下载文档原格式
组网需求在如图1-4 所示的网络中，由于接口Ethernet0/0/2 所连接的网络中存在安全隐患，因此需要将它和接口Ethernet0/0/1 单向隔离，和接口Ethernet0/0/3 双向隔离。
配置思路采用如下思路配置接口隔离：l 创建VLAN 6 并将接口Ethernet0/0/1、Ethernet0/0/2、Ethernet0/0/3 加入VLAN。
l 在接口Ethernet0/0/2 上配置它对接口Ethernet0/0/1 单向隔离。
l 将接口Ethernet0/0/2、Ethernet0/0/3 批量加入接口组，配置接口隔离功能，实现双向隔离。
数据准备S-switch-A 与三个LAN Switch 相连的接口编号。
配置步骤1. 创建VLAN 6 并将接口Ethernet0/0/1、Ethernet0/0/2、Ethernet0/0/3 加入VLAN。
[Quidway] vlan 6[Quidway-vlan6] port ethernet 0/0/1 to 0/0/3[Quidway-vlan6] quit2. 在接口Ethernet0/0/2 上配置它对接口Ethernet0/0/1 单向隔离。
[Quidway] interface ethernet0/0/2[Quidway-Ethernet0/0/2] am isolate ethernet 0/0/1[Quidway-Ethernet0/0/2] quit3. 将接口Ethernet0/0/2、Ethernet0/0/3 批量加入接口组geli，并配置接口隔离功能，实现双向隔离。
[Quidway] port-group geli[Quidway-port-group-geli] group-member Ethernet 0/0/2 to Ethernet 0/0/3[Quidway-port-group-geli] port-isolate enable[Quidway-port-group-geli] quit或者将接口Ethernet0/0/2 和接口Ethernet0/0/3 加入隔离组，也可保证接口Ethernet0/0/2 和接口Ethernet0/0/3 的双向隔离。
交换机端口安全技术讲义一、为什么需要端口安全技术？- 交换机是网络中非常重要的设备，端口是交换机连接其他设备的接口。
因此，保护交换机端口的安全对于整个网络的安全至关重要。
二、常见的端口安全技术1. MAC地址绑定- 通过将特定MAC地址与端口进行绑定，只有被绑定的设备才能使用该端口进行通信，其他设备将无法访问该端口。
2. 802.1X认证- 802.1X是一种端口认证协议，通过在交换机端口上实施认证服务，可以有效地防止未授权的设备接入网络。
只有经过认证的设备才能使用交换机端口。
3. 端口安全限制- 通过设置每个交换机端口允许连接的最大设备数量，可以防止未经授权的设备接入网络。
4. DHCP snooping- 通过检测和验证DHCP报文，防止恶意DHCP服务器对网络设备进行攻击或者误导。
5. 端口状态监控- 交换机可以监控端口的通信状态，一旦发现异常情况，可以及时做出处理，防止网络安全风险。
三、如何实施端口安全技术- 在交换机上配置相应的端口安全措施，包括MAC地址绑定、802.1X认证、端口安全限制、DHCP snooping等，并定期对端口进行监控和审计，及时发现并处理异常情况。
四、端口安全技术带来的好处- 通过实施端口安全技术，可以有效地防止未经授权的设备接入网络，保护网络的安全。
同时，也可以有效地减少网络故障和攻击的风险，保障网络的正常运行。
五、端口安全技术的应用场景端口安全技术广泛应用于企业、学校、政府机构以及各种组织和机构的网络中。
无论是小型局域网还是大型企业网络，都需要采取端口安全技术来保护网络的安全和稳定性。
特别是在一些对网络安全要求较高的领域，如金融、医疗、军事等，端口安全技术更是不可或缺的一部分。
六、端口安全技术的挑战与解决方案虽然端口安全技术在保护网络安全方面起到了重要作用，但也面临着一些挑战。
例如，管理和维护成本较高、配置复杂、容易受到攻击等。
为了解决这些问题，可以采取以下措施：1. 自动化管理工具：可以使用自动化管理工具来简化端口安全技术的配置和管理，减少人工操作的成本和错误。
交换机端口隔离流控关闭标准模式交换机端口隔离流控关闭标准模式：构建高效网络通信的关键要素1. 概述1.1 交换机作为计算机网络中重要的设备之一，负责将数据包从一个端口转发到另一个端口，实现网络通信。
1.2 端口隔离、流控关闭、标准模式是交换机的关键功能，它们协同工作，有助于提高网络通信的效率和安全性。
2. 端口隔离2.1 端口隔离是一种通过配置交换机来实现对不同端口之间的流量分割的技术。
