【VIP专享】18【工程实验室】【推荐演示】【交换机的端口安全】

交换安全】交换机端口安全Port-Security 超级详解一、Port-Security 概述接入用户的安全控制在部署园区网的时候，对于交换机，我们往往有如下几种特殊的需求：• 限制交换机每个端口下接入主机的数量（MAC地址数量）•限定交换机端口下所连接的主机（根据IP或MAC地址进行过滤）•当出现违例时间的时候能够检测到，并可采取惩罚措施上述需求，可通过交换机的Port-Security功能来实现:Maximum Number of SecureMAC Addresses二、理解 Port-Security1. Port-Security 安全地址：secure MAC address在接口上激活 Port-Security 后，该接口就具有了一定的安全功能，例如能够限制接口(所 连接的)的最大MAC 数量，从而限制接入的主机用户； 或者限定接口所连接的特定 MAC ，从而实现接入用户的限制。

那么要执行过滤或者限制动作， 就需要有依据，这个依据就是安全地址 -secure MAC address 。

安全地址表项可以通过让使用端口动态学习到的 MAC (SecureDynamic )，或者是手工在接口下进行配置(SecureConfigured )，以及 sticy MAC address (SecureSticky ) 三种 方式进行配置。

当我们将接口允许的 MAC 地址数量设置为1并且为接口设置一个安全地址， 那么这个接口将只为该MAC 所属的PC 服务，也就是源为该 MAC 的数据帧能够进入该接口。

2.当以下情况发生时，激活惩罚( violation ):当一个激活了 Port-Security 的接口上，MAC 地址数量已经达到了配置的最大安全地址数 量，并且又收到了一个新的数据帧，而这个数据帧的源 MAC 并不在这些安全地址中，那么启动惩罚措施当在一个Port-Security 接口上配置了某个安全地址，而这个安全地址的 MAC 又企图在同VLAN 的另一个Port-Security 接口上接入时，启动惩罚措施当设置了 Port-Security 接口的最大允许 MAC 的数量后，接口关联的安全地址表项可以 通过如下方式获取： *在接口下使用 switchport port-security mac-address 来配置静态安全地址表项 • 使用接口动态学习到的 MAC 来构成安全地址表项一部分静态配置，一部分动态学习Secure MAC SecureSecureSeciirE | I I addressMAC1MAC1MAC1 ||・ SecureDynamic • SecureConfigured * SecureStickyDAT A当接口出现up/down，则所有动态学习的MAC安全地址表项将清空。

3. Trap 特性 Trap 特性是指当端口有特定的数据包（由非法入侵，用户上下线等原因引起）传送 时，设备将会发送 Trap 信息，便于网络管理员对这些特殊的行为进行监控。
1-1
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
第 1 章 端口安全配置
1.1.3 端口安全模式
对于端口安全模式的具体描述，请参见 表 1-1。
i
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
第 1 章 端口安全配置
ቤተ መጻሕፍቲ ባይዱ
第1章 端口安全配置
1.1 端口安全简介
1.1.1 概述
端口安全是一种基于 MAC 地址对网络接入进行控制的安全机制，是对已有的 802.1x 认证和 MAC 地址认证的扩充。这种机制通过检测数据帧中的源 MAC 地址来控制非 授权设备对网络的访问，通过检测数据帧中的目的 MAC 地址来控制对非授权设备 的访问。 端口安全的主要功能是通过定义各种端口安全模式，让设备学习到合法的源 MAC 地址，以达到相应的网络管理效果。启动了端口安全功能之后，当发现非法报文时， 系统将触发相应特性，并按照预先指定的方式进行处理，既方便用户的管理又提高 了系统的安全性。 非法报文包括： z 禁止 MAC 地址学习时，收到的源 MAC 地址为未知 MAC 的报文； z 端口学习到的 MAC 地址达到端口所允许的最大 MAC 地址数后，收到的源
H3C S5500-EI 系列以太网交换机 操作手册 端口安全
目录
目录
第 1 章 端口安全配置 ..............................................................................................................1-1 1.1 端口安全简介 ..................................................................................................................... 1-1 1.1.1 概述 ......................................................................................................................... 1-1 1.1.2 端口安全的特性 ....................................................................................................... 1-1 1.1.3 端口安全模式........................................................................................................... 1-2 1.2 端口安全配置任务简介....................................................................................................... 1-4 1.3 使能端口安全功能 .............................................................................................................. 1-4 1.3.1 配置准备 .................................................................................................................. 1-4 1.3.2 使能端口安全功能.................................................................................................... 1-4 1.4 配置端口允许的最大安全MAC地址数 ................................................................................ 1-5 1.5 配置端口安全模式 .............................................................................................................. 1-6 1.5.1 配置autoLearn模式.................................................................................................. 1-6 1.5.2 配置userLoginWithOUI模式 .................................................................................... 1-7 1.5.3 配置其它模式........................................................................................................... 1-7 1.6 配置端口安全的特性 .......................................................................................................... 1-8 1.6.1 配置NeedToKnow特性 ............................................................................................ 1-8 1.6.2 配置入侵检测特性.................................................................................................... 1-8 1.6.3 配置Trap特性........................................................................................................... 1-9 1.7 配置安全MAC地址 ............................................................................................................. 1-9 1.7.1 配置准备 .................................................................................................................. 1-9 1.7.2 配置安全MAC地址................................................................................................. 1-10 1.8 配置当前端口不应用服务器下发的授权信息 .................................................................... 1-10 1.9 端口安全显示和维护 ........................................................................................................ 1-10 1.10 端口安全典型配置举例................................................................................................... 1-11 1.10.1 端口安全autoLearn模式配置举例 ........................................................................ 1-11 1.10.2 端口安全userLoginWithOUI模式配置举例........................................................... 1-13 1.10.3 端口安全macAddressElseUserLoginSecure模式配置举例 ................................. 1-18 1.11 常见配置错误举例 .......................................................................................................... 1-21 1.11.1 端口安全模式无法设置 ........................................................................................ 1-21 1.11.2 无法配置端口安全MAC地址 ................................................................................ 1-21 1.11.3 用户在线情况下无法更换端口安全模式............................................................... 1-22

