交換機(jī)端口安全配置

1、【官方提供】【實(shí)驗(yàn)文檔】【實(shí)驗(yàn)0021】【交換機(jī)的端口安全配置】【實(shí)驗(yàn)名稱】交換機(jī)的端口安全配置?！緦?shí)驗(yàn)?zāi)康摹空莆战粨Q機(jī)的端口安全功能，控制用戶的安全接入?！颈尘懊枋觥磕闶且粋€(gè)公司的網(wǎng)絡(luò)管理員，公司要求對(duì)網(wǎng)絡(luò)進(jìn)行嚴(yán)格控制。為了防止公司內(nèi)部用戶的IP地址沖突，防止公司內(nèi)部的網(wǎng)絡(luò)攻擊和破壞行為。為每一位員工分配了固定的IP地址，并且限制只允許公司員工主機(jī)可以使用網(wǎng)絡(luò)，不得隨意連接其他主機(jī)。例如：某員工分配的IP地址是172.16.1.55/24，主機(jī)MAC地址是00-06-1B-DE-13-B4。該主機(jī)連接在1臺(tái)2126G上邊?！炯夹g(shù)原理】交換機(jī)端口安全功能，是指針對(duì)交換機(jī)的端口進(jìn)行安全屬性的配置

2、，從而控制用戶的安全接入。交換機(jī)端口安全主要有兩種類項(xiàng)：一是限制交換機(jī)端口的最大連接數(shù)，二是針對(duì)交換機(jī)端口進(jìn)行MAC地址、IP地址的綁定。限制交換機(jī)端口的最大連接數(shù)可以控制交換機(jī)端口下連的主機(jī)數(shù)，并防止用戶進(jìn)行惡意的ARP欺騙。交換機(jī)端口的地址綁定，可以針對(duì)IP地址、MAC地址、IPMAC進(jìn)行靈活的綁定?？梢詫?shí)現(xiàn)對(duì)用戶進(jìn)行嚴(yán)格的控制。保證用戶的安全接入和防止常見的內(nèi)網(wǎng)的網(wǎng)絡(luò)攻擊。如ARP欺騙、IP、MAC地址欺騙，IP地址攻擊等。配置了交換機(jī)的端口安全功能后，當(dāng)實(shí)際應(yīng)用超出配置的要求，將產(chǎn)生一個(gè)安全違例，產(chǎn)生安全違例的處理方式有3種： Ø    

3、60; protect  當(dāng)安全地址個(gè)數(shù)滿后，安全端口將丟棄未知名地址（不是該端口的安全地址中的任何一個(gè)）的包。       Ø restrict  當(dāng)違例產(chǎn)生時(shí)，將發(fā)送一個(gè)Trap通知。       Ø shutdown  當(dāng)違例產(chǎn)生時(shí)，將關(guān)閉端口并發(fā)送一個(gè)Trap通知。當(dāng)端口因?yàn)檫`例而被關(guān)閉后，在全局配置模式下使用命令errdisable recovery來(lái)將接口從錯(cuò)誤狀態(tài)中恢復(fù)過(guò)來(lái)?！緦?shí)現(xiàn)功能】針對(duì)交換機(jī)的所有端口，配置最大連接數(shù)

4、為1，針對(duì)PC1主機(jī)的接口進(jìn)行IPMAC地址綁定?！緦?shí)驗(yàn)設(shè)備】S2126G交換機(jī)（1臺(tái)），PC（1臺(tái)）、直連網(wǎng)線（1條）【實(shí)驗(yàn)拓?fù)洹繜o(wú)標(biāo)題.jpg (7.45 KB)2008-11-14 13:46圖 26【實(shí)驗(yàn)步驟】步驟1.        配置交換機(jī)端口的最大連接數(shù)限制。Switch#configure terminalSwitch(config)#interface range fastethernet 0/1-23   ! 進(jìn)行一組端口的配置模式Switch(config-if-range)#switchport port-se