2.2 在网络中，不同的端口可能承载不同类型的流量，如语音、视频和数据等，通过端口隔离可以将这些流量分开处理，减少互相之间的干扰。
2.3 一个交换机集成了语音、视频和数据，通过配置端口隔离，可以保证语音的实时性、视频的流畅性，同时不影响数据的传输速度和稳定性。
2.4 端口隔离还可以用于隔离不同网络的流量，增强网络的安全性。
3. 流控关闭3.1 流控关闭是一种配置交换机的方式，用于控制流量在端口之间的传输速率。
3.2 在网络通信中，流量过大可能导致拥塞，从而影响数据的正常传输。
通过关闭某些端口的流控功能，可以提高网络的传输效率。
3.3 在一个网络中，某些端口的流量较大，可以关闭其流控功能，使其能够更快地传输数据，提高网络的整体性能。
3.4 然而，关闭流控功能也可能会导致网络拥塞，需要合理配置，根据网络的实际情况进行调整。
4. 标准模式4.1 标准模式是交换机的一种工作模式，也称为"学习模式"。
4.2 在标准模式下，交换机会自动学习网络中各个端口的MAC 位置区域，并将这些位置区域与相应的端口绑定，从而实现数据包的转发。
4.3 标准模式具有自学习、自适应的特点，能够根据网络的变化自动调整MAC位置区域表，保证数据包能够迅速、准确地传输。
4.4 与标准模式相对应的是静态模式，静态模式需要手动配置MAC位置区域表，不具备自学习、自适应的能力。
5. 个人观点和理解5.1 在构建高效网络通信中，交换机起着重要的作用，而端口隔离、流控关闭和标准模式则是构建高效网络通信的关键要素。
华为交换机端口安全详解--端口隔离、环路检测与端口安全一、端口隔离--port-isolate组网需求如图1所示，要求PC1与PC2之间不能互相访问，PC1与PC3之间可以互相访问，PC2与PC3之间可以互相访问。
配置端口隔离功能# 配置端口隔离模式为二层隔离三层互通。
<Quidway> system-view[Quidway] port-isolate mode l2# 配置Ethernet0/0/1和Ethernet0/0/2的端口隔离功能。
<Quidway> system-view[Quidway] interface ethernet 0/0/1[Quidway-Ethernet0/0/1] port-isolate enable group 1[Quidway-Ethernet0/0/1] quit[Quidway] interface ethernet 0/0/2[Quidway-Ethernet0/0/2] port-isolate enable group 1[Quidway-Ethernet0/0/2] quitethernet 0/0/3 无需加入端口隔离组，处于隔离组的各个端口间不能通信查看当前配置disp cur#sysname Quidway#interface Ethernet0/0/1port-isolate enable group 1#interface Ethernet0/0/2port-isolate enable group 1#interface Ethernet0/0/3#return验证配置结果：PC1和PC2不能互相ping通，PC1和PC3可以互相ping通，PC2和PC3可以互相ping通。
实现了需求。
二、端口防环--port-security适用与华为交换机，防止下级环路，自动shutdown下级有环路的端口。
<Huawei>system view#loopback-detect enable 全局模式下，启用环路检测功能# interface GigabitEthernet0/0/1loopback-detect action shutdown 如果下级有环路，shutdown本端口# interface GigabitEthernet0/0/2loopback-detect action shutdown# interface GigabitEthernet0/0/3loopback-detect action shutdown#……那如何检测与识别环路并定位呢？详见这个：https:///view/1599b6a22cc58bd63086bd5d.html三、端口安全--port-security在网络中MAC地址是设备中不变的物理地址，控制MAC地址接入就控制了交换机的端口接入，所以端口安全也是对MAC的的安全。
一、原理1、首先必须明白两个概念：可靠的MAC地址。
设置时候有三种类型。
静态可靠的MAC地址：在交换机接口模式下手动设置，这个设置会被保存在交换机MAC地址表和运行设置文件中，交换机重新启动后不丢失（当然是在保存设置完成后），具体命令如下：Switch(config-if)#switchport port-security mac-address Mac地址动态可靠的MAC地址：这种类型是交换机默认的类型。
