下载文档原格式
组网需求在如图1-4 所示的网络中，由于接口Ethernet0/0/2 所连接的网络中存在安全隐患，因此需要将它和接口Ethernet0/0/1 单向隔离，和接口Ethernet0/0/3 双向隔离。
配置思路采用如下思路配置接口隔离：l 创建VLAN 6 并将接口Ethernet0/0/1、Ethernet0/0/2、Ethernet0/0/3 加入VLAN。
l 在接口Ethernet0/0/2 上配置它对接口Ethernet0/0/1 单向隔离。
l 将接口Ethernet0/0/2、Ethernet0/0/3 批量加入接口组，配置接口隔离功能，实现双向隔离。
数据准备S-switch-A 与三个LAN Switch 相连的接口编号。
配置步骤1. 创建VLAN 6 并将接口Ethernet0/0/1、Ethernet0/0/2、Ethernet0/0/3 加入VLAN。
[Quidway] vlan 6[Quidway-vlan6] port ethernet 0/0/1 to 0/0/3[Quidway-vlan6] quit2. 在接口Ethernet0/0/2 上配置它对接口Ethernet0/0/1 单向隔离。
[Quidway] interface ethernet0/0/2[Quidway-Ethernet0/0/2] am isolate ethernet 0/0/1[Quidway-Ethernet0/0/2] quit3. 将接口Ethernet0/0/2、Ethernet0/0/3 批量加入接口组geli，并配置接口隔离功能，实现双向隔离。
[Quidway] port-group geli[Quidway-port-group-geli] group-member Ethernet 0/0/2 to Ethernet 0/0/3[Quidway-port-group-geli] port-isolate enable[Quidway-port-group-geli] quit或者将接口Ethernet0/0/2 和接口Ethernet0/0/3 加入隔离组，也可保证接口Ethernet0/0/2 和接口Ethernet0/0/3 的双向隔离。
交换机端口安全技术讲义一、为什么需要端口安全技术？- 交换机是网络中非常重要的设备，端口是交换机连接其他设备的接口。
因此，保护交换机端口的安全对于整个网络的安全至关重要。
二、常见的端口安全技术1. MAC地址绑定- 通过将特定MAC地址与端口进行绑定，只有被绑定的设备才能使用该端口进行通信，其他设备将无法访问该端口。
2. 802.1X认证- 802.1X是一种端口认证协议，通过在交换机端口上实施认证服务，可以有效地防止未授权的设备接入网络。
只有经过认证的设备才能使用交换机端口。
3. 端口安全限制- 通过设置每个交换机端口允许连接的最大设备数量，可以防止未经授权的设备接入网络。
4. DHCP snooping- 通过检测和验证DHCP报文，防止恶意DHCP服务器对网络设备进行攻击或者误导。
5. 端口状态监控- 交换机可以监控端口的通信状态，一旦发现异常情况，可以及时做出处理，防止网络安全风险。
三、如何实施端口安全技术- 在交换机上配置相应的端口安全措施，包括MAC地址绑定、802.1X认证、端口安全限制、DHCP snooping等，并定期对端口进行监控和审计，及时发现并处理异常情况。
四、端口安全技术带来的好处- 通过实施端口安全技术，可以有效地防止未经授权的设备接入网络，保护网络的安全。
同时，也可以有效地减少网络故障和攻击的风险，保障网络的正常运行。
五、端口安全技术的应用场景端口安全技术广泛应用于企业、学校、政府机构以及各种组织和机构的网络中。
无论是小型局域网还是大型企业网络，都需要采取端口安全技术来保护网络的安全和稳定性。
特别是在一些对网络安全要求较高的领域，如金融、医疗、军事等，端口安全技术更是不可或缺的一部分。
六、端口安全技术的挑战与解决方案虽然端口安全技术在保护网络安全方面起到了重要作用，但也面临着一些挑战。
例如，管理和维护成本较高、配置复杂、容易受到攻击等。
为了解决这些问题，可以采取以下措施：1. 自动化管理工具：可以使用自动化管理工具来简化端口安全技术的配置和管理，减少人工操作的成本和错误。
