路由交換技術(shù)與實踐項目18-交換機(jī)端口安全的配置課件

1、路由交換技術(shù)與實踐工業(yè)和信息化“十三五”高職高專人才培養(yǎng)規(guī)劃教材項目18交換機(jī)端口安全的配置人民郵電出版社知識梳理用戶需求方案設(shè)計項目實施拓展訓(xùn)練一、用戶需求 某學(xué)校辦公網(wǎng)絡(luò)部分網(wǎng)絡(luò)拓?fù)鋱D如圖所示，為了提高網(wǎng)絡(luò)的安全性，不允許接入交換機(jī)的不合法用戶訪問網(wǎng)絡(luò)。怎樣實現(xiàn)這樣的功能？二、知識梳理端口安全 端口安全限制端口上所允許的有效MAC地址的數(shù)量，可以為安全端口分配安全MAC地址，當(dāng)數(shù)據(jù)包的源地址不是已定義的安全地址時，端口不會轉(zhuǎn)發(fā)。二、知識梳理安全MAC地址類型靜態(tài)安全MAC地址 靜態(tài)安全MAC地址是使用命令手動配置的交換機(jī)端口的安全MAC地址，存儲在地址表中，并添加到交換機(jī)的運(yùn)行配置中。動態(tài)

2、安全MAC地址 動態(tài)安全MAC地址是動態(tài)學(xué)習(xí)到的，并且僅存儲在地址表中。動態(tài)安全MAC地址在交換機(jī)重新啟動時將被移除。粘滯安全MAC地址 當(dāng)在端口上啟用安全MAC地址粘滯學(xué)習(xí)時，端口會將所有動態(tài)安全MAC地址（包括那些在啟用粘滯獲取之前動態(tài)獲得的MAC地址）轉(zhuǎn)換為粘滯安全MAC地址，并將所有粘滯安全MAC地址添加到運(yùn)行配置中。二、知識梳理安全違規(guī)模式保護(hù) 保護(hù)違規(guī)模式下，當(dāng)安全MAC地址的數(shù)量達(dá)到端口允許的限制時，帶有未知源地址的數(shù)據(jù)包將被丟棄，保護(hù)安全違規(guī)模式不會發(fā)送安全違規(guī)的通知。限制 限制違規(guī)模式下，當(dāng)安全MAC地址的數(shù)量達(dá)到端口允許的限制時，帶有未知源地址的數(shù)據(jù)包將被丟棄，該模式會發(fā)送

3、SNMP Trap消息，記錄系統(tǒng)日志，并增加違規(guī)計數(shù)器的計數(shù)。關(guān)閉 關(guān)閉違規(guī)模式下，端口安全違規(guī)將造成端口立即變?yōu)殄e誤禁用（err-disabled ）狀態(tài)，并關(guān)閉端口LED。該模式還會發(fā)送SNMP Trap消息、記錄系統(tǒng)日志并增加違規(guī)計數(shù)器的計數(shù)。二、知識梳理配置命令啟用端口安全和設(shè)置端口的違規(guī)模式 Switch(config-if)#switchport port-security violation protect | restrict | shutdown 設(shè)置端口允許通過的最大MAC地址數(shù)量 Switch(config-if)#switchport port-security max

4、imum value設(shè)置靜態(tài)安全MAC地址 Switch(config-if)#switchport port-security mac-address mac-address設(shè)置粘滯安全MAC地址 Switch(config-if)#switchport port-security mac-address sticky mac-address 顯示交換機(jī)或指定端口的端口安全設(shè)置 Switch# show port-security interface interface-id顯示所有交換機(jī)端口或某個指定端口上配置的所有安全MAC地址 Switch# show port-security in

5、terface interface-id address三、方案設(shè)計 網(wǎng)絡(luò)拓?fù)鋱D中，若要實現(xiàn)不允許接入交換機(jī)的不合法用戶訪問網(wǎng)絡(luò)，可以啟用端口安全（啟用端口安全后，不合法的設(shè)備無法訪問網(wǎng)絡(luò)），可以采用靜態(tài)端口安全、動態(tài)端口安全或粘滯端口安全，端口的違規(guī)模式可以配置為保護(hù)、限制或關(guān)閉。四、項目實施靜態(tài)端口安全的配置 網(wǎng)絡(luò)拓?fù)鋱D如圖所示，計算機(jī)PC1的MAC地址為54be.f74e.2456，計算機(jī)PC2的MAC地址為54be.f74e.2502。為了防止不合法用戶訪問網(wǎng)絡(luò)，要求配置靜態(tài)端口安全，使交換機(jī)的f0/2端口只允許計算機(jī)PC1接入，交換機(jī)f0/3端口只允許PC2接入，一旦兩個端口有非法計

6、算機(jī)接入，將進(jìn)入關(guān)閉模式。四、項目實施動態(tài)端口安全的配置 網(wǎng)絡(luò)拓?fù)鋱D如圖所示，為了防止不合法用戶訪問網(wǎng)絡(luò)，要求配置動態(tài)端口安全，使交換機(jī)S1的f0/3端口只允許兩臺計算機(jī)接入，一旦交換機(jī)端口有不合法計算機(jī)接入，端口將進(jìn)入保護(hù)違規(guī)模式。四、項目實施粘滯端口安全的配置 網(wǎng)絡(luò)拓?fù)鋱D如圖所示，為了防止不合法用戶訪問網(wǎng)絡(luò)，要求配置粘滯端口安全，使交換機(jī)S1的f0/3端口只允許1臺計算機(jī)接入，一旦有非法計算機(jī)接入，端口將進(jìn)入限制安全違規(guī)模式。五、拓展訓(xùn)練網(wǎng)絡(luò)拓?fù)鋱D如圖所示 ，要求完成如下配置。完成靜態(tài)端口安全的配置，使交換機(jī)S1的f0/1端口僅允許計算機(jī)PC1接入。當(dāng)有其他計算機(jī)接入時，端口將進(jìn)入保護(hù)安全違規(guī)模式。完成動態(tài)端口安全的配置，使交換機(jī)S1的f0/2端口僅允許兩臺計算機(jī)接入。