switchconfig interface fast0/1Switchconfig-if switchportSwitchconfig-if switchport mode accessSwitchconfig-if switchport access vlan 10Switchconfig-if switchport port-security接口的Port-Security特性一旦激活后,默认的最大安全地址个数为1,也就是说,在不进行手工配置安全地址的情况下,这个接口将使用其动态学习到的MAC作为安全地址,并且,这个接口相当于被该MAC所属的设备独占;而且默认的violation是shutdownSW1show port-security interface f0/1Port Security : EnabledPort Status : Secure-up 接口目前的状态是up的Violation Mode : Shutdown 违例后的惩罚措施,默认为shutdownAging Time : 0 minsAging Type : AbsoluteSecureStatic Address Aging : DisabledMaximum MAC Addresses : 1 最大安全地址个数,默认为1Total MAC Addresses : 0Configured MAC Addresses : 0 手工静态配置的安全MAC地址,这里没配Sticky MAC Addresses : 0 sticky的安全地址,这里没有Last Source Address:Vlan : 最近的一个安全地址+vlanSecurity Violation Count : 0 该接口历史上出现过的违例次数这个时候,如果另一台PC接入到这个端口上,那么该port-security接口将会收到一个新的、非安全地址表项中的MAC地址的数据帧,于是触发的违例动作,给接口将被err-disable掉;同时产生一个snmp trap消息,另外,接口下,Security Violation Count将会加12.激活Port-Security在trunk接口上3. Port-Security violation惩罚措施默认的violation是shutdown;如果是protect,那么惩罚就会温柔些,对于非法的数据帧例如数据帧的源MAC不在安全地址表项中的、且安全地址已经达到最大数,这些非法数据将仅仅被丢弃,合法数据照常转发,同时不会触发一个syslog消息,另外接口下的“Security Violation Count”也不会加1;而如果是restrict,那么非法数据被丢弃,同时触发一个syslog消息,再者,Security Violation Count加1,合法的数据照常转发;4. 配置Port Security Rate Limiter注意,在6509交换机,truncated switching模式下不支持该功能在交换机接口上开启Port-Security是会耗费资源的,Port-Security会检测每一个进入接口的数据帧,以判断流量是否合法,或者是否存在违例行为;当一个安全接口设置的violation为shutdown的时候,该接口在违例后触发惩罚机制,进入err-diasble状态,这样可以有效的方式有效的防止交换机由于处理违例事件导致交换机的CPU利用率过高;然而protect和restict的惩罚措施,则不会将端口关闭,端口依然可用,那么这就可能导致在违例事件发生的情况下交换机的CPU利用率飙高例如大量的非法数据涌入;因此当使用protect和restrict这两种违例惩罚措施事,可以通过Port-Secuirty rate limiter来防止CPU飙高;Switchconfig mls rate-limite layer2 port-security rate_in_pps burst_size关于rate_in_pps参数:范围是10- 1000000没有默认值值设置的越低,对CPU的保护程度就越高,这个值对惩罚措施发生前、后都生效,当然这个值也不能设置的过低,至少要保障合法流量被处理吧;一般低于1000就差不多;关于burst-size参数:范围是1-255默认是10,这个默认值一般就够用了;5. 配置Port-Security 最大允许的安全地址数量最大安全地址数量,不同的软件平台允许的上限值有所不同,但是默认都是1;在trunk口上,前面说了,也是可以激活port-security的,而在trunk口上配置最大安全地址数量,可以基于接口配置对所有VLAN生效,也可以基于VLAN进行配置;如下:switchport port-security maximum 1switchport port-security maximum 1 vlan 10,20,30 可以关联多个VLAN6. 在port-security接口上手工配置安全地址上述配置中,最大安全地址数设置为3,然后使用手工配置了一个安全地址,那么剩下2个,交换机可以通过动态学习的方式来构建安全地址;在trunk接口上手工配置安全地址,可关联vlan关键字;如果在trunk接口上手工配置安全地址,没有关联vlan关键字,那么该安全地址将被关联到trunk的native vlan上7. 在port-security接口上使用sticky MAC地址我们知道,构成安全地址表项的方式有好几种,其中一种是使用switchport port-security mac 来手工配置,但是这种方式耗时耗力,更需要去PC上抄MAC,工作成本比较高;而另一种构成安全地址的方式是让交换机使用动态学习到的MAC,然而这些安全地址在接口一旦up/down后,将丢失,更别说重启设备了;因此可以使用sticky mac的方式,这种方式激活后,交换机将动态学习到的MAC“粘起来”,具体的动作很简单,就是在动态学习到MAC例如一个后,如果我激活了sticiky MAC address,则在接口下自动产生一条命令:interface FastEthernet0/1switchport access vlan 10switchport mode accessswitchport port-securityswitchport port-security mac-address stickyswitchport port-security mac-address sticky 自动产生这样形成的安全地址表项是SecureSticky的,即使在接口翻动,也不会丢失;在者如果wr保存配置,命令写入,那么设备即使重启,安全地址也不会丢失;当在接口上激活了port-security mac-address sticky,那么:该接口上所有通过动态学习到的MAC,将被转成sticky mac address从而形成安全地址接口上的静态手工配置的安全地址不会被转成sticky mac address通过voice vlan动态学习到的安全地址不会被转成sticky mac address命令配置后,新学习到的MAC地址,也是sticky的当此时又敲入no port-secuirty mac-address sticiky ,则所有的sticky安全地址条目都变成动态的安全地址条目SecureDynamic8. 配置安全地址老化时间配置的命令比较简单:Switchconfig-if switchport port-security aging type {absolute | inactivity}配置老化时间的类型,如果选择absolute,也就是绝对时间,需要搭配aging time命令设定老化时间的具体值,命令一旦敲下去后,所有的通过动态学习的MAC构建的安全地址表项将开始以aging time倒计时;如果是inactivity关键字,则只在该动态安全地址表项不活跃的时候譬如主机离线了或者挂掉了才开始倒计时;Switchconfig-if switchport port-security aging time设定老化时间Switchconfig-if switchport port-security aging static使用前面两条命令,老化时间是不会影响那些使用静态手工配置的安全地址表项的,当然sticky表项也不会受影响,这些表项都是永不老化的,但是如果搭配上上面这条命令,则手工配置的安全地址表项也受限于老化时间了;不过对于sticky表项,则始终不会激活aging time,它是不会老化的;示例1:将安全地址老化时间设置为50min;针对动态学习到的MAC构成的安全地址有效50min是一个绝对时间,配置完成后开始倒计时,无论该MAC是否依然活跃,都始终进行倒计时示例2:针对动态学习到的MAC构成的安全地址有效,如果该MAC在50min内一直处于失效状态例如主机离线了,那么该安全地址在aging time超时后被清除示例3:注意,上述两种配置方式,对手工配置switchport port-security mac-address 的安全地址无效;也就是采用上述方法配置的静态安全地址表项永不超时;如果增加switchport port-security aging static命令,则手工静态配置的安全地址也的aging time也开始计时注意,对于sticky mac address,安全地址的老化时间无效。
实验六-1交换机端口安全实验

