端口安全
本次实验的目的主要是对交换机端口安全的配置，实验分为两块内容，1为将交换机的端
口配置成最大连接数为1，即maximum为1，2为将交换机的端口和固定的mac地址绑定,见下：
首先我们按照拓扑将设备连接起来，PC1之所以没有与hub连接，是因为其为测试的PC，
该实验的主要配置为交换机，首先将PC0和PC1分配IP地址：
PC0：192.168.1.2PC1:192.168.1.3
255.255.255.0255.255.255.0
192.168.1.1192.168.1.1交换机的配置为：
Switch>en
Switch#conft
Switch(config)#hostnameSW
SW(config)#enablepasswordyaoSW(config)#exit
SW#vlandatabase
SW(vlan)#vlan10
VLAN10added:
Name:VLAN0010SW(vlan)#exit
APPLYcompleted.
Exiting....
SW#conft
SW(config)#interfacefastEthernet0/1SW(config-if)#switchportaccessvlan10
SW(config-if)#switchportport-security
Commandrejected:FastEthernet0/1isadynamicport.（这里需要注意，出错的原因是该端口
为一个动态的端口，需要将其定义为access模式或trunk模式才行）SW(config-if)#switchportmodeaccess（将端口定义为access模式）
SW(config-if)#switchportport-security（开启端口安全）
SW(config-if)#switchportport-securitymaximum1（允许最大的连接为1）
SW(config-if)#switchportport-securityviolationshutdown（如果超过最大连接数为1，则该端口将自动关闭）
交换机端口隔离安全策略实验报告
1. 简介
本实验旨在研究交换机端口隔离安全策略的实施方法和效果。通过实验，我们可以深入了解交换机端口隔离的原理和实际应用，并评估其对网络安全的影响。
2. 实验目的
本实验的主要目的如下：
- 探究交换机端口隔离的原理，包括虚拟局域网（VLAN）和访问控制列表（ACL）的应用；
- 实验验证交换机端口隔离策略对网络安全的影响；
- 分析交换机端口隔离策略的优点和不足，并提出改进建议。
3. 实验环境
为了确保实验能够顺利进行，我们搭建了如下实验环境：
- 三台计算机，分别命名为PC1、PC2和PC3，连接到一个交换机；
- 一个路由器连接到交换机，提供访问外部网络的功能；
- 交换机的端口配置合理，符合实验需求。
4. 实验步骤
4.1 配置交换机端口隔离 根据实验需求，将交换机的端口划分为不同的VLAN，每个VLAN代表一个虚拟局域网。通过VLAN的划分，我们可以将不同的端口隔离开来，实现不同虚拟网络之间的隔离。
4.2 配置访问控制列表（ACL）
在交换机上配置访问控制列表，限制从一个VLAN到另一个VLAN的访问。通过ACL的配置，我们可以设置允许或拒绝特定VLAN之间的通信，从而加强网络的安全性。
4.3 实验验证
在配置完交换机端口隔离策略后，我们通过以下步骤来验证实验结果：
- 在PC1上打开命令提示符窗口，执行ping命令以测试与PC2和PC3之间的连通性。在ACL配置允许的情况下，应该能够成功收到响应；
- 在ACL配置拒绝的情况下，再次执行ping命令，应该无法收到响应。
5. 实验结果和分析
通过实验验证，我们得出以下结果和分析：
- 交换机端口隔离安全策略成功实施，实现了不同VLAN之间的隔离； - 在ACL配置允许的情况下，允许特定VLAN之间的通信，并保证网络正常运行；
- 在ACL配置拒绝的情况下，限制特定VLAN之间的通信，提高了网络的安全性。
２０１０年７月
交换机的安全防范技术
王 辉 甘 晨 张 俊
（１．中交第二公路勘察设计研究院金思路科技发展有限责任公司 武汉４３００５２；
２．湖北省武黄高速公路经营有限公司 武汉４３０２０５）
摘要交换机是网络中重要的硬件设备，与网络的整体安全性有着直接的密切的联系，是攻击
者人侵和病毒肆虐的重点对象。文中分析了几种针对交换机的攻击方法及原理，介绍了针对交换
机攻击的几种防范措施。
关键词交换机局域网ＶＬＡＮ ＶＴＰ安全
随着计算机网络的日益普及，网络的安全性
越来越受到人们的关注。交换机是一个网络中主
要的硬件设备，其安全性与网络的整体安全性有
着直接的密切的联系。随着局域网的广泛互连，
加上ＴＣＰ／ＩＰ协议本身的开放性，网络安全成为
一个突出问题，而交换机作为网络环境中重要的
转发设备，其普通安全特性已经无法满足现在的
安全需求，因此交换机需要增加安全防范措施来
应对出现的安全威胁。
１未用端口与ＭＡＣ寻址
１．１禁用未用端口
多数网络的交换都有一些未使用的端口，这
些端口实际上是潜在的安全漏洞，因为任何人都
可以连接到未使用的端口并访问网络。为了保障
网络的安全性，只要有可能就应该禁用网络中所
有交换机的未使用端口，以后根据需要启用这些
被禁用的端口。这种解决方案带来了一些不便：
如果网络规模比较大，而且上网人员需求变化大，
网络管理员由于不得不经常启用交换机上的端口
而浪费大量的时间。
１．２ ＭＡＣ地址绑定
一种更好的解决方案是通过ＭＡＣ地址绑定
限制对端口的访问。ＭＡＣ寻址的原理是：把能
通过交换机访问的机器网卡的ＭＡＣ地址预先保
持在交换机中，当某机接入交换机的端口时，交换
机首先查看ＭＡＣ地址表，若该机网卡的ＭＡＣ
地址不存在，就拒绝端口转发流量。目前，多数交
换机都支持这种特性。通常，对于相对静态的网
收稿日期：２０１０—０６—１２ 络，还可以把用户机器网卡的ＭＡＣ地址绑定到
交换机安全-实施DHCP Snooping和IP ARP inspection
功能了解
了解DHCP Snooping
1. DHCP Snooping功能概述
DHCP都非常熟悉了，对于DHCP客户端而言，初始过程中都是通过发送广播的DHCP
discovery消息寻找DHCP服务器，然而这时候如果内网中存在私设的DHCP服务器，那么就会对网络造成影响，例如客户端通过私设的DHCP服务器拿到一个非法的地址，最终导致PC无法上网。
2. DHCP Snooping技术特性
特性 功能 支持条件 部署建议
DHCP Snooping 防止伪装DHCP服务器防止DHCP欺骗/攻击 2918/2950 不支持，2960是最低支持版本不能防止
ARP 欺骗/攻击 能防止网络中伪装DHCP
接入，建议至少在核心和汇聚层实施该特性，条件具备时，尽量全网实施。
3. DHCP Snooping基本特征
DHCP Snooping将交换机分为Trust和Untrust两种安全级别端口
DHCP Snooping仅接收并处理来自Trust接口的DHCP报文信息
DHCP Snooping仅对目标VLAN起作用，其他Vlan无影响 DHCP Snooping维护一张基本绑定数据库（binding database）保存针对Untrust接口的MAC地址、IP地址（DHCP分配的）、租期、绑定类型、VLAN号、接口编号
DHCP Snooping为DAI的防ARP欺骗提供基本条件
4. DHCP Snooping保护目的
防止局域网内非法私立DHCP服务器分发IP地址，影响网络
5. DHCP Snooping实施原则：
条件具备的情况下，全网实施效果最好
DHCP Snooping实施后，对整个 VLAN 生效，默认端口为非信任端口，因此建议反向实施，即先部署DHCP Snooping，再修改接入交换机的上行接口为信任接口。
