交换机的端口管理

【实验文档】【实验0021】【交换机的端口安全配置】

【实验名称】

交换机的端口安全配置。

【实验目的】

掌握交换机的端口安全功能，控制用户的安全接入。

【背景描述】

你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G上边。

【技术原理】

交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。

限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。

交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。

配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种：

 protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。

 restrict 当违例产生时，将发送一个Trap通知。

 shutdown 当违例产生时，将关闭端口并发送一个Trap通知。

当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。

【实现功能】

针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。

交换机各个端口类型的概述

来源:网络

首先,将交换机得类型进行划分,交换机分为低端(SOHO级)与高端(企业级)。

其两者得重要区别就就是低端得交换机,每一个物理端口为一个逻辑端口,而高端交换机则就是将多个物理端口捆绑成一个逻辑端口再进行得配置得。

cisco网络中,交换机在局域网中最终稳定状态得接口类型主要有四种:access/ trunk/ multi/ dot1qtunnel。

1、access: 主要用来接入终端设备,如PC机、服务器、打印服务器等。

2、trunk: 主要用在连接其它交换机,以便在线路上承载多个vlan。

3、multi: 在一个线路中承载多个vlan,但不像trunk,它不对承载得数据打标签。主要用于接入支持多vlan得服务器或者一些网络分析设备。现在基本不使用此类接口,在cisco得网络设备中,也基本不支持此类接口了。

4、dot1qtunnel: 用在QinQ隧道配置中。

Cisco网络设备支持动态协商端口得工作状态,这为网络设备得实施提供了一定得方便(但不建议使用动态方式)。cisco动态协商协议从最初得DISL(Cisco私有协议)发展到DTP(公有协议)。根据动态协议得实现方式,Cisco网络设备接口主要分为下面几种模式:

1、switchport mode access: 强制接口成为access接口,并且可以与对方主动进行协商,诱使对方成为access模式。

2、switchport mode dynamic desirable: 主动与对协商成为Trunk接口得可能性,如果邻居接口模式为Trunk/desirable/auto之一,则接口将变成trunk接口工作。如果不能形成trunk模式,则工作在access模式。这种模式就是现在交换机得默认模式。

3、switchport mode dynamic auto: 只有邻居交换机主动与自己协商时才会变成Trunk接口,所以它就是一种被动模式,当邻居接口为Trunk／desirable之一时,才会成为Trunk。如果不能形成trunk模式,则工作在access模式。

将PC机的串口和交换机的 con sole 口用con sole 线如图连接。

交换机带外管理及端口识别

一、 实验目的

1熟悉普通二层交换机的外观；

2、 了解普通二层交换机各端口的名称和作用；

3、 了解交换机最基本的管理方式一一带外管理的方法。

二、 应用环境

网络设备的管理方式可以简单地分为带外管理( out-of-band )和带内管理(in-band)两 种管理模式。所谓带内管理，是指网络的管理控制信息与用户网络的承载业务信息通过同一 个逻辑信道传送，简而言之，就是占用业务带宽； 而在带外管理模式中，网络的管理控制信

息与用户网络的承载业务信息在不同的逻辑信道传送，也就是设备提供专门用于管理的带 宽。

目前很多高端的交换机都带有带外网管接口，使网络管理的带宽和业务带宽完全隔离， 互不影响，构成单独的网管网。

通过Con sole 口管理是最常用的带外管理方式，通常用户会在首次配置交换机或者无法 进行带内管理时使用带外管理方式。

带外管理方式也是使用频率最高的管理方式。带外管理的时候，我们可以采用 Win dows

操作系统自带的超级终端程序来连接交换机，当然，用户也可以采用自己熟悉的终端程序。

Con sole 口：也叫配置口，用于接入交换机内部对交换机作配置；

Con sole线：交换机包装箱中标配线缆，用于连接 con sole 口和配置终端。

三、 实验设备

1、 DCS-3926S交换机1台

2、 PC机1台

3、 交换机con sole 线1根

四、 实验拓扑

；交沁口 !

I- *

i

/ ；交换机Console线 / ----------------- 1__a ■K, di. i*. i* iK. %

i « 八一 ‘ 沪

:PC机的串口 ； ...........

; .................................. J 五、 实验要求

NETGEAR 交换机的基本管理和端口配置

1.实验目的

本实验将详细描述Netgear系列交换机常用的基本管理特性的操作和端口配置的方法，主要包括以下内容：

1． 配置交换机的管理IP地址

2． 配置交换机的固件升级

3． 配置交换机的基本端口设置

通过以上实验操作，实验者可以学会独立安装及交换机基本设置的能力，并能应用于实际网络环境下，另外，如果你不了解交换机基本的设置，那么将无法实现对交换机做全面和深入的配置，尽管这节内容很简单，但也是最基本和必须掌握的内容。

1.1实验条件

要完成实验内容，必须具备以下环境.

1． NETGEAR 7000系列交换机（以GSM7328S为例，固件版本7.1.1.7）一台

2． NETGEAR增强型智能网管交换机（以GS724AT为例,固件版本3.0.61）一台

3． NETGEAR基本智能交换机（以FS726T为例,固件版本1.2.4_35）一台

4． NETGEAR智能交换机配置向导软件（SmartWizard_2.05.05）

5． NETGEAR简单网管交换机（以JFS524E，GS105E为例）两台 6． NETGEAR简单网管交换机管理工具（NETGEAR UM+ Utility V1.2B20）

7． TFTP Server软件

8． NETGEAR7000系列交换机随机9针串口设置电缆一根，网线数条（正线若干根）

9． 测试用的个人电脑若干

注：如果需要获得NETGEAR公司所有产品的最新软件，请平常及时访问

，并请注意每个产品升级的注意事项。

2.实验内容

2.1配置交换机的管理IP地址

2.1.1规划内部网络的IP

在配置交换机的管理IP地址之前，我们应该先根据企业使用的实际情况，预先规划及确定企业内部网络的IP地址，依据因特网域名分配组织IANA组织（Internet Assigned Numbers Authority）规划保留了以下三个IP地址块用于私有网络的使用：