5、curity   !開啟交換機(jī)的端口安全功能Switch(config-if-range)#switchport port-secruity maximum 1   ! 配置端口的最大連接數(shù)為1Switch(config-if-range)#switchport port-secruity violation shutdown   !配置安全違例的處理方式為shutdown驗(yàn)證測(cè)試：查看交換機(jī)的端口安全配置。Switch#show port-securitySecure Port  MaxSecureAddr(co

6、unt) CurrentAddr(count) Security Action-Fa0/1        1                    0                  ShutdownFa0/2       &#

7、160;1                    0                  ShutdownFa0/3        1                 &#

8、160;  0                  ShutdownFa0/4        1                    0             

9、60;   ShutdownFa0/5        1                    0                  ShutdownFa0/6        1  

10、0;                 0                  ShutdownFa0/7        1                    

11、0                  ShutdownFa0/8        1                    0                  

12、ShutdownFa0/9        1                    0                  ShutdownFa0/10       1        

13、0;           0                  ShutdownFa0/11       1                    0        &#

14、160;         ShutdownFa0/12       1                    0                  ShutdownFa0/13       1

15、0;                   0                  ShutdownFa0/14       1                    0&#

16、160;                 ShutdownFa0/15       1                    0                  ShutdownFa0/1

17、6       1                    0                  ShutdownFa0/17       1              &

18、#160;     0                  ShutdownFa0/18       1                    0             

19、     ShutdownFa0/19       1                    0                  ShutdownFa0/20       1      &

20、#160;             0                  ShutdownFa0/21       1                    0      

21、;            ShutdownFa0/22       1                    0                  ShutdownFa0/23     &#

22、160; 1                    0                  Shutdown步驟2.        配置交換機(jī)端口的地址綁定。       R 查看主機(jī)的IP和MAC地址信息在主機(jī)上打開CMD命令提示符窗口，執(zhí)行ipconfig

23、/all命令。無(wú)標(biāo)題1.jpg (53.77 KB)2008-11-14 13:46圖 27       R 配置交換機(jī)端口的地址綁定Switch#configure terminalSwitch(config)#interface  fastethernet 0/3Switch(config-if)#switchport port-securitySwitch(config-if)#switchport port-security mac-address0006.1bde.13b4 ip-address 172.16.1.55

24、60;  !配置IP地址和MAC地址的綁定驗(yàn)證測(cè)試：查看地址安全綁定配置。Switch#show port-security addressVlan Mac Address     IP Address      Type       Port     Remaining Age(mins)-1    0006.1bde.13b4  172.16.1.55   

25、60; Configured  Fa0/3【注意事項(xiàng)】1、交換機(jī)端口安全功能只能在ACCESS接口進(jìn)行配置。2、交換機(jī)最大連接數(shù)限制取值范圍是1128，默認(rèn)是128。3、交換機(jī)最大連接數(shù)限制默認(rèn)的處理方式是protect。【參考配置】Switch#show running-configSystem software version : 1.61(4) Build Sep  9 2005 ReleaseBuilding configuration.Current configuration : 3556 bytes!version 1.0!hos

26、tname Switchvlan 1!interface fastEthernet 0/1switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!interface fastEthernet 0/2switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!int

27、erface fastEthernet 0/3switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1switchport port-security mac-address 0006.1bde.13b4 ip-address 172.16.1.55!interface fastEthernet 0/4switchport port-securityswitchport port-security  viol

28、ation shutdownswitchport port-security maximum 1!interface fastEthernet 0/5switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!interface fastEthernet 0/6switchport port-securityswitchport port-security  violation shutdownswitchpo

29、rt port-security maximum 1!interface fastEthernet 0/7switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!interface fastEthernet 0/8switchport port-securityswitchport port-security  violation shutdownswitchport port-security maxim

30、um 1!interface fastEthernet 0/9switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!interface fastEthernet 0/10switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!interface fastEt

31、hernet 0/11switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!interface fastEthernet 0/12switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!interface fastEthernet 0/13switchpor

32、t port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!interface fastEthernet 0/14switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!interface fastEthernet 0/15switchport port-securityswitchport port-security  violation shutdownswitchport port-security maximum 1!interface fastEthernet 0/16switchport port-securityswit