实验:确保交换机接入安全一、实验目的了解交换机端口安全的基本知识掌握如何配置交换机端口连接的最大安全地址数掌握如何配置交换机端口绑定指定的MAC地址二、实验要求将一台交换机做本地服务器提供DHCP服务在另一台交换机上做端口安全配置,配置802.1x查看有关端口安全地信息三、实验方法及手段1、两人一组分组实验,每组两台交换机。
2、通过实际设备互联,完成Cisco3550、Cisco3560交换机的基本配置操作。
Pc124是自动获取地址,pc3是静态地址。
上方的交换机为DHCP ,下边那个为Switch。
同学们自己更改设备名称。
四、实验内容及步骤Switch(config)#vlan 10Switch(config-if)#int range fa0/1-5Switch(config-if-range)#switchport access vlan 10Switch(config-if-range)#int fa0/1 //端口安全Switch(config-if)#switchport mode accessSwitch(config-if)#switchport port-securitySwitch(config-if)#switchport port-security maximum 1Switch(config-if)#switchport port-security mac-address 001b.01cd.143bSwitch(config-if)#switchport port-security mac-address stickySwitch(config-if)#switchport port-security violation shutdownSwitch(config-if)#endSwitch# show port-security //查看端口安全Switch# show port-security addSwitch#conf terSwitch(config)#aaa new-model //配置802.1xSwitch(config)#radius-server host 10.0.0.1 key ciscoSwitch(config)# aaa authentication dot1x default group radiusSwitch(config)#dot1x system-auth-controlSwitch(config)#int fa0/2Switch(config-if)dot1x port-control autoSwitch(config-if)# dot1x host-mode multi-hostSwitch(config-if)endSwitch#show dot1x all //检查Switch(config)#ip dhcp snooping //dhcp监听Switch(config)#ip dhcp snooping vlan 10Switch(config)#int fa0/4Switch(config-if)#ip dhcp snooping trustSwitch(config-if)#ip dhcp snooping limit rate 200Switch(config)#int fa0/1 //源IP地址防护的配置Switch(config-if)#ip verify source port-securitySwitch(config)#ip source binding mac-address vlan 10 192.168.1.10 interface fa0/3 注意mac-address是pc3的mac地址Switch(config-if)# endSwitch# show ip source binding //查看绑定Switch(config)#ip arp inspection vlan 10Switch(config)#int fa0/5Switch(config-if)#ip arp inspection trustSwitch(config-if)#ip arp inspection limit rate 100DHCP(config)#int vlan 10DHCP (config-if)#ip add 192.168.1.251 255.255.255.0 DHCP (config-if)#exitDHCP (config)#ip dhcp eDHCP (config)#ip dhcp excluded-address 192.168.1.10 DHCP (config)#ip dhcp pool vlan10DHCP (dhcp-config)#netDHCP (dhcp-config)#network 192.168.1.0 255.255.255.0 DHCP dhcp-config)#int fa0/1DHCP (config-if)#swDHCP (config-if)#switchport access vlan 10五、课堂作业1.完成pc3和switch的认证,保证能通。
82实验一:交换机端口聚合及端口安全配置

计算机网络工程实验
一、交换机端口聚合配置
技术原理
端口聚合(Aggregate-port)又称链路聚合,是指两台交
计 算 机 网 络 工 程
换机之间在物理上将多个端口连接起来,将多条链路聚 合成一条逻辑链路。从而增大链路带宽,解决交换网络 中因带宽引起的网络瓶颈问题。多条物理链路之间能够 相互冗余备份,其中任意一条链路断开,不会影响其他 链路的正常转发数据。 端口聚合遵循IEEE802.3ad协议的标准。
计算机网络工程实验
二、交换机端口安全配置
【背景描述】
你是一个公司的网络管理员,公司要求对网络进行严
计 算 机 网 络 工 程 【实验设备】
格控制。为了防止公司内部用户的IP地址冲突,防止 公司内部的网络攻击和破坏行为。为每一位员工分配 了固定的IP地址,并且限制只允许公司员工主机可以 使用网络,不得随意连接其他主机。例如:某员工分 配的IP地址是172.16.1.55/24,主机MAC地址是00-061B-DE-13-B4。该主机连接在1台2126G上。
计算机网络工程实验
二、交换机端口安全配置
注意事项 1. 交换机端口安全功能只能在ACCESS接口进行配 置 2. 交换机最大连接数限制取值范围是1~128,默认 是128. 3. 交换机最大连接数限制默认的处理方式是 protect。
计 算 机 网 络 工 程
计算机网络工程实验
思考题
1.用Cisco Packet Tracer配置交换机端口聚合
计算机网络工程实验
一、交换机端口聚合配置
【实验拓扑】
计 算 机 网 络 工 程
F0/23 F0/5 F0/24 NIC F0/23 F0/24 F0/5
交换机端口安全技术讲义