交换机端口隔离流控关闭标准模式交换机端口隔离流控关闭标准模式：构建高效网络通信的关键要素1. 概述1.1 交换机作为计算机网络中重要的设备之一，负责将数据包从一个端口转发到另一个端口，实现网络通信。
1.2 端口隔离、流控关闭、标准模式是交换机的关键功能，它们协同工作，有助于提高网络通信的效率和安全性。
2. 端口隔离2.1 端口隔离是一种通过配置交换机来实现对不同端口之间的流量分割的技术。
2.2 在网络中，不同的端口可能承载不同类型的流量，如语音、视频和数据等，通过端口隔离可以将这些流量分开处理，减少互相之间的干扰。
2.3 一个交换机集成了语音、视频和数据，通过配置端口隔离，可以保证语音的实时性、视频的流畅性，同时不影响数据的传输速度和稳定性。
2.4 端口隔离还可以用于隔离不同网络的流量，增强网络的安全性。
3. 流控关闭3.1 流控关闭是一种配置交换机的方式，用于控制流量在端口之间的传输速率。
3.2 在网络通信中，流量过大可能导致拥塞，从而影响数据的正常传输。
通过关闭某些端口的流控功能，可以提高网络的传输效率。
3.3 在一个网络中，某些端口的流量较大，可以关闭其流控功能，使其能够更快地传输数据，提高网络的整体性能。
3.4 然而，关闭流控功能也可能会导致网络拥塞，需要合理配置，根据网络的实际情况进行调整。
4. 标准模式4.1 标准模式是交换机的一种工作模式，也称为"学习模式"。
4.2 在标准模式下，交换机会自动学习网络中各个端口的MAC 位置区域，并将这些位置区域与相应的端口绑定，从而实现数据包的转发。
4.3 标准模式具有自学习、自适应的特点，能够根据网络的变化自动调整MAC位置区域表，保证数据包能够迅速、准确地传输。
4.4 与标准模式相对应的是静态模式，静态模式需要手动配置MAC位置区域表，不具备自学习、自适应的能力。
5. 个人观点和理解5.1 在构建高效网络通信中，交换机起着重要的作用，而端口隔离、流控关闭和标准模式则是构建高效网络通信的关键要素。
华为交换机端口安全详解--端口隔离、环路检测与端口安全一、端口隔离--port-isolate组网需求如图1所示，要求PC1与PC2之间不能互相访问，PC1与PC3之间可以互相访问，PC2与PC3之间可以互相访问。
配置端口隔离功能# 配置端口隔离模式为二层隔离三层互通。
<Quidway> system-view[Quidway] port-isolate mode l2# 配置Ethernet0/0/1和Ethernet0/0/2的端口隔离功能。
<Quidway> system-view[Quidway] interface ethernet 0/0/1[Quidway-Ethernet0/0/1] port-isolate enable group 1[Quidway-Ethernet0/0/1] quit[Quidway] interface ethernet 0/0/2[Quidway-Ethernet0/0/2] port-isolate enable group 1[Quidway-Ethernet0/0/2] quitethernet 0/0/3 无需加入端口隔离组，处于隔离组的各个端口间不能通信查看当前配置disp cur#sysname Quidway#interface Ethernet0/0/1port-isolate enable group 1#interface Ethernet0/0/2port-isolate enable group 1#interface Ethernet0/0/3#return验证配置结果：PC1和PC2不能互相ping通，PC1和PC3可以互相ping通，PC2和PC3可以互相ping通。
实现了需求。
二、端口防环--port-security适用与华为交换机，防止下级环路，自动shutdown下级有环路的端口。
<Huawei>system view#loopback-detect enable 全局模式下，启用环路检测功能# interface GigabitEthernet0/0/1loopback-detect action shutdown 如果下级有环路，shutdown本端口# interface GigabitEthernet0/0/2loopback-detect action shutdown# interface GigabitEthernet0/0/3loopback-detect action shutdown#……那如何检测与识别环路并定位呢？详见这个：https:///view/1599b6a22cc58bd63086bd5d.html三、端口安全--port-security在网络中MAC地址是设备中不变的物理地址，控制MAC地址接入就控制了交换机的端口接入，所以端口安全也是对MAC的的安全。
