網(wǎng)絡(luò)構(gòu)建實(shí)驗(yàn)二 交換機(jī)端口隔離及端口安全

1、計(jì)算機(jī)網(wǎng)絡(luò)構(gòu)建實(shí)驗(yàn)報(bào)告實(shí)驗(yàn)組號(hào)： 課程： 班級(jí)： 實(shí)驗(yàn)名稱：實(shí)驗(yàn)二 交換機(jī)端口隔離及端口安全 姓 名_ 實(shí) 驗(yàn) 日 期： 學(xué) 號(hào)_ 實(shí)驗(yàn)報(bào)告日期： 同組人姓名_ 報(bào) 告 退 發(fā)： ( 訂正 、 重做 )同組人學(xué)號(hào)_ _ 教 師 審 批 簽 字：通過 不通過 實(shí)驗(yàn)二 交換機(jī)端口隔離及端口安全背景描述：假設(shè)你所用的交換機(jī)是寬帶小區(qū)城域網(wǎng)中的1臺(tái)樓道交換機(jī)，住戶PC1連接在交換機(jī)的0/1口，住戶PC2連接在交換機(jī)的0/2口。住戶不希望他們之間能夠相互訪問，現(xiàn)要實(shí)現(xiàn)各家各戶的端口隔離。一、:實(shí)驗(yàn)名稱:交換機(jī)端口隔離二、實(shí)驗(yàn)?zāi)康?1. 熟練掌握網(wǎng)絡(luò)互聯(lián)設(shè)備-交換機(jī)的基本配置方法2. 理解和掌握Port

2、Vlan的配置方法三、實(shí)驗(yàn)設(shè)備：每一實(shí)驗(yàn)小組提供如下實(shí)驗(yàn)設(shè)備 1、 實(shí)驗(yàn)臺(tái)設(shè)備：計(jì)算機(jī)兩臺(tái)PC1和PC2（或者PC4和PC5）2、 實(shí)驗(yàn)機(jī)柜設(shè)備： S2126(或者S3550)交換機(jī)一臺(tái)3、 實(shí)驗(yàn)工具及附件：網(wǎng)線測(cè)試儀一臺(tái) 跳線若干 四、實(shí)驗(yàn)原理及要求：1、Vlan(virual laocal area network,虛擬局域網(wǎng))，是指在一個(gè)物理網(wǎng)段內(nèi)，進(jìn)行邏輯的劃分，劃分成若干個(gè)虛擬局域網(wǎng)。其最大的特性是不受物理位置的限制，可以進(jìn)行靈活的劃分。VLAN 具備一個(gè)物理網(wǎng)段所具備的特性。相同的VLAN內(nèi)的主機(jī)可以相互直接訪問，不同的VLAN 間的主機(jī)之間互相訪問必須經(jīng)由路由設(shè)備進(jìn)行轉(zhuǎn)發(fā)，廣播包

3、只可以在本VLAN內(nèi)進(jìn)行傳播，不能傳輸?shù)狡渌鸙LAN中。2、PORT VLAN 是實(shí)現(xiàn)VLAN的方式之一，PORT VLAN是利用交換機(jī)的端口進(jìn)行VLAN的劃分，一個(gè)普通端口只能屬于一個(gè)VLAN。3、交換機(jī)端口安全的基本概念§ 利用交換機(jī)的端口安全功能實(shí)現(xiàn)Ø 防止局域網(wǎng)大部分的內(nèi)部攻擊對(duì)用戶、網(wǎng)絡(luò)設(shè)備造成的破壞，如MAC地址攻擊、ARP攻擊、IP/MAC地址欺騙等。§ 交換機(jī)端口安全的基本功能Ø 限制交換機(jī)端口的最大連接數(shù)Ø 端口的安全地址綁定Ø 端口防ARP欺騙§ 安全違例產(chǎn)生于以下情況：Ø 如果一個(gè)端口被配置為

4、一個(gè)安全端口，當(dāng)其安全地址的數(shù)目已經(jīng)達(dá)到允許的最大個(gè)數(shù)Ø 如果該端口收到一個(gè)源地址不屬于端口上的安全地址的包§ 當(dāng)安全違例產(chǎn)生時(shí)，你可以選擇多種方式來(lái)處理違例：Ø Protect：當(dāng)安全地址個(gè)數(shù)滿后，安全端口將丟棄未知名地址（不是該端口的安全地址中的任何一個(gè)）的包Ø Restrict：當(dāng)違例產(chǎn)生時(shí)，將發(fā)送一個(gè)Trap通知Ø Shutdown：當(dāng)違例產(chǎn)生時(shí)，將關(guān)閉端口并發(fā)送一個(gè)Trap通知五、實(shí)驗(yàn)注意事項(xiàng)及要求： 1、 實(shí)驗(yàn)中嚴(yán)禁在設(shè)備端口上隨意插拔線纜，如果確實(shí)需要應(yīng)向老師說(shuō)明征求許可。2、 以電子文檔形式提交實(shí)驗(yàn)報(bào)告。3、 本次實(shí)驗(yàn)結(jié)果保留：