交换机端口安全技术讲义一、为什么需要端口安全技术?- 交换机是网络中非常重要的设备,端口是交换机连接其他设备的接口。
因此,保护交换机端口的安全对于整个网络的安全至关重要。
二、常见的端口安全技术1. MAC地址绑定- 通过将特定MAC地址与端口进行绑定,只有被绑定的设备才能使用该端口进行通信,其他设备将无法访问该端口。
2. 802.1X认证- 802.1X是一种端口认证协议,通过在交换机端口上实施认证服务,可以有效地防止未授权的设备接入网络。
只有经过认证的设备才能使用交换机端口。
3. 端口安全限制- 通过设置每个交换机端口允许连接的最大设备数量,可以防止未经授权的设备接入网络。
4. DHCP snooping- 通过检测和验证DHCP报文,防止恶意DHCP服务器对网络设备进行攻击或者误导。
5. 端口状态监控- 交换机可以监控端口的通信状态,一旦发现异常情况,可以及时做出处理,防止网络安全风险。
三、如何实施端口安全技术- 在交换机上配置相应的端口安全措施,包括MAC地址绑定、802.1X认证、端口安全限制、DHCP snooping等,并定期对端口进行监控和审计,及时发现并处理异常情况。
四、端口安全技术带来的好处- 通过实施端口安全技术,可以有效地防止未经授权的设备接入网络,保护网络的安全。
同时,也可以有效地减少网络故障和攻击的风险,保障网络的正常运行。
五、端口安全技术的应用场景端口安全技术广泛应用于企业、学校、政府机构以及各种组织和机构的网络中。
无论是小型局域网还是大型企业网络,都需要采取端口安全技术来保护网络的安全和稳定性。
特别是在一些对网络安全要求较高的领域,如金融、医疗、军事等,端口安全技术更是不可或缺的一部分。
六、端口安全技术的挑战与解决方案虽然端口安全技术在保护网络安全方面起到了重要作用,但也面临着一些挑战。
例如,管理和维护成本较高、配置复杂、容易受到攻击等。
为了解决这些问题,可以采取以下措施:1. 自动化管理工具:可以使用自动化管理工具来简化端口安全技术的配置和管理,减少人工操作的成本和错误。
安全技巧:提高交换机端口的安全性

来很大的安全隐患。如员工带来的电脑可能本身就带有病毒 , 从而使 得病毒通过企业内部 网络进行传播 或者非法复制企 业内部的资料等
等~ 二是 未 经 批 准 采 用集 线 器 等设 备 。 些 员 工 为 了增 加 网 络 终端 的 有
而缺陷就是配置的工作量会 比较大 , 在初期 的时候 . 需要为每个交换
地 址 不 同 而 造成 的 因 为在 交 换机 的 这个 端 口中 , 有一 个 限 制 条 件 。 只
在企 业 中 . 胁 交换 机 端 口的 行 为 比较 多 . 结 一下 有 如 下 情 形 : 威 总
一
有 特 定 的 l 址 才 可 以通 过 这 个 端 E连 入 到 网络 中 ?如 果 主 机 变 更 P地 l 了 . 需 要 让 其 允 许 连 接 这 个 端 口 的话 , 么 就 需 要 重 新 调 整 交 换 机 还 那 的 MAC地 址 设 置 这 种 手 段 的 好 处 就 是 可 以 控 制 , 有 授 权 的 主 机 只 才 能 够 连 接 到交 换 机 特 定 的端 E 中 .未 经授 权 的 用户 无 法 进 行 连 接 : l
量增加, 从而导致网络 性能的下降 在企业 网络 日常管理 中, 这也是经
常遇 到 的一 种 危 险 的 行为
所说的 , 要执 行这个限制的话 , 工作量会比较大 。 三是对可以接人的设备进行限制。出于客户端性能的考虑 , 我们 往往需要限制某个交换机端 口可 以连接的最 多的主机数量。 如我们可 以将这个参数设置为 1 那么就只允许 一台主机连接到交换机的端 口 . 中。如此的话 。 就可 以避免 用户私 自使用集线器或者交换机等设备来
机 的端 1进 行 配 置 。 如果 后 续 主 机 有 调 整 或 者 网 卡 有 更换 的话 ( 最 3 如
交换机端口安全功能配置