一、原理1、首先必须明白两个概念：可靠的MAC地址。
设置时候有三种类型。
静态可靠的MAC地址：在交换机接口模式下手动设置，这个设置会被保存在交换机MAC地址表和运行设置文件中，交换机重新启动后不丢失（当然是在保存设置完成后），具体命令如下：Switch(config-if)#switchport port-security mac-address Mac地址动态可靠的MAC地址：这种类型是交换机默认的类型。
在这种类型下，交换机会动态学习MAC地址，不过这个设置只会保存在MAC 地址表中，不会保存在运行设置文件中，并且交换机重新启动后，这些MAC地址表中的MAC地址自动会被清除。
黏性可靠的MAC地址：这种类型下，能手动设置MAC地址和端口的绑定，也能让交换机自动学习来绑定，这个设置会被保存在MAC 地址中和运行设置文件中，如果保存设置，交换机重起动后不用再自动重新学习MAC地址，虽然黏性的可靠的MAC地址能手动设置，不过CISCO官方不推荐这样做。
具体命令如下：Switch(config-if)#switchport port-security mac-address sticky 其实在上面这条命令设置后并且该端口得到MAC地址后，会自动生成一条设置命令Switch(config-if)#switchport port-security mac-address sticky Mac地址这也是为何在这种类型下CISCO不推荐手动设置MAC地址的原因。
2、违反MAC安全采取的措施：当超过设定MAC地址数量的最大值，或访问该端口的备MAC地址不是这个MAC地址表中该端口的MAC地址，或同一个VLAN中一个MA地址被设置在几个端口上时，就会引发违反MAC地址安全，这个时候采取的措施有三种：保护模式（protect）：丢弃数据包，不发警告。
．限制模式（restrict）：丢弃数据包发警告，发出SNMP trap，同时被记录在syslog日志里。
高校WLAN POE交换机端口隔离功能配置WLAN网络由于受其接入方式、服务用户的差异性，在同一接入点下的用户之间一般不需要进行相互的访问；并且为了防止同一接入点下的用户终端的问题影响其他用户的使用，我们需要对同一接入点下以及整个网段内的用户进行相互之间的二三层隔离来保证用户的正常网络访问。
在正常情况下，交换机的不同端口间的数据包能够自由的转发。
在某些情况下，需要禁止端口之间的数据流，端口隔离功能就是提供这种控制的，设置隔离功能的端口之间不能够再有数据包通信，其它没有隔离的端口之间以及隔离端口和未隔离端口之间的数据包仍然能够正常转发。
下面我们对高校WLAN网络中常见几个厂家的POE交换机配置端口隔离功能进行详细的讲解。
1、烽火交换机配置烽火交换机由于采购批次以及硬件版本问题，在配置端口隔离功能时参数略有不同。
主要的区别为有带外网管口和无带外网管口之分，有无带外网管口的区别为查看交换机端口面板看是否带有网线配置端口。
下面分别对这两种交换机的配置参数进行说明：在配置端口隔离功能前我们需要先将POE交换机的端口从系统默认VLAN1中删除，通过TELNET 或者串口方式登录交换机设备，查看交换机上配置的VLAN1中是否有端口加入。
Fengine#showvlan如果设备中存在VLAN1，并且所有端口的配置状态全为U，我们将把1-26号端口从VLAN中删除。
Fengine#configureFengine(config)#interface vlan 1Fengine(config-vlan-1)#no member 1-26Fengine(config-vlan-1)#end有带外网管口的交换机配置：1、配置端口隔离功能需要事先配置PVLAN ,并且将交换机的业务端口加入PVLAN中。
这里需要特别指出端口隔离功能的配置只针对交换机的下行端口进行配置，交换机的上行端口（上行到汇聚交换机）无需配置。
大家在配置前请确认POE交换机的上行端口（一般为25-26口）以免造成不必要的断网。
实验二 交换机端口隔离及端口安全背景描述：假设你所用的交换机是宽带小区城域网中的1台楼道交换机，住户PC1连接在交换机的0/1口，住户PC2连接在交换机的0/2口。
