交換機(jī)路由器配置與管理任務(wù)教程第三章課件

1、23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理1第3章 交換機(jī)端口安全 23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理2學(xué)習(xí)目標(biāo) 知識目標(biāo)掌握交換機(jī)交換的基本原理掌握端口安全在網(wǎng)絡(luò)中的應(yīng)用技能目標(biāo)掌握交換機(jī)端口的安全配置的步驟與方法熟練掌握思科交換機(jī)MAC地址表的管理命令素養(yǎng)目標(biāo)建立基本的網(wǎng)絡(luò)信息安全意識了解企業(yè)常規(guī)的端口安全解決方案23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理3基本原理連接在交換機(jī)端口上的主機(jī)通過地址解析協(xié)議ARP相互查詢對方網(wǎng)卡的物理地址(又稱 MAC地址，即Media AccessC ontrol地址)，以便進(jìn)行相互間的數(shù)據(jù)幀的傳輸。由于交換機(jī)在數(shù)據(jù)傳遞過程中不用檢查第三層(網(wǎng)絡(luò)層)的包頭信息

2、，而是直接由第二層幀結(jié)構(gòu)中的MAC地址來決定數(shù)據(jù)的轉(zhuǎn)發(fā)目標(biāo)，因此，數(shù)據(jù)的交換過程幾乎沒有軟件的參與，從而大大提高了交換進(jìn)程的速率。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理4基本原理在交換式網(wǎng)絡(luò)中，各主機(jī)的MAC地址是存儲(chǔ)在交換機(jī)的MAC地址表(也稱MAC地址數(shù)據(jù)庫)中的。交換機(jī)在工作過程中，會(huì)向MAC地址表不斷寫入新學(xué)到的MAC地址。一旦交換機(jī)掉電或重新上電后，其內(nèi)部的MAC地址表會(huì)被自動(dòng)清空或清空后又重新建立。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理5MAC地址MAC地址是固化在網(wǎng)卡內(nèi)部用于唯一確定網(wǎng)卡身份的標(biāo)識，是網(wǎng)卡在生產(chǎn)時(shí)被永久寫入芯片的固定值。全球的網(wǎng)卡生產(chǎn)廠商按照買得的MAC地址范圍制

3、造網(wǎng)卡，因此不會(huì)有兩塊相同MAC地址的網(wǎng)卡。這樣，MAC地址就可用做唯一標(biāo)識設(shè)備的地址。第二層交換過程通過使用MAC地址在低層實(shí)現(xiàn)通信尋的，即是說，網(wǎng)絡(luò)中的數(shù)據(jù)包最終是通過MAC地址找到目標(biāo)的。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理6局域網(wǎng)的三種幀交換方式局域網(wǎng)交換機(jī)在傳送數(shù)據(jù)時(shí)，采用幀交換(Frame Switching)，該技術(shù)包括三種主要的交換方式，即：存儲(chǔ)轉(zhuǎn)發(fā)(Store and Forward)伺機(jī)通過(Cut Through)自由分段(FragmentFree)。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理7存儲(chǔ)轉(zhuǎn)發(fā)LAN switch復(fù)制整個(gè)幀到它的緩沖區(qū)里。然后計(jì)算CRC。幀的長短可

4、能不一樣,所以延時(shí)根據(jù)幀的長短而變化。如果CRC不正確,幀將被丟棄;如果正確， LAN switch查找硬件目標(biāo)地址然后轉(zhuǎn)發(fā)它們。交換機(jī)需要解讀數(shù)據(jù)幀的目的地址與源地址，并在MAC地址列表中進(jìn)行適當(dāng)?shù)倪^濾。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理8存儲(chǔ)轉(zhuǎn)發(fā)如果所接收到的數(shù)據(jù)幀存在錯(cuò)誤、太短(小于64B)或太長(大于l 518B)，最終都會(huì)被拋棄。采用這種轉(zhuǎn)發(fā)方式的交換機(jī)在接收數(shù)據(jù)幀時(shí)延遲較大，且越大的數(shù)據(jù)幀延遲時(shí)間越長。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理9伺機(jī)通過Cisco稱這種模式叫cut-through,fastforward或者real time模式,使用這種模式的時(shí)候，LAN swi

5、tch只讀取到幀的目標(biāo)地址為止,減少延時(shí),但是不適合于高偏向錯(cuò)誤率的網(wǎng)絡(luò)。在減少傳輸延遲的同時(shí)也削減了對數(shù)據(jù)幀的錯(cuò)誤檢測能力。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理10自由分段fragmentfree(modified cut-through):和cut-through類似，但在轉(zhuǎn)發(fā)數(shù)據(jù)之前，過濾有包錯(cuò)誤的沖突分段(長度為64B)。這是因?yàn)橥ǔＵJ(rèn)為數(shù)據(jù)幀的錯(cuò)誤總是發(fā)生在剛開始的64B內(nèi)。該方式的錯(cuò)誤檢測級別要高于伺機(jī)通過交換方式。是Catalyst 1900的默認(rèn)模式。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理11學(xué)習(xí)情境 23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理12端口安全配置任務(wù)計(jì)劃與設(shè)計(jì) 設(shè)計(jì)

6、局域網(wǎng)中的計(jì)算機(jī)配置192.168.1.0/30網(wǎng)段的地址。圖3-2標(biāo)出了每臺(tái)計(jì)算機(jī)的具體IP地址。交換機(jī)的名稱為switch1。設(shè)計(jì)交換機(jī)的Fa0/1端口只允許PC1通過。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理13任務(wù)實(shí)施與驗(yàn)證 23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理1423 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理1523 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理16配置交換機(jī)端口安全 Switch1enaSwitch1#conf tSwitch1(config)#int f0/1Switch1(config-if)#shutdown Switch1(config-if)#switchport mode

7、access Switch1(config-if)#switchport port-security Switch1(config-if)#switchport port-security maximum 1Switch1(config-if)#switchport port-security violation shutdown Switch1(config-if)#switchport port-security mac-address 00D0.BC49.D378！設(shè)定PC1的安全MAC地址。Switch1(config-if)#no shut 23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理17查看交換機(jī)端口安全信息 Switch1#show mac-address-table Mac Address Table-Vlan Mac Address Type Ports- - - - 1 0001.64eb.d81b DYNAMIC Fa0/2 1 00d0.bc49.d378 STATIC Fa0/1 拓展學(xué)習(xí)端口安全設(shè)置一般有三種方式，一是靜態(tài)配置一個(gè)端口允許訪問的主機(jī),二是建立基于 MAC 訪問控制列表，三是 IP