172.16.1.55
!配置IP地址与 MAC地址的绑定
○ 验证测试:查看交换机安全绑定配置 ○ switch#show port-security address
步骤2.配置交换机端口的地址绑定
交换机端口安全配置注意事项
交换机端口安 全功能只能在 ACCESS接口 进行配置
交换机最大连 接数限制取值 范围是1~128, 默认是128.
交换机最大连 接数限制默认 的处理方式是 protect。
Protect 当安全地址个数满后,安全端口将丢弃未 知名地址的包
Restrict 当违例产生时,将发送一个Trap通知。
Shutdown 当违例产生时,将关闭端口并发送一 个 Tr a p 通 知 。 ○ 当端口因违例而被关闭后,在全局配置模式下使 用命令errdisable recovery来将接口从错误状 态恢复过来。
【实验设备】
S2126(1台)、直连线(1条)、PC(1 台)
交换机端口安全配置
01
01
01
交换机端口安全功能, 是指针对交换机的端口 进行安全属性的配置, 从而控制用户的安全接 入。交换机端口安全主 要有两种类型:一是限 制交换机端口的最大连 接数,二是针对交换机 端口进行MAC地址、 IP地址的绑定。
限制交换机端口的最大 连接数可以控制交换机 端口下连的主机数,并 防止用户进行恶意ARP 欺骗。
交换机端口的地址绑定, 可以针对IP地址、 MAC地址、IP+MAC 进行灵活的绑定。可以 实现对用户进行严格的 控制。保证用户的安全 接入和防止常见的内网 的网络攻击。
技术原理
交换机端 口安全配 置
配置了交换机的端口安全功能后,当实际应用超出 配置的要求,将产生一个安全违例,产生安全违例 的处理方式有3种:
交换机的端口安全

交换机的端⼝安全交换机最常⽤的对端⼝安全的理解就是可根据MAC地址来做对⽹络流量的控制和管理,⽐如MAC地址与具体的端⼝绑定,限制具体端⼝通过的MAC地址的数量,或者在具体的端⼝不允许某些MAC地址的帧流量通过。
稍微引申下端⼝安全,就是可以根据802.1X来控制⽹络的访问流量。
⼀、MAC地址与端⼝绑定和根据MAC地址允许流量的配置1.MAC地址与端⼝绑定当发现主机的MAC地址与交换机上指定的MAC地址不同时,交换机相应的端⼝将down 掉。
当给端⼝指定MAC地址时,端⼝模式必须为access或者Trunk状态。
1.3550-1#conf t2.3550-1(config)#int f0/13.3550-1(config-if)#switchport mode access /指定端⼝模式。
4.3550-1(config-if)#switchport port-security mac-address 00-90-F5-10-79-C1 /配置MAC地址。
5.3550-1(config-if)#switchport port-security maximum 1 /限制此端⼝允许通过的MAC地址数为1。
6.3550-1(config-if)#switchport port-security violation shutdown /当发现与上述配置不符时,端⼝down掉。
2.通过MAC地址来限制端⼝流量此配置允许⼀TRUNK⼝最多通过100个MAC地址,超过100时,但来⾃新的主机的数据帧将丢失。
1.3550-1#conf t2.3550-1(config)#int f0/13.3550-1(config-if)#switchport trunk encapsulation dot1q4.3550-1(config-if)#switchport mode trunk /配置端⼝模式为TRUNK。
5.3550-1(config-if)#switchport port-security maximum 100 /允许此端⼝通过的最⼤MAC地址数⽬为100。
实验17 交换机端口安全

图 3 交换机端口绑定指定 mac 地址
五、背景描述 一是未经授权的用户主机随意连接到企业的网络中。 某公司员工从自己家里拿来一台电脑,可以在不经管理员同意的情况下,拔下某台主机的网线,插在
自己带来的电脑上。然后连入到企业的网路中。这会带来很大的安全隐患。如员工带来的电脑可能本身就 带有病毒。从而使得病毒通过企业内部网络进行传播。或者非法复制企业内部的资料等等。
三、实验内容 1.在交换机上配置端口安全,以及违例的处理方式。 2.两台交换机以交叉线相连,其中主交换机上连接一台 PC 机,以用来验证链路。次交换机下连接两
台 PC 机。在主交换机上配置最大安全地址数 maximum,验证端口 mac 地址数目超过最大安全地址数时,链 路不通,以指定的违例处理方式处理。
步骤 1.画出实验拓扑结构图。
步骤 2. 按实验拓扑图 1 连接设备。并对三台 PC 机进行 IP 设置。
步骤 3.交换机更改主机名。 主交换机改名为 SwitchA,次交换机改名为 SwitchB。
步骤 4.验证 PC0,PC1 与 PC2 三者之间都能 ping 通,说明交换机连接的网络是 ok 的。
Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security maximum 1
Switch(config-if)#switchport port-security violation shutdown
【思考二】:如果,主交换机 fa0/1 端口的最大的地址连接数改为 1,结果又如何呢? 【思考三】:如果,主交换机 fa0/1 端口的最大的地址连接数改为 1,并且违例方式为 shutdown,结 果又如何呢? 请将实验结果写在下方:
交换机端口安及认证

中恢复过来。
7
5.3.1 配置安全端口
• 端口的安全地址绑定:端口-MAC-IP绑定 – switchport port-security 打开该接口的端口安全功能 – switchport port-security [mac-address mac-address] [ address ip-address] 手工配置接口上的安全地址。 –使用指导:如果你将一个IP 地址和一个指定的 MAC地址绑定,则当帧的源MAC 地址不为这个IP 地 址绑定的MAC 时,这个帧将会被交换机丢弃。
• 应用环境:主要应用在汇聚层交换机的端口安全配置。
14
maximum 8 –Switch(config-if)# switchport port-security
violation protect //当违例发生配置接口fastethernet0/3上的端口安 全功能,实现端口+MAC+IP地址绑定。主机 MAC为00d0.f800.073c,IP为192.168.1.120 – Switch(config)# interface fastethernet 0/3 – Switch(config-if)# switchport mode access – Switch(config-if)# switchport port-security –Switch(config-if)# switchport port-security m address 00d0.f800.073c ip-address 192.168.1.120
• 验证基本同前,自己完成。 • 应用环境:主要应用在接入层交换机的端口安全配置。
13
端口安全应用配置示例
• 通过MAC地址来限制端口流量,此配置允许一TRUNK口最多通过 100个MAC地址,超过100时,但来自新的主机的数据帧将丢失。 – 3550-1(config)#int f0/1 – 3550-1(config-if)#switchport mode access/配置端口模式为TRUNK?。 – 3550-1(config-if)#switchport port-security maximum 100 /允许此端 口通过的最大MAC地址数目为100。 – 3550-1(config-if)#switchport port-security violation protect /当 MAC地址数目超过100时,交换机继续工作,但来自新的主机的 数据帧将丢失。
华为交换机端口安全详解--端口隔离、环路检测与端口安全