1162018.04 在企业中，交换机特别是第二层的交换机一般用途是用来连接终端设备如计算机，所以都会放在相对容易被用户接触到的地方，基于信息安全的角度考虑，网管人员往往希望禁止用户私自将未经验证的终端设备接上交换机的端口上，又或者基于封包流量、保证服务质量、交换器性能等方面考虑，不希望交换机上的端口串接太多的终端设备，这时候，交换机的端口安全就大派用场，通过设定，可以限制未经验证的设备接上公司网络，又或者限制交换器端口上连接的设备数量。

我们知道，第二层交换机有认识MAC-address 的本领，也可以通过MAC-address 做到数据封包的精准传送，我们可以利用交换机能够学习到设备的MAC-address 功能对交换机上的端口做一些安全性的设定。

在具体设定交换机的端口安全之前，有一些概念和事项需要留意，交换机的安全MAC 有三种形式：1.动态安全MAC ：交换机端口动态学习安全MAC，这是默认选项。

2.静态安全MAC ：交换机端口静态学习安全MAC，主要由网管人员静态将MAC 地址与端口绑定。

3.粘滞安全MAC ：交换机端口学习安全MAC 是先到先得的方法。

如果一个端口违反了安全MAC 的规则，可以受到以下的“惩罚”。

端口受到保护（protect）。

将违反安全MAC 规则的设备封包丢弃。

端口受到限制（restrict）。

将违反安全MAC 规则的设备封包丢弃，并且做日志记录。

端口被关闭。

将违反安全MAC 规则的端口关闭，不交换机的端口安全■陈童彬图1 实例一架构图网络段较多，业务较多的场景，需要梳理出业务需求段。

有时既存在A 到B 的主动访问，还有B 到A 的主动访问。

对于A 到B 的主动访问，可通过established 参数实现返回包通过。

而对于B 到A 的主动访问，直接用不带参数的permit 方式允许通过，并将该规则置前，因为ACL 是从上到下顺序执行的。

Established 参数仅仅对TCP 连接过滤，无法过滤UDP 协议，因此假如有病毒是通过UDP 协议端口传播，只能通过deny 源地址进行，无法使用本文所述方法。

交换机端口的安全配置实验报告课程名称交换机配置实验项目名称实验项目2：交换机端口的安全配置开课系（部）及实验室巡天楼311 实验日期2019年 9月 5日学生姓名董小明学号Ming 专业班级计算机网络技术1班指导教师- 实验成绩一、实验目的1、掌握交换机交换数据的基本原理。

2、掌握交换机端口的安全配置。

3、掌握MAC地址表的建立过程。

二、实验拓扑图三、实验步骤1、交换机的配置过程Switch>enSwitch#conf tSwitch(config)#hostname Ming1Ming1(config)#int f0/1Switch(config-if)#shutdownSwitch(config-if)#switchport mode access //设置端口为接入模式Switch(config-if)#switchport port-security //设置端口安全Switch(config-if)#switchport port-security maximum 1 //允许通过此端口的最大MAC地址数为1Switch(config-if)#switchport port-security violation shutdown //设置端口如果发生违规产生什么后果Switch(config-if)#switchport port-security mac-address 00D0.BC1D.D582 //允许指定的MAC地址主机通过Switch(config-if)#no shut2、测试连通性PC1：PC2：实验心得通过此次实验我知道了如何让交换机拒绝某个端口连接的某些主机的通过，只需要知道可以通过的主机的MAC地址就可以进行设置。