住户不希望他们之间能够相互访问，现要实现各家各户的端口隔离。
一、:实验名称:交换机端口隔离二、实验目的:1. 熟练掌握网络互联设备-交换机的基本配置方法2. 理解和掌握Port Vlan 的配置方法三、实验设备：每一实验小组提供如下实验设备1、 实验台设备：计算机两台PC1和PC2（或者PC4和PC5）2、 实验机柜设备： S2126(或者S3550)交换机一台3、 实验工具及附件：网线测试仪一台 跳线若干四、实验原理及要求：1、Vlan(virual laocal area network,虚拟局域网)，是指在一个物理网段内，进行逻辑的划分，划分成若干个虚拟局域网。
其最大的特性是不受物理位置的限制，可以进行灵活的划分。
VLAN 具备一个物理网段所具备的特性。
相同的VLAN 内的主机可以相互直接访问，不同的VLAN 间的主机之间互相访问必须经由路由设备进行转发，广播包只可以在本VLAN 内进行传播，不能传输到其他VLAN 中。
2、PORT VLAN 是实现VLAN 的方式之一，PORT VLAN 是利用交换机的端口进行VLAN 的划分，一个普通端口只能属于一个VLAN 。
五、实验注意事项及要求：1、 实验中严禁在设备端口上随意插拔线缆，如果确实需要应向老师说明征求许可。
2、 以电子文档形式提交实验报告。
3、 本次实验结果保留：是 √ 否4、 将交换机的配置文档、验证计算机的TCP/IP 配置信息保存。
5、 将交换机的配置信息以图片的形式保存到实验报告中。
6、 六、实验用拓扑图注意：实验时按照拓扑图进行网络的连接，注意主机和交换机连接的端口七、实验具体步骤及实验结果记录：1、 实现两台主机的互联，确保在未划分VLAN 前两台PC 是可以通讯的（即F0/1和F0/2间是可以通讯的）。
烽火交换机端口隔离配置方法烽火交换机端口隔离配置方法随着各个WLAN站点POE交换机下联的AP逐渐增多，为防止网络中的广播风暴对交换机的正常运行速度造成影响，建议对下联AP较多的交换机做一下端口隔离，这样可以有效防止由于广播风暴导致的交换机运行速度太慢甚至将交换机冲死的问题。
具体配置方法如下：对于CONSOLE口在左边的烽火交换机的配置方法为：使用串口线连接交换机，然后使用超级终端（还原默认设置）进入命令行模式：Switch>enableSwitch#configSwitch_config#interface range 2,3,4,6,8-12（假设其中2,3,4,6,8,9,10,11,12端口为设备下联端口，上联端口为1号口，端口要根据具体情况而定。
注意：上联口一定不要加入，否则将导致无法上网）Switch_config_if_range#switchport protected（开启上述端口的端口隔离）Switch_config_if_range#quitSwitch_config#quitSwitch#write（保存配置）对于CONSOLE口在右边的烽火交换机的配置方法为：使用网线连接交换机右边CON口下面的ETH端口，此端口为带外网管口，默认ip地址为192.168.2.1，将笔记本网口ip地址设置为192.168.2.2 255.255.255.0，关闭防火墙，保证笔记本网口可以ping 通ETH端口地址192.168.2.1。
然后在开始菜单中点击运行，输入cmd，进入命令行，输入如下命令，telnet 192.168.2.1,进入交换机配置界面：Username:adminPassword:12345S2200>enableS2200#configS2200(config)#pvlan 1S2200(config-pvlan 1)#isolate-ports 2,3,5,6,8-12(将连接AP 的交换机端口加入Pvlan1即可，注意：上联端口不要加入此pvlan，否则无法正常上网) S2200(config-pvlan 1)#quitS2200(config)#quitS2200#write file输入y，保存配置。
交换机：探索端口隔离、流控关闭及标准模式作为网络技术中的重要组成部分，交换机在局域网中起着至关重要的作用。
它不仅可以实现计算机之间的数据交换，还可以提供各种功能来保障网络的稳定和安全。
其中，端口隔离、流控关闭和标准模式是交换机中的重要功能，它们对网络性能和数据安全起着至关重要的作用。