5、是 否 4、 將交換機(jī)的配置文檔、驗(yàn)證計(jì)算機(jī)的TCP/IP配置信息保存。5、 將交換機(jī)的配置信息以圖片的形式保存到實(shí)驗(yàn)報(bào)告中。六、實(shí)驗(yàn)用拓?fù)鋱DS2126(A)F0/1集成網(wǎng)卡（IP:192.168.10.1/24）Vlan 10Vlan 10S3550(B）F0/4F0/4F0/1PC1PC2集成網(wǎng)卡（IP:192.168.10.2/24）注意：實(shí)驗(yàn)時(shí)按照拓?fù)鋱D進(jìn)行網(wǎng)絡(luò)的連接，注意主機(jī)和交換機(jī)連接的端口七、實(shí)驗(yàn)具體步驟及實(shí)驗(yàn)結(jié)果記錄：步驟1、實(shí)現(xiàn)兩臺(tái)主機(jī)的互聯(lián)，確保在未劃分VLAN 前兩臺(tái)PC是可以通訊的（即F0/1和F0/2間是可以通訊的）?！緦?shí)驗(yàn)結(jié)果記錄】要求將PC1和pc2的IP設(shè)置和連

6、通性測(cè)試的結(jié)果記錄下來(lái)。步驟2、創(chuàng)建VLAN，隔離端口，實(shí)現(xiàn)同一VLAN內(nèi)主機(jī)的相互通訊。兩臺(tái)交換機(jī)同時(shí)配置，操作相同。1）、啟用“本地連接”網(wǎng)卡，打開設(shè)備配置界面，完成以下命令行操作：Ø SWITCHenable 14！進(jìn)入特權(quán)模式Ø SWITCH # configure terminal !進(jìn)入全局配置模式Ø SWITCH (config)#vlan 10 !創(chuàng)建vlan 10Ø SWITCH (config-vlan)#exit !退回到上一級(jí)操作模式Ø SWITCH (config)#vlan 20 !創(chuàng)建vlan 20Ø S

7、WITCH (config-vlan)#end !直接退回到特權(quán)模式Ø SWITCH #2）、驗(yàn)證測(cè)試：Ø SWITCH #show vlan !查看已配置的VLAN信息注意：默認(rèn)情況下，所有的接口都屬于VLAN 13） 將接口F0/1和F0/2分別分配到VLAN10和VLAN20。（注：該步驟兩個(gè)同學(xué)都要操作）Ø SWITCHenable 14！進(jìn)入特權(quán)模式Ø SWITCH# configure terminal!進(jìn)入全局配置模式Ø SWITCH（config）#interface fastethernet 0/1 !進(jìn)入F0/1配置模式&#

8、216; SWITCH（config-if）#switchport access vlan 10 !將接口劃入vlan10Ø SWITCH（config-if）#exit !退回全局配置模式Ø SWITCH（config）#interface fastethernet 0/2 !進(jìn)入F0/2配置模式Ø SWITCH（config-if）#switchport access vlan 20 !將接口劃入vlan10Ø SWITCH（config-if）#exit!退回全局配置模式ØØ4） 把交換機(jī)相連的端口(F0/4端口)定義為tag

9、vlan 模式。（注：該步驟兩個(gè)同學(xué)都要操作）Ø switch(config)#interface fastethernet 0/4 ！進(jìn)入接口配置模式Ø switch(config-if)#switchport mode trunk ！將f0/4端口設(shè)為tag vlan模式。Ø switch(config-if)#end5） 驗(yàn)證配置并記錄實(shí)驗(yàn)結(jié)果：Ø SWITCH #show vlan !查看已配置的VLAN信息【實(shí)驗(yàn)結(jié)果記錄】 6） 測(cè)試驗(yàn)證，兩臺(tái)主機(jī)現(xiàn)在可以相互通訊，并記錄實(shí)驗(yàn)結(jié)果。【實(shí)驗(yàn)結(jié)果記錄】步驟3、看交換機(jī)端口fastEthernet 0

10、/1的配置信息。Ø s2126-7-1#show interfaces fastEthernet 0/1 switchport參考信息Interface Switchport Mode Access Native Protected VLAN lists- - - - - - -Fa0/1 Enabled Access 10 1 Disabled All【實(shí)驗(yàn)結(jié)果記錄】 步驟4、配置交換機(jī)連接計(jì)算機(jī)的F0/1端口，開啟端口安全功能，綁定MAC及IP地址。§ 下面的例子是配置接口fastethernet0/1上的端口安全功能，配置端口綁定地址，主機(jī)MAC為00d0.f800.

