交換機(jī)端口安全技術(shù)

1、交換機(jī)端口安全技術(shù)交換機(jī)端口安全技術(shù)日期：杭州華三通信技術(shù)有限公司 版權(quán)所有，未經(jīng)授權(quán)不得使用與傳播n 掌握基本原理及其配置掌握基本原理及其配置n 掌握端口隔離技術(shù)及其配置掌握端口隔離技術(shù)及其配置n 掌握端口綁定技術(shù)及其配置掌握端口綁定技術(shù)及其配置課程目標(biāo)課程目標(biāo)學(xué)習(xí)完本課程，您應(yīng)該能夠：學(xué)習(xí)完本課程，您應(yīng)該能夠：n 基本原理及其配置基本原理及其配置n 端口隔離技術(shù)及其配置端口隔離技術(shù)及其配置n 端口綁定技術(shù)及其配置端口綁定技術(shù)及其配置目錄目錄l802.1X協(xié)議起源于標(biāo)準(zhǔn)的無(wú)線局域網(wǎng)協(xié)議協(xié)議起源于標(biāo)準(zhǔn)的無(wú)線局域網(wǎng)協(xié)議802.11。主要目的是。主要目的是為了解決有線局域網(wǎng)用戶(hù)的接入認(rèn)證問(wèn)題。為了

2、解決有線局域網(wǎng)用戶(hù)的接入認(rèn)證問(wèn)題。I客戶(hù)端設(shè)備端認(rèn)證服務(wù)器端l本地認(rèn)證本地認(rèn)證由設(shè)備端內(nèi)置本地服務(wù)器對(duì)客戶(hù)端進(jìn)行認(rèn)證l遠(yuǎn)程集中認(rèn)證遠(yuǎn)程集中認(rèn)證由遠(yuǎn)程的認(rèn)證服務(wù)器對(duì)客戶(hù)端進(jìn)行認(rèn)證端口接入控制方式端口接入控制方式MAC-basedPort-basedHubl基于端口的認(rèn)證方式基于端口的認(rèn)證方式l基于基于MAC的認(rèn)證方式的認(rèn)證方式SSwitch dot1xl添加本地接入用戶(hù)并設(shè)置相關(guān)參數(shù)添加本地接入用戶(hù)并設(shè)置相關(guān)參數(shù) Switch dot1x interface interface-listSwitch local-user user-nameSwitch-luser-localuser servi

3、ce-type lan-accessSwitch-luser-localuser password cipher | simple SWAdot1xSWAdot1x interface ethernet1/0/1SWAlocal-user localuser SWA-luser-localuserpassword simple helloSWA-luser-localuserservice-type lan-accessPCSWAE1/0/1n 的基本原理和配置的基本原理和配置n 端口隔離技術(shù)及其配置端口隔離技術(shù)及其配置n 端口綁定技術(shù)及其配置端口綁定技術(shù)及其配置目錄目錄端口隔離簡(jiǎn)介端口隔離簡(jiǎn)

4、介Port-isolate GroupVLAN1SwitchVLAN2VLAN3Switchl端口隔離用于在端口隔離用于在VLAN內(nèi)隔離以太網(wǎng)端口內(nèi)隔離以太網(wǎng)端口Uplink-Switch-Ethernet1/0/1 port-isolate enablel將指定端口加入到隔離組中，端口成為將指定端口加入到隔離組中，端口成為隔離組的普通端口隔離組的普通端口l將指定端口加入到隔離組中，端口成為將指定端口加入到隔離組中，端口成為隔離組的上行端口隔離組的上行端口端口隔離基本配置端口隔離基本配置Switch-Ethernet1/0/2 port-isolate uplink-端口隔離配置舉例端口隔離配

5、置舉例E1/0/2E1/0/1E1/0/3E1/0/4Uplink-portPCAPCBPCCSWAinterface ethernet1/0/2 SWA-Ethernet1/0/2 port-isolate enableSWAinterface ethernet1/0/3SWA-Ethernet1/0/3 port-isolate enableSWAinterface ethernet1/0/4SWA-Ethernet1/0/4 port-isolate enableSWAinterface ethernet1/0/1SWA-Ethernet1/0/1 port-isolate uplink

6、-portServern 的基本原理和配置的基本原理和配置n 端口隔離技術(shù)及其配置端口隔離技術(shù)及其配置n 端口綁定技術(shù)及其配置端口綁定技術(shù)及其配置目錄目錄端口綁定技術(shù)簡(jiǎn)介端口綁定技術(shù)簡(jiǎn)介l通過(guò)通過(guò)“MAC+IP+端口端口”綁定功能，可以實(shí)現(xiàn)設(shè)備對(duì)轉(zhuǎn)發(fā)報(bào)文的綁定功能，可以實(shí)現(xiàn)設(shè)備對(duì)轉(zhuǎn)發(fā)報(bào)文的過(guò)濾控制，提高了安全性。過(guò)濾控制，提高了安全性。MAC:0001-0201-2123MAC:0001-0401-2126MAC:0002-0261-2562E1/0/2E1/0/1E1/0/3E1/0/4PCAPCBPCCMACIPPort0001-0201-000010.1.1.1E1/0/20001-04

7、01-212610.2.1.1E1/0/30001-0401-212610.3.1.2E1/0/Switch-Ethernet1/0/1 user-bind ip-address ip-address mac-address mac-address l配置靜態(tài)綁定表項(xiàng)配置靜態(tài)綁定表項(xiàng)端口綁定基本配置端口綁定基本配置端口綁定典型配置舉例端口綁定典型配置舉例MAC:0001-0201-2123MAC:0001-0401-2126MAC:0002-0261-2562E1/0/2E1/0/1E1/0/3E1/0/4PCAPCBPCCSWAinterface ethernet1/0/2 SWA-Ethernet1/0/2 user-bind ip-address 10.1.1.1 mac-address 0001-0201-2123SWAinterface ethernet1/0/3SWA-Ethernet1/0/3 user-bind ip-address 10.2.1.1 mac-address 0001-0401-2126SWAinterface ethernet1/0/4SWA-Ethernet1/0/4 user-bind ip-address 10.3.1.1 mac-address 0002-0261-2562n 是基于端口的網(wǎng)絡(luò)接入控制協(xié)議，對(duì)接入用戶(hù)進(jìn)是基于端口的網(wǎng)絡(luò)接