在本篇文章中，我将深入探讨这些功能，并共享我的个人观点和理解。
一、端口隔离1. 为什么需要端口隔离？当局域网内部存在多个子网或者用户时，为了防止数据的泄露或者网络的混乱，需要对交换机进行端口隔离。
通过端口隔离，可以将不同的用户或者设备进行隔离，让它们之间无法直接通信，从而提高网络的安全性和稳定性。
2. 端口隔离的实现方法在交换机中，可以通过VLAN（虚拟局域网）来实现端口隔离。
通过将不同端口划分到不同的VLAN中，可以实现不同用户或设备之间的隔离，从而确保网络的安全和数据的稳定传输。
3. 端口隔离的应用场景端口隔离广泛应用于企业内部网络中，尤其是对于一些需要保密性的部门或者项目组，可以通过端口隔离来实现数据的隔离和安全传输。
二、流控关闭1. 流控的作用和原理流控是指在网络拥塞或者数据冲突时，通过控制数据的传输速率来保证网络的稳定和数据的可靠传输。
而关闭流控则是指关闭这一功能，让数据在网络拥塞时仍然能够传输，但可能会导致数据丢失或者网络延迟增加。
2. 开启和关闭流控的影响在一般情况下，开启流控可以保证网络的稳定和数据的可靠传输，但可能会导致数据传输速率的下降。
而关闭流控则可以提高数据传输速率，但可能会导致数据丢失或者网络拥塞。
3. 流控关闭的应用场景流控关闭一般适用于一些对数据传输速率要求较高的场景，如视频直播、大文件传输等，可以通过关闭流控来提高数据传输速率。
三、标准模式1. 标准模式的定义和特点标准模式是交换机中的一个工作模式，它通常是指交换机按照IEEE标准进行配置和工作的模式。
在这种模式下，交换机会按照一定的规范来进行数据交换和转发，从而确保网络的稳定和数据的可靠传输。
H3C端口绑定与端口安全端口安全：1.启用端口安全功能[H3C]port-security enable2.配置端口允许接入的最大MAC地址数[H3C-Ethernet1/0/3]port-security max-mac-count count-value缺省情况下，最大数不受限制为03.配置端口安全模式[H3C-Ethernet1/0/3]port-security port-mode { autolearn ｜noRestriction… }4.手动添加Secure MAC地址表项[H3C-Ethernet1/0/3] mac-address security mac-address vlan vlan-id5.配置Intrusion Protection（Intrusion Protection被触发后，设置交换机采取的动作）[H3C-Ethernet1/0/3]port-security intrusion-mode { blockmac | disableport | disableport -temporarily }验证命令：display port-security [ interface interface-list ] 显示端口安全配置的相关信息display mac-address security [ interface interface-type interface-number ] [ vlan vlan-id ]显示Secure MAC地址的配置信息端口+IP+MAC绑定方法一：[H3C]am user-bind mac-addr B888-E37B-CE2C ip-addr 192.168.1.106 interface Ethernet 1/0/3方法二：[H3C-Ethernet1/0/3] am user-bind mac-addr B888-E37B-CE2C ip-addr 192.168.1.106验证命令：[H3C]display am user-bind 显示端口绑定的配置信息端口+IP绑定[H3C-Ethernet1/0/3] am user-bind ip-addr 192.168.1.106注：交换机只要接收一个3层表项，交换机使用动态ARP产生一条arp条目。
端口隔离技术
端口隔离技术是一种网络安全技术，用于限制网络中不同设备或应用程序之间的通信。
它的目的是防止恶意活动或攻击者利用某个设备或应用程序的漏洞来入侵其他设备或应用程序。
端口隔离技术有多种实现方法，以下是其中几种常见的技术：
1. 虚拟局域网（VLAN）：使用VLAN可以将网络中的设备
分割成多个虚拟的逻辑网络，将不同的设备或应用程序放置在不同的VLAN中，从而限制它们之间的通信。