华为交换机端口安全详解--端口隔离、环路检测与端口安全一、端口隔离--port-isolate组网需求如图1所示,要求PC1与PC2之间不能互相访问,PC1与PC3之间可以互相访问,PC2与PC3之间可以互相访问。
配置端口隔离功能# 配置端口隔离模式为二层隔离三层互通。
<Quidway> system-view[Quidway] port-isolate mode l2# 配置Ethernet0/0/1和Ethernet0/0/2的端口隔离功能。
<Quidway> system-view[Quidway] interface ethernet 0/0/1[Quidway-Ethernet0/0/1] port-isolate enable group 1[Quidway-Ethernet0/0/1] quit[Quidway] interface ethernet 0/0/2[Quidway-Ethernet0/0/2] port-isolate enable group 1[Quidway-Ethernet0/0/2] quitethernet 0/0/3 无需加入端口隔离组,处于隔离组的各个端口间不能通信查看当前配置disp cur#sysname Quidway#interface Ethernet0/0/1port-isolate enable group 1#interface Ethernet0/0/2port-isolate enable group 1#interface Ethernet0/0/3#return验证配置结果:PC1和PC2不能互相ping通,PC1和PC3可以互相ping通,PC2和PC3可以互相ping通。
实现了需求。
二、端口防环--port-security适用与华为交换机,防止下级环路,自动shutdown下级有环路的端口。
<Huawei>system view#loopback-detect enable 全局模式下,启用环路检测功能# interface GigabitEthernet0/0/1loopback-detect action shutdown 如果下级有环路,shutdown本端口# interface GigabitEthernet0/0/2loopback-detect action shutdown# interface GigabitEthernet0/0/3loopback-detect action shutdown#……那如何检测与识别环路并定位呢?详见这个:https:///view/1599b6a22cc58bd63086bd5d.html三、端口安全--port-security在网络中MAC地址是设备中不变的物理地址,控制MAC地址接入就控制了交换机的端口接入,所以端口安全也是对MAC的的安全。
网络设备调试04交换机端口安全

常见数据链路层安全威胁
• DHCP服务器欺骗与DHCP地址耗尽 – DHCP服务器欺骗 • 即客户端将自己配置为DHCP服务器,分派虚假的IP地 址及其信息或者直接响应DHCP请求 – DHCP地址耗尽 • 即客户端不断的冒充新客户发送DHCP请求,请求服务 器分派IP地址,这样很快耗尽DHCP配置的IP地址池, 其他计算机无法使用 • IP地址欺骗 – 客户端使用自己配置的IP地址冒充其他客户端或网络管理 员,对其他用户、设备、服务器等进行非法操作 – IP地址欺骗主要是利用自行配置IP地址实现的
– 启用端口安全的接口不能是动态协商(dynamic)模式, 必须配置接口为接入或干道模式 • 配置允许访问网络的MAC地址 – 配置接口允许的最大活跃地址数量
Switch(config-if)#switchport port-security maximum { max-addr }
– 配置静态绑定的MAC地址
网关 Internet PC1的MAC地址是 XX-XX-XX-XX-XX-XX (虚假MAC地址)
PC1
网关的MAC地址是 XX-XX-XX-XX-XX-XX (虚假MAC地址)
PC2
常见数据链路层安全威胁 • ARP欺骗原理
– 欺骗网关 – 欺骗主机
网关 PC1到PC2的流量需要经过PC3转发 Internet 我是PC1,我的MAC地址是XXXX-XX-XX-XX-XX (PC2的MAC地址) PC2
端口状态改变
端口安全配置示例5-4 • 查看端口安全状态
Switch#show port-security interface fastEthernet 0/2 Port Security : Enabled Port Status : Secure-shutdown 端口状态 Violation Mode : Shutdown Aging Time : 1 mins Aging Type : Inactivity SecureStatic Address Aging : Disabled Maximum MAC Addresses :1 Total MAC Addresses :1 Configured MAC Addresses : 1 Sticky MAC Addresses :0 Last Source Address:Vlan : 0021.1ba5.6983:2 Security Violation Count : 1
华为交换机端口安全怎么配置?华为交换机端口安全命令的用法

华为交换机端⼝安全怎么配置?华为交换机端⼝安全命令
的⽤法
在华为交换机配置中,经常遇到各种问题,那么如何配置端⼝安全?下⾯就为⼤家带来详细的配置过程,详细请看下⽂介绍。
1、登录华为交换机,进⼊系统视图模式。
2、进⼊华为交换机接⼝视图。
3、在接⼝视图下开启端⼝安全功能。
命令:port-security enable
4、开启端⼝安全之后,使能接⼝Sticky MAC功能。
5、配置端⼝功能的保护动作。
命令:port-security protect-action protect
6、在接⼝下配置MAC地址学习限制数,设置⼀个表⽰只允许⼀台主机接⼊。
命令:port-security max-mac-num 1
以上就是华为交换机端⼝安全命令的⽤法,希望⼤家喜欢,请继续关注。
交换机端口的安全设置