11、073c(注：實(shí)驗(yàn)中用交換機(jī)F0/1接口所連接計(jì)算機(jī)的MAC地址配置)，IP為192.168.10.1Ø SWITCH#configure terminalØ SWITCH (config)#interface fastethernet 0/1Ø SWITCH (config-if)#switchport mode accessØ SWITCH (config-if)#switchport port-security ！打開該接口的端口安全功能Ø SWITCH(config-if)#switchport port-security maximu

12、m 1！設(shè)置接口上安全地址的最大個(gè)數(shù)，范圍是1128，缺省值為128ØØ SWITCH(config-if)#switchportport-securitymac-address 00d0.f800.073c ip-address 192.168.10.1（或者：192.168.10.2） Ø S2126G-1-1 (config-if)# end【特別提醒】端口地址綁定配置中，MAC地址要使用集成網(wǎng)卡的地址，不要使用獨(dú)立網(wǎng)卡的地址，如果已經(jīng)綁定了其他的地址，可以先修改安全地址的最大數(shù)超過1個(gè)，再次綁定集成網(wǎng)卡的MAC地址，或者刪除綁定錯(cuò)誤的MAC地址，重新配置M

13、AC地址的綁定。另外要注意MAC地址的使用格式，不要出錯(cuò)。SWITCH# show port-security address【參考信息】Vlan Mac Address IP Address Type Port Remaining Age(mins)- - - - - -10 0016.76d6.d832 192.168.10.1 Configured Fa0/1 【實(shí)驗(yàn)結(jié)果記錄】 § 查看所有接口的安全統(tǒng)計(jì)信息，包括最大安全地址數(shù)，當(dāng)前安全地址數(shù)以及違例處理方式等Ø SWITCH#show port-security 【參考信息】Secure Port MaxSecur

14、eAddr(count) CurrentAddr(count) Security Action- - - -Fa0/1 1 1 Protect【實(shí)驗(yàn)結(jié)果記錄】步驟5、測(cè)試計(jì)算機(jī)的連通性，兩臺(tái)交換機(jī)的端口地址綁定都正確的情況下，并不會(huì)影響網(wǎng)絡(luò)的連通性?！緦?shí)驗(yàn)結(jié)果記錄】步驟6、將兩臺(tái)計(jì)算機(jī)的連接位置改變，PC1接S3550的F0/1接口，IP改為192.168.10.2/24，PC2接S2126的F0/1接口，IP地址改為：192.168.10.1/24,此時(shí)，交換機(jī)安全端口上連接的設(shè)備的MAC地址發(fā)生了改變，但I(xiàn)P地址沒有變，在這種情況下再測(cè)試兩臺(tái)計(jì)算機(jī)的連通性，應(yīng)該是不通的。【實(shí)驗(yàn)結(jié)果記錄1】

15、PC1和PC2的MAC地址及IP地址【實(shí)驗(yàn)結(jié)果記錄2】連通性測(cè)試結(jié)果步驟7、再將兩臺(tái)計(jì)算機(jī)接回原來(lái)的位置，此時(shí)，交換機(jī)安全端口上連接的計(jì)算機(jī)的物理地址與綁定的地址是一致的，但主機(jī)IP地址與綁定的IP是不同的，再測(cè)試兩臺(tái)計(jì)算機(jī)還是不通的?！緦?shí)驗(yàn)結(jié)果記錄1】PC1和PC2的MAC地址及IP地址【實(shí)驗(yàn)結(jié)果記錄2】連通性測(cè)試結(jié)果步驟8、只有將兩臺(tái)計(jì)算機(jī)的IP地址再改回原來(lái)值，即PC1:192.168.10.1/24 PC2:192.168.10.2/24,再測(cè)試兩臺(tái)計(jì)算機(jī)的連通性，發(fā)現(xiàn)現(xiàn)在可以聯(lián)通了。【實(shí)驗(yàn)結(jié)果記錄】步驟9、查看驗(yàn)證交換機(jī)正在運(yùn)行的配置 switchA#show running-con

16、fig【參考信息】System software version : 1.66(3) Build Sep 7 2006 RelBuilding configuration.Current configuration : 578 bytesversion 1.0hostname s2126-8-1vlan 1!vlan 10!vlan 20!enable secret level 1 5 'T>H.Y*T3UC,tZV4D+S(W54G1X)svenable secret level 14 5 'Ttj9=G13U7R:>H.4u_;C,t54U0<D+Sena

17、ble secret level 15 5 &x;C,tZur<D+S(wx=G1X)sp:>H.Y*T!interface fastEthernet 0/1 switchport access vlan 10 switchport port-security switchport port-security maximum 1 switchport port-security mac-address 0016.76d6.d832 ip-address 192.168.10.1!interface fastEthernet 0/2 switchport access vlan 20!interface fastEthernet 0/4 switchport mode trunk!end【實(shí)驗(yàn)結(jié)果記錄】 【注意事項(xiàng)】1、 交換機(jī)所有端口在默認(rèn)情況下屬于ACCESS端口，可直接將端口加入某一VLAN，利用SWITCHPORT MODE ACCESS/TRUNK命令可以更改端口的VL