2. 网络隔离：将不同的设备或应用程序连接到不同的物理网络，通过路由器或防火墙对不同网络之间的通信进行控制和限制。
3. 端口隔离：通过网络交换机或防火墙配置，将不同的设备或应用程序连接到不同的物理或逻辑端口上，从而限制它们之间的通信。
4. 应用隔离：在操作系统或容器级别对不同的应用程序进行隔离，使它们之间无法直接通信，从而降低攻击面。
5. 服务器隔离：将服务部署在不同的服务器上，并使用网络设备或防火墙来限制它们之间的通信。
端口隔离技术可以有效地提高网络的安全性，减少潜在的攻击面，并帮助防止横向移动和数据泄露等安全威胁。
通常，要实现交换机端口之间的隔离，最简单常用的方法就是划分VLAN （虚拟局域网）。
然而在具体应用中，往往又希望端口隔离后某些VALN 之间能灵活互访。
一般情况下，需要在二层交换机上实现隔离，然后在上联的三层交换机或路由器上实现VLAN 之间的互访。
实际上，只利用二层交换机同样可以完成隔离与互访的功能，这就是二层交换机Hybrid （混合）端口模式的应用。
1 交换机链路端口模式华为二层交换机一般有四种链路端口模式，分别是Access、Trunk 、Hybrid 端口模式。
1.1 Access 端口模式Access 类型的端口只能属于一个VLAN ，所以它的缺省VLAN 就是它所在的VLAN ，不用设置。
一般作为连接计算机的端口。
1.2 Trunk 端口模式Trunk 类型的端口可以属于多个VLAN ，可以接收和发送多个VLAN 的报文，一般作为交换机之间连接的端口。
1.3 Hybrid 端口模式Hybrid 类型的端口可以属于多个VLAN ，可以接收和发送多个VLAN 的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。
Hybrid 端口模式的特点如下：Hybrid 属性是一种混和模式，实现了在一个untagged ( 不打标签) 端口允许报文以tagged （打标签）形式送出交换机。
同时，可以利用Hybrid 属性来定义分别属于不同VLAN 端口之间的互访，这是Access 和Trunk 端口所不能实现的。
Hybrid 端口还可以设置哪些VLAN 的报文打上标签，哪些不打标签，为实现对不同VLAN 报文执行不同处理流程打下了基础。
如果设置了端口的缺省VLAN ID ，当端口接收到不带VLAN Tag 的报文后，则将报文转发到属于缺省VLAN 的端口；当端口发送带有VLAN Tag 的报文时，如果该报文的VLAN ID 与端口缺省的VLAN ID 相同，则系统将去掉报文的VLAN Tag ，然后再发送该报文。
交换机端口安全之——端口地址绑定和端口隔离【实验目的】1、掌握交换机静态端口绑定、动态端口绑定的原理和配置方法，并灵活运用。
2、了解交换机端口隔离在网络安全中所起作用，掌握其配置方法。
3、掌握端口隔离和VLAN划分的区别。
【实验环境】H3C二层交换机S3100-16TP-EI、S3100-16C-SI，PC机3台，标准网线若干。
【引入案例1】办公室主任的电脑配置在一个特定的地址段中，公司对该地址段开放了特殊的上网权限。
有一天，主任的电脑上弹出了“IP地址冲突”的对话框。
有员工盗用了他的IP上网浏览。
【案例分析】当网络的布置很随意，并且没有任何安全设置的时候，用户只要插上网线，在任何地方都能够上网，这虽然使正常情况下的大多数用户很方便很满意，却很容易出现案例1中用户盗用IP的现象。
解决上述问题的一个较好的办法是将用户主机和接入交换机的端口进行绑定，也就是说，特定主机只有在某个特定端口下发出数据帧时，才能被交换机接收并转发，如果这台主机移动到其他位置，则无法实现正常访问网络。
通过绑定技术，建立起“用户主机－交换机端口”的对应关系，在安全管理上起着至关重要的作用。
【基本原理】网卡的MAC地址的唯一性确定了MAC地址在网络中代表着计算机身份证的作用。
为了安全和方便管理，网络管理员将对用户计算机的MAC地址进行登记，并将MAC地址与接入交换机的端口进行绑定。
MAC地址与交换机端口绑定后，该MAC地址的数据流只能从绑定端口进入，不能从其他端口进入，也就是说，特定主机只有在某个特定端口下发出数据帧时，才能被交换机接收并转发，如果这台主机移动到其他位置，则无法实现正常上网。
MAC地址和交换机端口绑定后，该交换机端口仍然可以允许其他MAC 地址的数据流通过。