攻击者可能会伪造MAC地址,绕过交换机的安全限制,从而非 法接入网络。
IP地址冲突
非法用户可能会盗用合法的IP地址,导致IP地址冲突,影响网络 的正常运行。
端口安全的基本原则
01
最小权限原则
只给需要的用户或设备分配必要 的网络权限,避免过度分配导致 安全漏洞。
加密传输
0203定期审计来自端口镜像技术01
端口镜像技术是指将一个端口 的流量复制到另一个端口进行 分析和监控。
02
通过端口镜像技术,可以将交 换机端口的入方向或出方向流 量复制到监控端口,供网络管 理员进行分析和故障排除。
03
端口镜像技术可以帮助管理员 实时监控网络流量,发现异常 行为和潜在的安全威胁。
04 交换机端口安全加固措施
对敏感数据进行加密传输,防止 数据在传输过程中被窃取或篡改。
定期对交换机的端口安全配置进 行审计,确保配置的正确性和有 效性。
02 交换机端口安全配置
CHAPTER
端口隔离
将交换机的物理端口划分为不同的逻 辑端口组,使同一组内的端口之间无 法直接通信,从而隔离不同用户之间 的网络。
端口隔离可以防止网络中的潜在威胁 和攻击,提高网络安全性和稳定性。
将同一VLAN内的端口进行 逻辑隔离,防止广播风暴 和恶意攻击。
通过绑定IP地址和MAC地 址,防止IP地址欺骗和 MAC地址泛洪攻击。
限制特定MAC地址的设备 连接,防止未经授权的设 备接入网络。
校园网中的交换机端口安全配置案例
01 校园网络架构
02 安全配置
03 • 划分VLAN
04
05
• 实施访问控制列 • 绑定IP地址和
交换机端口的安全设置
Cisco交换机端口安全

VLAN隔离
定期审计和监控
将不同的用户或部门划分到不同的VLAN, 实现逻辑隔离,降低安全风险。
对交换机端口安全策略进行定期审计和监 控,确保安全策略的有效性和合规性。
05
Cisco交换机端口安全故障排除
故障排除概述
故障排除流程
故障排除应遵循一定的流程,包括识别问题、收集信息、分析问 题、制定解决方案和实施解决方案等步骤。
网络管理软件
使用网络管理软件可以帮助管理 员监控网络设备的状态和性能, 及时发现和解决故障。
系统日志
通过分析交换机和网络设备的系 统日志,可以发现潜在的问题和 故障原因。
06
总结与展望
总结
01
02
03
04
05
Cisco交换机端口 端口隔离 安…
端口绑定
访问控制列表 (ACL)
802.1X认证
随着网络技术的不断发展 ,Cisco交换机作为网络核 心设备,其端口安全技术 也得到了广泛应用。这些 技术旨在保护网络免受未 经授权的访问和潜在的安 全威胁。
的风险。
防止IP地址冲突
通
简化管理
通过集中管理和控制网络设备的访问, 可以简化网络管理流程,减少手动配 置的工作量。
提高性能
端口安全可以减少不必要的网络流量 和广播风暴,提高网络性能和稳定性。
03
Cisco交换机端口安全配置
配置步骤
进入交换机的命令行界面。
端口安全通过监控连接到交换机 的设备MAC地址(物理地址)
来实现。
当设备连接到交换机端口时,交 换机将学习并记录该设备的 MAC地址。
之后,交换机将根据MAC地址 表来允许或拒绝网络流量。只有 与MAC地址表中的地址匹配的
交换机端口保护机制

交换机端口保护机制交换机端口保护机制是网络中非常重要的一环,它可以帮助网络管理员保护交换机端口免受潜在的网络攻击和滥用。
在本文中,将探讨交换机端口保护机制的基本原理,不同的端口保护技术,以及如何配置和优化这些保护机制。
交换机端口保护机制的基本原理是通过限制交换机上每个端口的交通流量来保护网络安全。
这些保护机制可以防止由于设备故障、恶意软件或非法操作而导致的网络拥塞、数据泄漏或其他安全问题。
常见的交换机端口保护机制包括端口安全、端口瓶颈检测和入侵检测。
端口安全是最常见和最基本的交换机端口保护机制之一。
它通过限制交换机上每个端口的MAC地址数量、VLAN数量或IP地址数量来保护网络安全。
交换机通常会有一个默认的端口安全阈值,当这个阈值被超过时,交换机将会采取措施,如关闭该端口或发送警报消息。
端口安全可以防止潜在的网络攻击,如ARP欺骗和MAC泛洪。
端口瓶颈检测是另一种常见的交换机端口保护机制。
它通过监测交换机上每个端口的交通流量,以便检测到潜在的网络瓶颈。
当交换机上的某个端口的流量达到设定的阈值时,交换机可以采取相应的措施,如关闭该端口或重新路由该流量。
端口瓶颈检测可以帮助网络管理员实时监测交换机的负载情况,以便及时调整网络配置和优化网络性能。
入侵检测是交换机端口保护机制的另一项重要功能。
它可以通过扫描和监测网络流量中的异常行为来检测潜在的入侵或攻击。
这些异常行为可能包括网络扫描、未经授权的访问尝试、数据包嗅探和端口扫描等。
当交换机检测到这些异常行为时,它可以发送警报并采取相应的措施,如关闭相应的端口或隔离有问题的设备。
除了这些基本的交换机端口保护机制之外,还有一些其他的技术和配置选项可以增强网络的安全性。
例如,网络管理员可以使用MAC地址过滤来限制允许访问交换机的设备。
他们还可以使用虚拟专用网络(VPN)来保护敏感数据的传输和访问。
此外,访问控制列表(ACL)可以用于限制通过交换机的特定端口的流量。
交换机端口安全防护与配置方法技巧

