Protected Port的功能与配置

Switching
Switching 技术笔记
红茶三杯 CCIE 学习文档
文档版本： 文档作者： 文档备注：
2.0 红茶三杯 请关注文档版本及更新时间
更新时间： 文档地址：
2013-04-26
1 以太网
1.1 基础知识
1. About Ethernet Ethernet （以太网） 于 20 世纪 70 年代中期， 由 Xerox 公司分部 Palo Alto 研究中心 （PARC） 开发的。 Xerox 最早发明的是一个 2Mbps 的以太网 , 后来又和 Intel 和 DEC 合作开发了出了 10Mbps 的以太网 , 俗称 (Ethernet II 或 Ethernet DIX).后来 IEEE 通过 802 委员会(802 Committee)把 Ethernet 标准化为 IEEE 802.3。 它和 Ethernet II 十分相似。 在 TCP/IP 中， 以太网的 IP 数据报文的封装格式由 RFC 894 定义， IEEE802.3 网络的 IP 数据报文封装由 RFC 1042 定义。当今最常使用的封装格式是 RFC894 定义的格式，通常称为 Ethernet II 或者 Ethernet DIX。 2. 管理 MAC 表 show mac address-table clear mac address-table 绑定一个 mac 地址到一个接口 Switch(config)# mac address-table static 机器的 mac 要取消用 no mac address-static …… 接口 vlan vlan 号
2 二层交换
2.1 VLAN
2.1.1 VLAN 基本概念
学习 沉淀 成长 分享 – 网络工程师成长之路

1. 21RSPAN配置1. 本章描述锐捷设备的RSPAN配置。

1. 21.1概述2. 远程端口镜像(RSPAN)是本地端口镜像(SPAN)的扩展，远程端口镜像突破了源端口和目的端口必须在同一台设备上的限制，使源端口和目的端口之间可以跨越多个网络设备。

这样网络管理员就可以坐在中心机房通过分析仪观测远端被镜像端口的数据报文。

3. RSPAN实现的功能是将所有的被镜像报文通过一个特殊的RSPANVLAN(称为Remote VLAN)传递到远端镜像设备的目的端口，典型应用拓扑如下所示：4.1. RSPAN典型应用拓扑图5. 图中各设备的角色分为三种：1. 源交换机：远程镜像源端口所在的交换机，负责将源端口的报文复制一份从源交换机的输出端口输出，通过Remote VLAN进行转发，传输给中间交换机或目的交换机。