实际上，一些工具软件和病毒很容易伪造计算机的MAC0021-85CE-418D10.0.0.3 Ethernet1/0/3 PC1MAC:0021-85CE-47E5IP:10.0.0.3 PC2PC3MAC:0021-85CE-4450IP:10.0.0.1 IP:10.0.0.2 MAC:0021-85CE-4452E1/0/1E1/0/2E1/0/3【命令介绍】1、将用户的MAC 地址和IP 地址绑定到指定端口上。
am user-bind mac-addr mac-address { ip-addr ip-address | ipv6 ipv6-address } [ interface interface-type interface-number ]〖视图〗系统视图/以太网端口视图〖参数〗●interface interface-type interface-number：指定绑定的端口。
其中interface-type interface-number表示端口类型和端口编号。
●ip-addr ip-address：指定需要绑定的IP地址。
其中ip-address表示绑定的IP地址。
●mac-addr mac-address：指定需要绑定的MAC地址。
其中mac-address表示绑定的MAC地址，格式为H-H-H。
〖例〗在系统视图下将MAC地址为000f-e200-5101，IP地址为10.153.1.1的合法用户与端口Ethernet1/0/1进行绑定。
[H3C] system-viewSystem View: return to User View with Ctrl+Z.[H3C] am user-bind mac-addr 000f-e200-5101 ip-addr 10.153.1.1 interface Ethernet1/0/12．显示端口绑定的配置信息display am user-bind [ interface interface-type interface-number | ip-addrip-addr| mac-addr mac-addr ]〖视图〗任意视图。
〖例〗显示当前所有端口绑定的配置信息。
<H3C> display am user-bindFollowing User address bind have been configured:Mac IP Port000f-e200-5101 10.153.1.1 Ethernet1/0/1000f-e200-5102 10.153.1.2 Ethernet1/0/2Unit 1:Total 2 found, 2 listed.E1/0/1E1/0/2PC1:10.0.0.1PC2:10.0.0.2二、实验步骤1、按拓扑图连接好设备，配置PC的IP地址，并获取PC的MAC地址，使用命令行模式下的ipconfig/all命令查看PC的MAC地址。
2、将PC 1的MAC地址和IP地址绑定到Ethernet1/0/1端口。
3、端口绑定验证。
①在PC1上用Ping命令来测试到PC2的互通性。
②改变PC1的IP为10.0.0.3，再次用Ping命令来测试到PC2的互通性。
③将PC1连接到Ethernet1/0/2端口，修改IP为10.0.0.1，并将PC2连接到Ethernet1/0/1端口，修改IP为10.0.0.2。
用Ping命令来测试PC1到PC2的互通性。
4、将上述步骤及其结果记录在实验报告中。
【引入案例2】某网吧终端较多，并且终端IP由DHCP动态分配。
为了使每一台机器被固定在一个位置，保证整个网络的可管理性，网络管理员小王考虑实施动态的MAC地址和端口绑定。
【案例分析】在机房和网吧，为了方便监管，最常用的一种方法就是实施MAC和交换机端口绑定。
在终端较多的情况下，一台一台机器查看MAC地址实施静态绑定的办法工作量实在太大了，启动交换机中的端口安全功能，并对动态学习的MAC地址进行绑定转换成为必由之路。
比如，可以把第一次连接到交换机端口上的MAC地址绑定到该端口上。
【基本原理】端口安全（Port Security）是一种对网络接入进行控制的安全机制，是对已有的802.1x认证和MAC地址认证的扩充。
Port Security的主要功能就是用户通过定义各种安全模式，让设备学习到合法的源MAC地址，并只允许源MAC地址合法的报文通过本端口。
1．Port Security的安全模式Port Security的安全模式主要有：（1）noRestriction：无限制模式。