在这种类型下，交换机会动态学习MAC地址，不过这个设置只会保存在MAC 地址表中，不会保存在运行设置文件中，并且交换机重新启动后，这些MAC地址表中的MAC地址自动会被清除。
黏性可靠的MAC地址：这种类型下，能手动设置MAC地址和端口的绑定，也能让交换机自动学习来绑定，这个设置会被保存在MAC 地址中和运行设置文件中，如果保存设置，交换机重起动后不用再自动重新学习MAC地址，虽然黏性的可靠的MAC地址能手动设置，不过CISCO官方不推荐这样做。
具体命令如下：Switch(config-if)#switchport port-security mac-address sticky 其实在上面这条命令设置后并且该端口得到MAC地址后，会自动生成一条设置命令Switch(config-if)#switchport port-security mac-address sticky Mac地址这也是为何在这种类型下CISCO不推荐手动设置MAC地址的原因。
2、违反MAC安全采取的措施：当超过设定MAC地址数量的最大值，或访问该端口的备MAC地址不是这个MAC地址表中该端口的MAC地址，或同一个VLAN中一个MA地址被设置在几个端口上时，就会引发违反MAC地址安全，这个时候采取的措施有三种：保护模式（protect）：丢弃数据包，不发警告。
．限制模式（restrict）：丢弃数据包发警告，发出SNMP trap，同时被记录在syslog日志里。
高校WLAN POE交换机端口隔离功能配置WLAN网络由于受其接入方式、服务用户的差异性，在同一接入点下的用户之间一般不需要进行相互的访问；并且为了防止同一接入点下的用户终端的问题影响其他用户的使用，我们需要对同一接入点下以及整个网段内的用户进行相互之间的二三层隔离来保证用户的正常网络访问。
在正常情况下，交换机的不同端口间的数据包能够自由的转发。
在某些情况下，需要禁止端口之间的数据流，端口隔离功能就是提供这种控制的，设置隔离功能的端口之间不能够再有数据包通信，其它没有隔离的端口之间以及隔离端口和未隔离端口之间的数据包仍然能够正常转发。
下面我们对高校WLAN网络中常见几个厂家的POE交换机配置端口隔离功能进行详细的讲解。
1、烽火交换机配置烽火交换机由于采购批次以及硬件版本问题，在配置端口隔离功能时参数略有不同。
主要的区别为有带外网管口和无带外网管口之分，有无带外网管口的区别为查看交换机端口面板看是否带有网线配置端口。
下面分别对这两种交换机的配置参数进行说明：在配置端口隔离功能前我们需要先将POE交换机的端口从系统默认VLAN1中删除，通过TELNET 或者串口方式登录交换机设备，查看交换机上配置的VLAN1中是否有端口加入。
Fengine#showvlan如果设备中存在VLAN1，并且所有端口的配置状态全为U，我们将把1-26号端口从VLAN中删除。
Fengine#configureFengine(config)#interface vlan 1Fengine(config-vlan-1)#no member 1-26Fengine(config-vlan-1)#end有带外网管口的交换机配置：1、配置端口隔离功能需要事先配置PVLAN ,并且将交换机的业务端口加入PVLAN中。
这里需要特别指出端口隔离功能的配置只针对交换机的下行端口进行配置，交换机的上行端口（上行到汇聚交换机）无需配置。
大家在配置前请确认POE交换机的上行端口（一般为25-26口）以免造成不必要的断网。
交换机端口安全之——端口地址绑定和端口隔离【实验目的】1、掌握交换机静态端口绑定、动态端口绑定的原理和配置方法，并灵活运用。
2、了解交换机端口隔离在网络安全中所起作用，掌握其配置方法。
3、掌握端口隔离和VLAN划分的区别。
【实验环境】H3C二层交换机S3100-16TP-EI、S3100-16C-SI，PC机3台，标准网线若干。
【引入案例1】办公室主任的电脑配置在一个特定的地址段中，公司对该地址段开放了特殊的上网权限。
有一天，主任的电脑上弹出了“IP地址冲突”的对话框。
有员工盗用了他的IP上网浏览。
【案例分析】当网络的布置很随意，并且没有任何安全设置的时候，用户只要插上网线，在任何地方都能够上网，这虽然使正常情况下的大多数用户很方便很满意，却很容易出现案例1中用户盗用IP的现象。
解决上述问题的一个较好的办法是将用户主机和接入交换机的端口进行绑定，也就是说，特定主机只有在某个特定端口下发出数据帧时，才能被交换机接收并转发，如果这台主机移动到其他位置，则无法实现正常访问网络。
通过绑定技术，建立起“用户主机－交换机端口”的对应关系，在安全管理上起着至关重要的作用。
