交換機(jī)端口安全技術(shù)

1、交換機(jī)端口安全技術(shù)交換機(jī)端口安全技術(shù) issue 1.0 日期： 杭州華三通信技術(shù)有限公司 版權(quán)所有，未經(jīng)授權(quán)不得使用與傳播 n 掌握掌握802.1x基本原理及其配置基本原理及其配置 n 掌握端口隔離技術(shù)及其配置掌握端口隔離技術(shù)及其配置 n 掌握端口綁定技術(shù)及其配置掌握端口綁定技術(shù)及其配置 課程目標(biāo)課程目標(biāo) 學(xué)習(xí)完本課程，您應(yīng)該能夠：學(xué)習(xí)完本課程，您應(yīng)該能夠： n 802.1x基本原理及其配置基本原理及其配置 n 端口隔離技術(shù)及其配置端口隔離技術(shù)及其配置 n 端口綁定技術(shù)及其配置端口綁定技術(shù)及其配置 目錄目錄 802.1x技術(shù)簡(jiǎn)介技術(shù)簡(jiǎn)介 l802.1x協(xié)議起源于標(biāo)準(zhǔn)的無(wú)線(xiàn)局域網(wǎng)協(xié)議協(xié)議起源于

2、標(biāo)準(zhǔn)的無(wú)線(xiàn)局域網(wǎng)協(xié)議802.11。主要目的是。主要目的是 為了解決有線(xiàn)局域網(wǎng)用戶(hù)的接入認(rèn)證問(wèn)題。為了解決有線(xiàn)局域網(wǎng)用戶(hù)的接入認(rèn)證問(wèn)題。 internet 802.11802.1x 客戶(hù)端設(shè)備端認(rèn)證服務(wù) 器端 l本地認(rèn)證本地認(rèn)證 由設(shè)備端內(nèi)置本地服務(wù)器對(duì)客戶(hù)端進(jìn)行認(rèn)證 l遠(yuǎn)程集中認(rèn)證遠(yuǎn)程集中認(rèn)證 由遠(yuǎn)程的認(rèn)證服務(wù)器對(duì)客戶(hù)端進(jìn)行認(rèn)證 802.1x的體系結(jié)構(gòu)的體系結(jié)構(gòu) 端口接入控制方式端口接入控制方式 mac-basedport-based hub l基于端口的認(rèn)證方式基于端口的認(rèn)證方式 l基于基于mac的認(rèn)證方式的認(rèn)證方式 switch 802.1x基本配置基本配置 switch dot1x l開(kāi)

3、啟全局的開(kāi)啟全局的802.1x特性特性 l開(kāi)啟端口的開(kāi)啟端口的802.1x特性特性 l添加本地接入用戶(hù)并設(shè)置相關(guān)參數(shù)添加本地接入用戶(hù)并設(shè)置相關(guān)參數(shù) switch dot1x interface interface-list switch local-user user-name switch-luser-localuser service-type lan-access switch-luser-localuser password cipher | simple password 802.1x典型配置舉例典型配置舉例 swadot1x swadot1x interface ethernet1

4、/0/1 swalocal-user localuser swa-luser-localuserpassword simple hello swa-luser-localuserservice-type lan-access pc swa e1/0/1 n 802.1x的基本原理和配置的基本原理和配置 n 端口隔離技術(shù)及其配置端口隔離技術(shù)及其配置 n 端口綁定技術(shù)及其配置端口綁定技術(shù)及其配置 目錄目錄 端口隔離簡(jiǎn)介端口隔離簡(jiǎn)介 port-isolate group vlan1 switch vlan2vlan3 switch l端口隔離用于在端口隔離用于在vlan內(nèi)隔離以太網(wǎng)端口內(nèi)隔離以太網(wǎng)端

5、口 uplink-port switch-ethernet1/0/1 port-isolate enable l將指定端口加入到隔離組中，端口成為將指定端口加入到隔離組中，端口成為 隔離組的普通端口隔離組的普通端口 l將指定端口加入到隔離組中，端口成為將指定端口加入到隔離組中，端口成為 隔離組的上行端口隔離組的上行端口 端口隔離基本配置端口隔離基本配置 switch-ethernet1/0/2 port-isolate uplink-port 端口隔離配置舉例端口隔離配置舉例 e1/0/2 e1/0/1 e1/0/3 e1/0/4 uplink-port pcapcbpcc swainterf

6、ace ethernet1/0/2 swa-ethernet1/0/2 port-isolate enable swainterface ethernet1/0/3 swa-ethernet1/0/3 port-isolate enable swainterface ethernet1/0/4 swa-ethernet1/0/4 port-isolate enable swainterface ethernet1/0/1 swa-ethernet1/0/1 port-isolate uplink-port server n 802.1x的基本原理和配置的基本原理和配置 n 端口隔離技術(shù)及其配置

7、端口隔離技術(shù)及其配置 n 端口綁定技術(shù)及其配置端口綁定技術(shù)及其配置 目錄目錄 端口綁定技術(shù)簡(jiǎn)介端口綁定技術(shù)簡(jiǎn)介 l通過(guò)通過(guò)“mac+ip+端口端口”綁定功能，可以實(shí)現(xiàn)設(shè)備對(duì)轉(zhuǎn)發(fā)報(bào)文的綁定功能，可以實(shí)現(xiàn)設(shè)備對(duì)轉(zhuǎn)發(fā)報(bào)文的 過(guò)濾控制，提高了安全性。過(guò)濾控制，提高了安全性。 mac:0001-0201-2123 ip:10.1.1.1/24 mac:0001-0401-2126 ip:10.2.1.1/24 mac:0002-0261-2562 ip:10.3.1.1/24 e1/0/2 e1/0/1 e1/0/3 e1/0/4 pcapcbpcc macipport 0001-0201-000010

8、.1.1.1e1/0/2 0001-0401-212610.2.1.1e1/0/3 0001-0401-212610.3.1.2e1/0/4 switch-ethernet1/0/1 user-bind ip-address ip- address mac-address mac-address l配置靜態(tài)綁定表項(xiàng)配置靜態(tài)綁定表項(xiàng) 端口綁定基本配置端口綁定基本配置 端口綁定典型配置舉例端口綁定典型配置舉例 mac:0001-0201-2123 ip:10.1.1.1/24 mac:0001-0401-2126 ip:10.2.1.1/24 mac:0002-0261-2562 ip:10.3.

9、1.1/24 e1/0/2 e1/0/1 e1/0/3 e1/0/4 pcapcbpcc swainterface ethernet1/0/2 swa-ethernet1/0/2 user-bind ip-address 10.1.1.1 mac-address 0001-0201-2123 swainterface ethernet1/0/3 swa-ethernet1/0/3 user-bind ip-address 10.2.1.1 mac-address 0001-0401-2126 swainterface ethernet1/0/4 swa-ethernet1/0/4 user-bind ip-address 10.3.1.1 mac-address 0002-0261-2562 n 802.1x是基于端口的網(wǎng)絡(luò)接入控制協(xié)議，對(duì)