交换机端口安全防护与配置方法技巧交换机的主要功能包括物理编址、网络拓扑结构、错误校验、帧序列以及流控。
交换机还具备了一些新的功能,如对VLAN(虚拟局域网)的支持、对链路汇聚的支持,甚至有的还具有防火墙的功能。
今天我们来介绍一下交换机端口安全的配置内容,主要防止公司内部的网络攻击和破坏行为,详细的教程,请看下文介绍,需要的朋友可以参考下方法步骤1、配置交换机端口的最大连接数限制。
Switch#configure terminalSwitch(config)#interface range fastethernet 0/3 进行0模块第3端口的配置模式Switch(config-if)#switchport port-security 开启交换机的端口安全功能Switch(config-if)#switchport port-secruity maximum 1 配置端口的最大连接数为1Switch(config-if)#switchport port-secruity violation shutdown 配置安全违例的处理方式为shutdown2、验证测试:查看交换机的端口安全配置。
Switch#show port-security3、配置交换机端口的地址绑定Switch#configure terminalSwitch(config)#interface f astethernet 0/3Switch(config-if)#switchport port-securitySwitch(config-if)#switchport port-security mac-address 00 06.1bde.13b4 ip-address 172.16.1.55 配置IP 地址和MAC 地址的绑定4、验证测试:查看地址安全绑定配置。
Switch#show port-security address5、查看主机的IP 和MAC 地址信息。
交换机端口隔离安全实验报告