【基本原理】网卡的MAC地址的唯一性确定了MAC地址在网络中代表着计算机身份证的作用。
为了安全和方便管理，网络管理员将对用户计算机的MAC地址进行登记，并将MAC地址与接入交换机的端口进行绑定。
MAC地址与交换机端口绑定后，该MAC地址的数据流只能从绑定端口进入，不能从其他端口进入，也就是说，特定主机只有在某个特定端口下发出数据帧时，才能被交换机接收并转发，如果这台主机移动到其他位置，则无法实现正常上网。
MAC地址和交换机端口绑定后，该交换机端口仍然可以允许其他MAC 地址的数据流通过。
实际上，一些工具软件和病毒很容易伪造计算机的MAC0021-85CE-418D10.0.0.3 Ethernet1/0/3 PC1MAC:0021-85CE-47E5IP:10.0.0.3 PC2PC3MAC:0021-85CE-4450IP:10.0.0.1 IP:10.0.0.2 MAC:0021-85CE-4452E1/0/1E1/0/2E1/0/3【命令介绍】1、将用户的MAC 地址和IP 地址绑定到指定端口上。
am user-bind mac-addr mac-address { ip-addr ip-address | ipv6 ipv6-address } [ interface interface-type interface-number ]〖视图〗系统视图/以太网端口视图〖参数〗●interface interface-type interface-number：指定绑定的端口。
其中interface-type interface-number表示端口类型和端口编号。
●ip-addr ip-address：指定需要绑定的IP地址。
其中ip-address表示绑定的IP地址。
●mac-addr mac-address：指定需要绑定的MAC地址。
其中mac-address表示绑定的MAC地址，格式为H-H-H。
〖例〗在系统视图下将MAC地址为000f-e200-5101，IP地址为10.153.1.1的合法用户与端口Ethernet1/0/1进行绑定。
[H3C] system-viewSystem View: return to User View with Ctrl+Z.[H3C] am user-bind mac-addr 000f-e200-5101 ip-addr 10.153.1.1 interface Ethernet1/0/12．显示端口绑定的配置信息display am user-bind [ interface interface-type interface-number | ip-addrip-addr| mac-addr mac-addr ]〖视图〗任意视图。
〖例〗显示当前所有端口绑定的配置信息。
<H3C> display am user-bindFollowing User address bind have been configured:Mac IP Port000f-e200-5101 10.153.1.1 Ethernet1/0/1000f-e200-5102 10.153.1.2 Ethernet1/0/2Unit 1:Total 2 found, 2 listed.E1/0/1E1/0/2PC1:10.0.0.1PC2:10.0.0.2二、实验步骤1、按拓扑图连接好设备，配置PC的IP地址，并获取PC的MAC地址，使用命令行模式下的ipconfig/all命令查看PC的MAC地址。
2、将PC 1的MAC地址和IP地址绑定到Ethernet1/0/1端口。
3、端口绑定验证。
①在PC1上用Ping命令来测试到PC2的互通性。
②改变PC1的IP为10.0.0.3，再次用Ping命令来测试到PC2的互通性。
③将PC1连接到Ethernet1/0/2端口，修改IP为10.0.0.1，并将PC2连接到Ethernet1/0/1端口，修改IP为10.0.0.2。
用Ping命令来测试PC1到PC2的互通性。
4、将上述步骤及其结果记录在实验报告中。
【引入案例2】某网吧终端较多，并且终端IP由DHCP动态分配。
为了使每一台机器被固定在一个位置，保证整个网络的可管理性，网络管理员小王考虑实施动态的MAC地址和端口绑定。
【案例分析】在机房和网吧，为了方便监管，最常用的一种方法就是实施MAC和交换机端口绑定。
在终端较多的情况下，一台一台机器查看MAC地址实施静态绑定的办法工作量实在太大了，启动交换机中的端口安全功能，并对动态学习的MAC地址进行绑定转换成为必由之路。
比如，可以把第一次连接到交换机端口上的MAC地址绑定到该端口上。