2. ⏹ 中间交换机：网络中处于源交换机和目的交换机之间的交换机，通过RemoteVLAN 把镜像报文传输给下一个中间交换机或目的交换机。

如果源交换机与目的交换机直接相连，则不存在中间交换机。

3. ⏹ 目的交换机：远程镜像目的端口所在的交换机，将从Remote VLAN 接收到的镜像报文通过镜像目的端口转发给监控设备。

6.各个交换机上参与RSPAN 的端口如下所示。

7.为了实现远程端口镜像功能，需要定义一个特殊的VLAN ，称之为Remote VLAN 。

这个VLAN 只传输镜像报文，不能用来承载正常的业务数据。

所有被镜像的报文通过该VLAN 从源交换机传递到目的交换机的指定端口，实现在目的交换机上对源交换机的远程端口的报文进行监控的功能。

1. ⏹ 在源交换机、中间交换机和目的交换机上，RSPAN 与本地SPAN 功能可以共存，互不冲突。

2. ⏹ 远程镜像Remote VLAN 内的报文不影响设备的CPU 利用率3. ⏹ 支持指定镜像目的口允许或不允许对外通讯，默认不允许对外通讯。

4. ⏹ 建议将镜像源端口和反射口设置于不同VLAN 内。

cisco交换机安全配置设定命令详解cisco交换机安全配置设定命令详解一、交换机访问控制安全配置1、对交换机特权模式设置密码尽量采用加密和md5hash方式switch(config)#enablesecret5pass_string其中0SpecifiesanUNENCRYPTEDpasswordwillfollow5SpecifiesanENCRYPTEDsecretwillfollow建议不要采用enablepasswordpass_sting密码，破解及其容易!2、设置对交换机明文密码自动进行加密隐藏switch(config)#servicepassword-encryption3、为提高交换机管理的灵活性，建议权限分级管理并建立多用户switch(config)#enablesecretlevel75pass_string7/7级用户进入特权模式的密码switch(config)#enablesecret5pass_string15/15级用户进入特权模式的密码switch(config)#usernameuserAprivilege7secret5pass_userA switch(config)#usernameuserBprivilege15secret5pass_userB /为7级，15级用户设置用户名和密码，Ciscoprivilegelevel 分为0-15级，级别越高权限越大switch(config)#privilegeexeclevel7commands/为7级用户设置可执行的命令,其中commands可以根据分配给用户的权限自行定义4、本地console口访问安全配置switch(config)#lineconsole0switch(config-line)#exec-timeout50/设置不执行命令操作的超时时间，单位为分钟和秒switch(config-line)#loggingsynchronous/强制对弹出的干扰日志信息进行回车换行，使用户输入的命令连续可见设置登录console口进行密码验证方式(1):本地认证switch(config-line)#password7pass_sting/设置加密密码switch(config-line)#login/启用登录验证方式(2):本地AAA认证switch(config)#aaanew-model/启用AAA认证switch(config)#aaaauthenticationloginconsole-ingroupacsserverlocalenable/设置认证列表console-in优先依次为ACSServer，local用户名和密码，enable特权密码switch(config)#lineconsole0switch(config-line)#loginauthenticationconsole-in/调用authentication设置的console-in列表5、远程vty访问控制安全配置switch(config)#access-list18permithostx.x.x.x/设置标准访问控制列表定义可远程访问的PC主机switch(config)#aaaauthenticationloginvty-ingroupacsserverlocalenable/设置认证列表vty-in,优先依次为ACSServer，local用户名和密码，enable特权密码switch(config)#aaaauthorizationcommands7vty-ingroupacsserverlocalif-authenticated/为7级用户定义vty-in授权列表，优先依次为ACSServer,local授权switch(config)#aaaauthorizationcommands15vty-ingroupacsserverlocalif-authenticated/为15级用户定义vty-in授权列表，优先依次为ACSServer,local 授权switch(config)#linevty015switch(config-line)#access-class18in/在线路模式下调用前面定义的标准ACL18switch(config-line)#exec-timeout50/设置不执行命令操作的超时时间，单位为分钟和秒switch(config-line)#authorizationcommands7vty-in/调用设置的授权列表vty-inswitch(config-line)#authorizationcommands15vty-inswitch(config-line)#loggingsynchronous/强制对弹出的干扰日志信息进行回车换行，使用户输入的命令连续可见switch(config-line)#loginauthenticationvty-in/调用authentication设置的vty-in列表switch(config-line)#transportinputssh/有Telnet协议不安全，仅允许通过ssh协议进行远程登录管理6、AAA安全配置switch(config)#aaagroupservertacacs+acsserver/设置AAA服务器组名switch(config-sg-tacacs+)#serverx.x.x.x/设置AAA服务器组成员服务器ipswitch(config-sg-tacacs+)#serverx.x.x.xswitch(config-sg-tacacs+)#exitswitch(config)#tacacs-serverkeypaa_string/设置同tacacs-server服务器通信的密钥二、交换机网络服务安全配置禁用不需要的各种服务协议switch(config)#noservicepadswitch(config)#noservicefingerswitch(config)#noservicetcp-small-serversswitch(config)#noserviceudp-small-serversswitch(config)#noserviceconfigswitch(config)#noserviceftpswitch(config)#noiphttpserverswitch(config)#noiphttpsecure-server/关闭http,https远程web管理服务，默认cisco交换机是启用的三、交换机防攻击安全加固配置MACFlooding(泛洪)和Spoofing(欺骗)攻击预防方法：有效配置交换机port-securitySTP攻击预防方法：有效配置rootguard,bpduguard,bpdufilterVLAN，DTP攻击预防方法：设置专用的nativevlan;不要的接口shut或将端口模式改为accessDHCP攻击预防方法：设置dhcpsnoopingARP攻击预防方法：在启用dhcpsnooping功能下配置DAI和port-security在级联上层交换机的trunk下switch(config)#intgix/x/xswitch(config-if)#swmodetrunkswitch(config-if)#swtrunkencapsdot1qswitch(config-if)#swtrunkallowedvlanx-xswitch(config-if)#spanning-treeguardloop/启用环路保护功能，启用loopguard时自动关闭rootguard接终端用户的端口上设定switch(config)#intgix/x/xswitch(config-if)#spanning-treeportfast/在STP中交换机端口有5个状态：disable、blocking、listening、learning、forwarding，只有处于forwarding状态的端口才可以发送数据。

实验七交换机端口保护配置实验目的：Switchport protected配置及测试背景知识和实验内容：假设现在C2960为一台宾馆的ED-SW,做普通的客房PC接入。

要求每个Edge端口间不能相互访问，但是可以访问Core11. PC1 ping PC2 测试Edge端口间的互通性2. 在C2960 Edge端口上启用Switchport protect功能，连接到Core1的端口除外3. 再次测试PC1与PC2的互通性4. 再次测试PC1与Core1的互通性实验拓扑：Core1 int vlan 88: 192.168.88.240/24 loopback0: 192.168.100.253/32ED-SW int vlan 88: 192.168.88.243/24PC1: 192.168.88.88/24PC2: 192.168.88.89/24实验步骤：基本配置：所有交换机端口设置成access模式，并划分到vlan88，启用portfast Core1 vlan88 IP：192.168.88.240/24Core1 loopback0 IP: 192.168.100.253/32ED-SW vlan 88 IP: 192.168.88.242/24ED-SW 默认网关为：192.168.88.240PC1 IP: 192.168.88.88/24PC2 IP: 192.168.88.89/24Core1:ED-SW:PC: (如果PC是用Router模拟的，那么可以使用以下命令)2. 在C2960 Edge端口上启用Switchport protect功能，连接到Core1的端口除外3. 再次测试PC1与PC2的互通性4. 再次测试PC1与Core1的互通性switchport protected的端口相互通信实验结果分析：如果要实现更加细致的vlan内端口间的相互通信，推荐使用PVLAN技术。