交換機路由器配置與管理任務(wù)教程第三章課件

1、23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理1第3章 交換機端口安全 23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理2學(xué)習(xí)目標(biāo) 知識目標(biāo)掌握交換機交換的基本原理掌握端口安全在網(wǎng)絡(luò)中的應(yīng)用技能目標(biāo)掌握交換機端口的安全配置的步驟與方法熟練掌握思科交換機MAC地址表的管理命令素養(yǎng)目標(biāo)建立基本的網(wǎng)絡(luò)信息安全意識了解企業(yè)常規(guī)的端口安全解決方案23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理3基本原理連接在交換機端口上的主機通過地址解析協(xié)議ARP相互查詢對方網(wǎng)卡的物理地址(又稱 MAC地址，即Media AccessC ontrol地址)，以便進行相互間的數(shù)據(jù)幀的傳輸。由于交換機在數(shù)據(jù)傳遞過程中不用檢查第三層(網(wǎng)絡(luò)層)的包頭信息

2、，而是直接由第二層幀結(jié)構(gòu)中的MAC地址來決定數(shù)據(jù)的轉(zhuǎn)發(fā)目標(biāo)，因此，數(shù)據(jù)的交換過程幾乎沒有軟件的參與，從而大大提高了交換進程的速率。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理4基本原理在交換式網(wǎng)絡(luò)中，各主機的MAC地址是存儲在交換機的MAC地址表(也稱MAC地址數(shù)據(jù)庫)中的。交換機在工作過程中，會向MAC地址表不斷寫入新學(xué)到的MAC地址。一旦交換機掉電或重新上電后，其內(nèi)部的MAC地址表會被自動清空或清空后又重新建立。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理5MAC地址MAC地址是固化在網(wǎng)卡內(nèi)部用于唯一確定網(wǎng)卡身份的標(biāo)識，是網(wǎng)卡在生產(chǎn)時被永久寫入芯片的固定值。全球的網(wǎng)卡生產(chǎn)廠商按照買得的MAC地址范圍制

3、造網(wǎng)卡，因此不會有兩塊相同MAC地址的網(wǎng)卡。這樣，MAC地址就可用做唯一標(biāo)識設(shè)備的地址。第二層交換過程通過使用MAC地址在低層實現(xiàn)通信尋的，即是說，網(wǎng)絡(luò)中的數(shù)據(jù)包最終是通過MAC地址找到目標(biāo)的。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理6局域網(wǎng)的三種幀交換方式局域網(wǎng)交換機在傳送數(shù)據(jù)時，采用幀交換(Frame Switching)，該技術(shù)包括三種主要的交換方式，即：存儲轉(zhuǎn)發(fā)(Store and Forward)伺機通過(Cut Through)自由分段(FragmentFree)。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理7存儲轉(zhuǎn)發(fā)LAN switch復(fù)制整個幀到它的緩沖區(qū)里。然后計算CRC。幀的長短可

4、能不一樣,所以延時根據(jù)幀的長短而變化。如果CRC不正確,幀將被丟棄;如果正確， LAN switch查找硬件目標(biāo)地址然后轉(zhuǎn)發(fā)它們。交換機需要解讀數(shù)據(jù)幀的目的地址與源地址，并在MAC地址列表中進行適當(dāng)?shù)倪^濾。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理8存儲轉(zhuǎn)發(fā)如果所接收到的數(shù)據(jù)幀存在錯誤、太短(小于64B)或太長(大于l 518B)，最終都會被拋棄。采用這種轉(zhuǎn)發(fā)方式的交換機在接收數(shù)據(jù)幀時延遲較大，且越大的數(shù)據(jù)幀延遲時間越長。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理9伺機通過Cisco稱這種模式叫cut-through,fastforward或者real time模式,使用這種模式的時候，LAN swi

5、tch只讀取到幀的目標(biāo)地址為止,減少延時,但是不適合于高偏向錯誤率的網(wǎng)絡(luò)。在減少傳輸延遲的同時也削減了對數(shù)據(jù)幀的錯誤檢測能力。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理10自由分段fragmentfree(modified cut-through):和cut-through類似，但在轉(zhuǎn)發(fā)數(shù)據(jù)之前，過濾有包錯誤的沖突分段(長度為64B)。這是因為通常認為數(shù)據(jù)幀的錯誤總是發(fā)生在剛開始的64B內(nèi)。該方式的錯誤檢測級別要高于伺機通過交換方式。是Catalyst 1900的默認模式。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理11學(xué)習(xí)情境 23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理12端口安全配置任務(wù)計劃與設(shè)計 設(shè)計

6、局域網(wǎng)中的計算機配置192.168.1.0/30網(wǎng)段的地址。圖3-2標(biāo)出了每臺計算機的具體IP地址。交換機的名稱為switch1。設(shè)計交換機的Fa0/1端口只允許PC1通過。23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理13任務(wù)實施與驗證 23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理1423 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理1523 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理16配置交換機端口安全 Switch1enaSwitch1#conf tSwitch1(config)#int f0/1Switch1(config-if)#shutdown Switch1(config-if)#switchport mode

7、access Switch1(config-if)#switchport port-security Switch1(config-if)#switchport port-security maximum 1Switch1(config-if)#switchport port-security violation shutdown Switch1(config-if)#switchport port-security mac-address 00D0.BC49.D378！設(shè)定PC1的安全MAC地址。Switch1(config-if)#no shut 23 七月 2022網(wǎng)絡(luò)設(shè)備配置與管理17查看交換機端口安全信息 Switch1#show mac-address-table Mac Address Table-Vlan Mac Address Type Ports- - - - 1 0001.64eb.d81b DYNAMIC Fa0/2 1 00d0.bc49.d378 STATIC Fa0/1 拓展學(xué)習(xí)端口安全設(shè)置一般有三種方式，一是靜態(tài)配置一個端口允許訪問的主機,二是建立基于 MAC 訪問控制列表，三是 IP