【基本原理】端口安全（Port Security）是一种对网络接入进行控制的安全机制，是对已有的802.1x认证和MAC地址认证的扩充。
Port Security的主要功能就是用户通过定义各种安全模式，让设备学习到合法的源MAC地址，并只允许源MAC地址合法的报文通过本端口。
1．Port Security的安全模式Port Security的安全模式主要有：（1）noRestriction：无限制模式。
此模式下，端口处于无限制状态，是端口的默认状态。
（2）autoLearn：自动学习模式。
此模式下，端口学习到的MAC地址会转变为Security MAC地址。
该模式下，当端口下的Security MAC地址数超过的设置的最大MAC地址数后，端口模式会自动转变为Secure模式。
之后，该端口不会再添加新的Security MAC，只有源MAC地址为Security MAC的报文，才能通过该端口。
（3）Secure：安全模式。
此模式下，禁止端口学习MAC地址，只有源MAC 是端口已经学习到的Security MAC或者已配置的静态MAC的报文，才能通过该端口。
2．Security MACSecurity MAC是一种特殊的MAC地址，它不会被老化。
在同一个VLAN内，一个Security MAC地址只能被添加到一个端口上，利用这个特点可以实现同一VLAN内MAC地址与端口的绑定。
Security MAC可以由启用端口安全功能的端口自动学习，也可以由用户手动配置。
在添加Security MAC地址之前，需要先配置端口的安全模式为autoLearn。
配置端口的安全模式为autoLearn之后，端口的MAC地址学习方式将会发生如下变化：（1）端口原有的动态MAC被删除；（2）当端口的Security MAC没有达到配置的最大数目时，端口新学到的MAC地址会被添加为Security MAC；（3）当端口的Security MAC到达配置的最大数目时，端口将不会继续学习MAC地址，端口状态将从autoLearn状态转变为Secure状态。
3．端口安全的特性启动了端口安全功能之后，当发现非法报文或非法事件后，系统将触发相应特性，并按照预先指定的方式自动进行处理。
端口安全的特性包括：（1）NTK特性：NTK（Need To Know）特性通过检测从端口发出的数据帧的目的MAC地址，保证数据帧只能被交换机发送到已经通过认证的设备上，从而防止非法设备窃听网络数据。
（2）Intrusion Protection特性：该特性通过检测端口接收到的数据帧的源MAC地址或802.1x认证的用户名、密码，发现非法报文或非法事件，并采取相应的动作，包括暂时断开端口连接、永久断开端口连接或者过滤源地址是此MAC 地址的报文，保证了端口的安全性。
（3）Trap特性：该特性是指当端口有特定的数据包（由非法入侵，用户不正常上下线等原因引起）传送时，设备将会发送Trap信息，便于网络管理员对这些特殊的行为进行监控。
【命令介绍】1．启动端口安全功能port-security enable〖视图〗系统视图。
在启动端口安全功能之前，需要关闭全局的802.1x和MAC地址认证功能。
2．设置autoLearn模式下端口允许接入的最大MAC地址数port-security max-mac-count count-value〖视图〗以太网端口视图〖参数〗max-mac-count count-value：指定接入的最大MAC地址数。
count-value 取值范围为1~1024。
缺省情况下，最大MAC地址数不受限制。
3．配置端口安全模式port-security port-mode { autolearn｜secure｜… }〖视图〗以太网端口视图〖参数〗autolearn、secure等为各种安全模式类型。
缺省情况下，端口处于noRestriction模式，此时该端口处于无限制状态。
根据实际需要，用户可以配置不同的安全模式。
当用户设置端口安全模式为autolearn时，首先需要使用port-security max-mac-count命令设置端口允许接入的最大MAC地址数。
当端口工作于autolearn模式时，无法更改该最大值。
在用户设置端口安全模式为autolearn后，不能在该端口上配置静态或黑洞MAC地址。
在已经配置了安全模式的端口下，将不能再进行以下配置：（1）配置最大MAC地址学习个数；（2）配置镜像反射端口；（3）配置端口汇聚。
4．配置端口安全的相关特性（1）配置NTK特性port-security ntk-mode { ntkonly | ntk-withbroadcasts | ntk-withmulticasts }〖视图〗以太网端口视图〖参数〗●ntkonly：表示只有目的MAC地址是已认证的MAC地址的单播报文才能被成功发送。