此模式下，端口处于无限制状态，是端口的默认状态。
（2）autoLearn：自动学习模式。
此模式下，端口学习到的MAC地址会转变为Security MAC地址。
该模式下，当端口下的Security MAC地址数超过的设置的最大MAC地址数后，端口模式会自动转变为Secure模式。
之后，该端口不会再添加新的Security MAC，只有源MAC地址为Security MAC的报文，才能通过该端口。
（3）Secure：安全模式。
此模式下，禁止端口学习MAC地址，只有源MAC 是端口已经学习到的Security MAC或者已配置的静态MAC的报文，才能通过该端口。
2．Security MACSecurity MAC是一种特殊的MAC地址，它不会被老化。
在同一个VLAN内，一个Security MAC地址只能被添加到一个端口上，利用这个特点可以实现同一VLAN内MAC地址与端口的绑定。
Security MAC可以由启用端口安全功能的端口自动学习，也可以由用户手动配置。
在添加Security MAC地址之前，需要先配置端口的安全模式为autoLearn。
配置端口的安全模式为autoLearn之后，端口的MAC地址学习方式将会发生如下变化：（1）端口原有的动态MAC被删除；（2）当端口的Security MAC没有达到配置的最大数目时，端口新学到的MAC地址会被添加为Security MAC；（3）当端口的Security MAC到达配置的最大数目时，端口将不会继续学习MAC地址，端口状态将从autoLearn状态转变为Secure状态。
3．端口安全的特性启动了端口安全功能之后，当发现非法报文或非法事件后，系统将触发相应特性，并按照预先指定的方式自动进行处理。
端口安全的特性包括：（1）NTK特性：NTK（Need To Know）特性通过检测从端口发出的数据帧的目的MAC地址，保证数据帧只能被交换机发送到已经通过认证的设备上，从而防止非法设备窃听网络数据。
（2）Intrusion Protection特性：该特性通过检测端口接收到的数据帧的源MAC地址或802.1x认证的用户名、密码，发现非法报文或非法事件，并采取相应的动作，包括暂时断开端口连接、永久断开端口连接或者过滤源地址是此MAC 地址的报文，保证了端口的安全性。
（3）Trap特性：该特性是指当端口有特定的数据包（由非法入侵，用户不正常上下线等原因引起）传送时，设备将会发送Trap信息，便于网络管理员对这些特殊的行为进行监控。
【命令介绍】1．启动端口安全功能port-security enable〖视图〗系统视图。
在启动端口安全功能之前，需要关闭全局的802.1x和MAC地址认证功能。
2．设置autoLearn模式下端口允许接入的最大MAC地址数port-security max-mac-count count-value〖视图〗以太网端口视图〖参数〗max-mac-count count-value：指定接入的最大MAC地址数。
count-value 取值范围为1~1024。
缺省情况下，最大MAC地址数不受限制。
3．配置端口安全模式port-security port-mode { autolearn｜secure｜… }〖视图〗以太网端口视图〖参数〗autolearn、secure等为各种安全模式类型。
缺省情况下，端口处于noRestriction模式，此时该端口处于无限制状态。
根据实际需要，用户可以配置不同的安全模式。
当用户设置端口安全模式为autolearn时，首先需要使用port-security max-mac-count命令设置端口允许接入的最大MAC地址数。
当端口工作于autolearn模式时，无法更改该最大值。
在用户设置端口安全模式为autolearn后，不能在该端口上配置静态或黑洞MAC地址。
在已经配置了安全模式的端口下，将不能再进行以下配置：（1）配置最大MAC地址学习个数；（2）配置镜像反射端口；（3）配置端口汇聚。
4．配置端口安全的相关特性（1）配置NTK特性port-security ntk-mode { ntkonly | ntk-withbroadcasts | ntk-withmulticasts }〖视图〗以太网端口视图〖参数〗●ntkonly：表示只有目的MAC地址是已认证的MAC地址的单播报文才能被成功发送。
