交换机端口安全配置备课讲稿

交换机端口安全技术讲义一、为什么需要端口安全技术？- 交换机是网络中非常重要的设备，端口是交换机连接其他设备的接口。

因此，保护交换机端口的安全对于整个网络的安全至关重要。

二、常见的端口安全技术1. MAC地址绑定- 通过将特定MAC地址与端口进行绑定，只有被绑定的设备才能使用该端口进行通信，其他设备将无法访问该端口。

2. 802.1X认证- 802.1X是一种端口认证协议，通过在交换机端口上实施认证服务，可以有效地防止未授权的设备接入网络。

只有经过认证的设备才能使用交换机端口。

3. 端口安全限制- 通过设置每个交换机端口允许连接的最大设备数量，可以防止未经授权的设备接入网络。

4. DHCP snooping- 通过检测和验证DHCP报文，防止恶意DHCP服务器对网络设备进行攻击或者误导。

5. 端口状态监控- 交换机可以监控端口的通信状态，一旦发现异常情况，可以及时做出处理，防止网络安全风险。

三、如何实施端口安全技术- 在交换机上配置相应的端口安全措施，包括MAC地址绑定、802.1X认证、端口安全限制、DHCP snooping等，并定期对端口进行监控和审计，及时发现并处理异常情况。

四、端口安全技术带来的好处- 通过实施端口安全技术，可以有效地防止未经授权的设备接入网络，保护网络的安全。

同时，也可以有效地减少网络故障和攻击的风险，保障网络的正常运行。

五、端口安全技术的应用场景端口安全技术广泛应用于企业、学校、政府机构以及各种组织和机构的网络中。

无论是小型局域网还是大型企业网络，都需要采取端口安全技术来保护网络的安全和稳定性。

特别是在一些对网络安全要求较高的领域，如金融、医疗、军事等，端口安全技术更是不可或缺的一部分。

六、端口安全技术的挑战与解决方案虽然端口安全技术在保护网络安全方面起到了重要作用，但也面临着一些挑战。

例如，管理和维护成本较高、配置复杂、容易受到攻击等。

为了解决这些问题，可以采取以下措施：1. 自动化管理工具：可以使用自动化管理工具来简化端口安全技术的配置和管理，减少人工操作的成本和错误。

第八章实验讲义---交换机基本配置端口安全与STP第12章交换机基本配置交换机是局域网中最重要的设备，交换机是基于MAC来进行工作的。

和路由器类似，交换机也有IOS，IOS的基本使用方法是一样的。

本章将简单介绍交换的一些基本配置。

关于VLAN 和Trunk等将在后面章节介绍。

12.1 交换机简介交换机是第2层的设备，可以隔离冲突域。

交换机是基于收到的数据帧中的源MAC地址和目的MAC地址来进行工作的。

交换机的作用主要有两个：一个是维护CAM（Conetxt Address Memory）表，该表是计算机的MAC地址和交换端口的映射表；另一个是根据CAM来进行数据帧的转发。

交换对帧的处理有3种：交换机收到帧后，查询CAM表，如果能查询到目的计算机所在的端口，并且目的计算机所在的端口不是交换接收帧的源端口，交换机将把帧从这一端口转发出去（Forward）；如果该计算机所在的端口和交换机接收帧的源端口是同一端口，交换机将过滤掉该帧（Filter）；如果交换机不能查询到目的计算机所在的端口，交换机将把帧从源端口以外的其他所有端口上发送出去，这称为泛洪（Flood），当交换机接收到的帧是广播帧或多播帧，交换机也会泛洪帧。

12.2 实验0：交换机基本配置1.实验目的:通过本实验，可以掌握交换机的基本配置这项技能。

2.实验拓扑实验拓扑图如图12-2所示。

图12-2 实验1拓扑图3.实验步骤（1）步骤1：通过PC0以Console方式登录交换机Switch0. 注意配置PC0上的终端.登录成功后, 通过PC0配置交换机Switch0的主机名Switch>enableSwitch#conf terminalEnter configuration commands，one per line. End with CNTL/ZSwitch(config)#hostname S1（2）步骤2：配置telnet密码和enable密码. S1(config)#enable secret ciscoS1(config)#line vty 0 15S1(config-line)#password ciscoS1(config-line)#login（3）步骤3：接口基本配置默认时，交换机的以太网接口是开启的，对于交换机的以太网口可以配置其双工模式和速率等。

案例26：交换机基本配置与端口安全1. 案例目标通过本案例，你可以掌握如下技能：1)熟悉交换机的基本配置2)理解交换机的MAC表3)理解交换机的端口安全4)配置交换机的端口安全特性2. 设备与拓扑设备：1台1841路由器，1台2950T-24交换机，2台PC。

拓扑：如下图。

3. 操作步骤步骤1：按拓扑图配置好路由器的主机名和显示名，以及路由器接口F0/0、F0/1的IP地址，包括主机PC0的IP地址和PC1的IP及网关地址。

步骤2：配置交换机的主机名和密码Switch#conf tEnter configuration commands, one per line. End with CNTL/Z.Switch(config)#hostname S1S1(config)#enable se cisco //启用加密密码S1(config)#line vty 0 15S1(config-line)#password cisco //虚拟中断登录密码S1(config-line)#loginS1(config-line)#步骤3：配置接口S1(config)#int f0/1S1(config-if)#duplex ? //接口的双工模式auto Enable AUTO duplex configurationfull Force full duplex operationhalf Force half-duplex operationS1(config-if)#speed ? //接口的速率10 Force 10 Mbps operation100 Force 100 Mbps operationauto Enable AUTO speed configurationS1(config-if)#//注意：通常配置为自动（auto）即可。