交换机端口隔离安全实验报告实验目的:本实验旨在通过交换机端口隔离技术,提高网络的安全性和隔离性,并验证隔离效果。
实验环境:本实验使用了一台拥有多个可配置端口的交换机,并连接了多台主机设备。
实验步骤:1. 配置交换机端口隔离功能:首先,登录交换机管理界面,在交换机配置页面上找到端口隔离选项。
根据实际需求,选择需要隔离的端口,并启用隔离功能。
2. 设置隔离规则:在交换机端口隔离配置页面上,为每个需要隔离的端口设置隔离规则。
可以根据IP地址、MAC地址等进行隔离规则的设定。
3. 验证隔离效果:连接不同的主机设备至交换机的不同端口,并在各个主机之间进行通信测试。
检查是否存在跨端口通信,验证隔离效果的可行性。
实验结果:通过交换机端口隔离功能的配置,我们成功实现了端口之间的隔离。
在测试过程中,我们发现无法实现跨端口的通信,证明了隔离的效果。
实验总结:交换机端口隔离技术在网络安全中发挥了重要作用。
通过该技术,可以有效隔离不同端口之间的通信,增强网络的安全性和隔离性。
在实验中,我们成功配置了交换机端口隔离功能,并验证了其有效性。
然而,需要注意的是,在实际应用中,还需要综合考虑业务需求和网络拓扑结构,合理配置端口隔离规则,以达到最佳的网络安全效果。
实验局限性:本实验仅仅针对交换机端口隔离功能的验证,未对其他相关安全功能进行测试。
在实际应用中,需要综合考虑其他网络设备和安全机制,搭建完整的网络安全体系。
未来展望:随着网络安全威胁的不断演变和升级,交换机端口隔离技术也需要不断更新和改进。
未来,我们希望通过进一步的研究和实践,提高交换机端口隔离技术的性能和可靠性,更好地应对网络安全挑战。
参考文献:[1] 张三, 李四. 交换机端口隔离技术及其应用[J]. 计算机科学, 20XX, XX(X): XX-XX.[2] 王五, 赵六. 网络安全技术概论[M]. 北京:XX出版社, 20XX.。
- 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。
交换机端口安全技术
24.1 实验内容与目标
完成本实验,应该能够达到以下目标。
● 掌握802.1x 的基本配置
● 掌握端口隔离基本配置
● 掌握端口绑定技术基本配置
24.2 实验组网图
本实验按照实验图24-1进行组网。
PCA
PCB
SWA
实验图24-1 实验组网图 24.3 实验设备与版本
本实验所需之主要设备器材如实验表24-1所示。
实验表 24-1 实验设备器材
24.4 实验过程
实验任务一配置802.1x
本实验通过在交换机上配置802.1x 协议,使接入交换机的PC 经
过认证后才能访问网络资源。
通过本实验,掌握802.1x认证的基本
原理和802.1x本地认证的基本配置。
步骤一:建立物理连接并初始化交换机配置。
按实验组网图进行物理连接,并检查设备的软件版本及配置信息,确保各设备软件版本符合要求,所有配置为初始状态。
如果配置不符合要求,在用户视图下擦除设备中的配置文件,然后重启设备以使系统采用默认的配置参数进行初始化。
步骤二:检查互通性。
分别配置PCA、PCB的IP地址为172.16.0.1/24、172.16.0.2/24。
配置完成后,在PCA上用ping命令来测试到PCB的互通性,其结果
是PCA和PCB能够互通。
步骤三:配置802.1x协议。
实现在交换机SWA上启动802.1x协议,过程如下:
首先需要分别在全局和端口开启802.1x认证功能,在下面的空
格中补充完整的命令。
[SWA]dot1x
[SWA]dot1xinterface e1/0/1 e1/0/2
其次在SWA上创建本地802.1x用户,用户名为abcde,密码为
明文格式的12345,该用户的服务类型server-type是lan-access,在如下的空格中完成该本地用户的配置命令。
[SWA]local-user abcde
[SWA-luser-h3c]service-type lan-access
[SWA-luser-h3c]password simple 123456
步骤四:802.1x验证。
配置完成后,再次在PCA上用ping命令来测试到PCB的互通性,其结果是PCA与PCB不能够互通。
导致如上结果的原因是交换机上开启了802.1x认证,需要在客
户端配置802.1x认证相关属性。
PC可以使用802.1x客户端软件或Windows系统自带客户端接入交换机,本实验以Windows系统自带客户端为例说明如何进行设置。
在Windows操作系统的“控制面板”窗口中双击“网络和Internet 连接”图标,在弹出的窗口中双击“网络连接”图标,在弹出的窗口中右击“本地连接”图标,执行“属性”命令,如实验图24-2所示。
再选择“验证”选项卡,并选中“启用此网络的IEEE802.1x验
证”复选框,如实验图24-3所示,然后单击“确定”按钮,保存退出。
实验图 24-2 配置本地连接属性
实验图 24-3 启用802.1x验证
等待几秒种后,屏幕右下角会自动弹出要求认证的相应提示,如实验图24-4所示。
按实验图24-4所示的提示要求单击,系统弹出对话框,要求输入用户名和密码,如实验图24-5所示。
实验图 24-4 802.1x验证提示
实验图 24-5输入用户名和密码
在对话框输入用户名abcde和密码12345后,单击“确定”按钮,系统提示通过验证。
在PCA与PCB都通过验证后,在PCA上用ping命令来测试到PCB 的互通性。
结果是PCA与PCB能够互通。
注意:如果Windows系统长时间没有自动弹出要求认证提示,或认证失败需要重新认证,可以将电缆断开再连接,以重新触发802.1x认证过程。
实验任务二配置端口隔离
本实验通过在交换机上配置端口隔离,使处于隔离组内的两台
PC不能互相访问,但PC能够访问上行端口的PC。
通过本实验,掌握端口隔离的基本原理和配置。
步骤一:建立物理连接并运行超级终端。
按实验图24-1进行物理连接,并检查设备的软件版本及配置信息,确保各设备软件版本符合要求,所有配置为初始状态。
如果配置不符合要求,在用户视图下擦除设备中的配置文件,然后重启设备以使系统采用默认的配置参数进行初始化。
步骤二:检查互通性。
分别配置PCA和PCB的IP地址为172.16.0.1/24、172.16.0.2/24。
配置完成后,在PCA上用ping命令来测试到PCB的互通性,其结果
是PCA与PCB不能够互通。
步骤三:配置端口隔离。
在交换机上启用端口隔离,设置端口Ethernet1/0/1、
Ethernet1/0/2为隔离组的普遍端口,端口Ethernet1/0/24为隔离组的上行端口。
配置SWA过程如下:
[SWA]interface Ethernet1/0/1
[SWA-Ethernet1/0/1]port-isolate enable
[SWA]interface Ethernet1/0/2
[SWA-Ethernet1/0/2]port-isolate enable
[SWA]interface Ethernet1/0/24
[SWA-Ethernet1/0/24]port-islate uplink-port
配置完成后,通过display port-isolate group命令查看隔离组的信息。
步骤四:端口隔离验证。
在PCA上用ping命令测试到PCB的互通性,其结果是PCA与PCB 不能互通。
然后将PCB从端口Ethernet1/0/2断开,把PCB连接到Ethernet1/0/24上,再用ping命令测试,其结果是PCA与PCB能够互通。
实验任务三配置端口绑定
本实验通过在交换机上配置端口绑定,使交换机上的绑定端口只能让特定用户接入。
通过本实验,掌握端口绑定的基本应用和配置。
步骤一:建立物理连接并初始化交换机配置。
根据实验图24-1进行物理连接,并检查设备的软件版本及配置信息,确保各设备软件版本符合要求,所有配置为初始状态。
如果配置不符合要求,在用户视图下擦除设备中的配置文件,然后重启设备以使系统采用默认的配置参数进行初始化。
步骤二:配置端口绑定。
配置PCA的IP地址为172.16.0.1/24,PCB的IP地址为
172.16.0.2/24。
分别查看并记录PCA和PCB的MAC地址。
之后再交换机SWA上启用端口绑定,设置端口Ethernet1/0/1与PCA的MAC地址绑定,端口Ethernet1/0/2与PCB的MAC地址绑定,在如下空格中补充完整的命令。
[SWA]interfaceEthernet 1/0/1
[SWA-Ethernet1/0/1]user-bindmac-addr 001C-233D-5695
[SWA]interfaceEthernet 1/0/2
[SWA-Ethernet1/0/2]mac-addr 0013-728E-4751
配置完成后,通过执行display user-bind命令查看已设置绑定的信息。
步骤三:端口绑定验证。
在PCA上用ping命令来测试到PCB的互通性,其结果是PCA与PCB能够互通。
断开PC与交换机之间的连接,然后将PCA连接到端口Ethernet1/0/2,PCB连接到端口Ethernet1/0/1,再重新用ping命令来测试PCA到PCB的互通性,其结果是PCA与PCB不能够互通。
注意:未配置端口绑定的端口允许所有报文通过。
24.5 实验中的命令列表
本实验所使用的命令如实验表24-2所示。
实验表24-2 实验命令列表
24.6 思考题
在实验任务一中,使用交换机内置本地服务器对用户进行了本地认证。
可不可以不在交换机上配置用户名、密码等信息,而对用户进行认证?。