步骤4：配置交换机的管理地址和缺省网关S1#conf tEnter configuration commands, one per line. End with CNTL/Z.S1(config)#int vlan 1S1(config-if)#ip addr 172.16.0.1 255.255.0.0S1(config-if)#no shutS1(config-if)#exitS1(config)#ip default-gateway 172.16.0.101S1(config)#【注意】交换机的3层接口要配置为VLAN接口，通常VLAN 1接口作为管理接口，交换机相当于有多个VLAN接口的主机。

Ø以太网安全隐患Ø端口安全基本概念Ø端口安全工作原理Ø端口安全配置流程Ø端口安全配置命令•对于安全性要求较高的网络环境，通常要对用户的接入进行基本的安全管控，以防止非法用户的接入及恶意的网络攻击。

•通过对交换机配置端口安全功能来增强网络的安全性，可有效避免信息泄露、MAC地址泛洪攻击等安全问题。

•本次任务介绍交换机端口安全的基本原理和配置方法。

ØMAC地址泛洪攻击•攻击者发送大量的虚假源MAC地址数据帧，导致MAC地址表快速填满，使得交换机将无法再学习新的MAC地址。

•交换机在转发数据帧时失去了“依据”，只能以广播的方式将数据帧从其余接口发送出去。

•攻击者利用此原理，窃取用户的通信数据。

MAC地址泛洪攻击Ø终端接入隐患•用户私自扩充网络，导致终端数量增大，给通信环境带来了不稳定因素；•非信任终端的接入，可能导致信息的泄露。

终端接入隐患Ø端口安全作用•限制接口学习MAC地址的数量。

端口安全的默认安全MAC地址的限制数是1个，即只能学习一个MAC地址表项。

•限制非信任终端接入网络。

任何源MAC地址为非安全MAC地址的报文将会被丢弃。

•限制信任终端切换连接端口。

即信任终端只能在通过指定的端口接入网络。

Ø违例通信的保护动作•Restrict：丢弃源MAC地址为非安全MAC地址的报文并上报告警，此为默认的处理动作；•Protect：只丢弃源MAC地址为非安全MAC地址的报文，不上报告警；•Shutdown：接口状态被置为error-down，并上报告警。

默认情况下，接口关闭后不会自动恢复，只能由网络管理人员手动恢复。

Ø工作原理•交换机开启端口安全功能后，接口学习到的MAC地址会被转换为安全MAC地址。

•接口学习的MAC数量达到上限后不再学习新的MAC地址。

•如果交换机收到源MAC地址不属于安全MAC地址的报文，交换机认为有非法用户攻击，就会根据配置的动作对接口做保护处理。

2.11交换机端口安全配置2预备知识：同2.9。

一、实训目的1、了解交换机端口安全的作用。

2、能读懂交换机MAC地址表。

3、掌握配置交换机端口安全的方法。

二、应用环境某校园网上的接入交换机均启用了交换机端口安全，限制端口的接入数为1并指定端口的接入MAC地址，防止未经授权的用户接入网络。

但有些接口下还没接入终端，不能确定以后接入的终端MAC,使用交换机端口安全的粘性MAC地址可使交换机接口有终端接入时自动学习MAC地址来绑定，这个设置会被保存在MAC地址中和运行设置文件中，如果保存设置，交换机重起动后不用再自动重新学习MAC地址。

三、实训要求1.设备要求：1)一台2950-24二层交换机、二台PC机。

2)二条直通双绞线。

2.实训拓扑图3.配置要求：1）PC机配置要求：在交换机S1上的所有端口上启用端口安全、限制最大连接MAC地址数为1并设置端口安全为粘性MAC地址，设置发生违例后丢弃新加入计算机发送的数据包并不发送警告。

4.实训效果：只有PC1接入交换机S2950上的F0/1和PC2接入交换机S2950上的F0/2时才能互联互通，其它PC接入到F0/1、F0/2均不能通信。

四、实训步骤1、添加设备并连接部分网络。

2、启用端口安全配置。

3、设置端口限制。

4、设置违例处理方式。

5、测试效果。

五、详细步骤1、按实训配置要求添加一台2950-24二层交换机和2台PC机并按实训拓扑图连接网络。

2、按实训配置要求设置二台PC机的IP地址信息。

3、进入交换机命令行配置模式，更改交换机名称为S2950。

Switch>en //进入特权用户配置模式Switch#conf t //进入全局配置模式Switch(config)#hostname S2950 //更改交换机名称4、进入交换机的F0/1到F0/24接入，限制最大连接数、启用端口安全粘性MAC地址并设置违例方式。

S2950(config)#int range f0/1-24 //进入F0/1到F0/24端口S2950(config-if-range)#switchport mode access //配置端口模式为accessS2950(config-if-range)#switchport port-security //启用端口安全配置S2950(config-if-range)#switchport port-security maximum 1 //设置端口最大MAC连接数为1S2950(config-if-range)#switchport port-security mac-address sticky //配置端口安全MAC 地址为sticky模式S2950(config-if-range)#switchport port-security violation protect //设置端口违例处理方式为protectS2950(config-if-range)#5、在特权用户配置模式下查看交换机的MAC地址表，确认学习到PC1、PC2的地址后保存配置文件。