RCNA0 园区网安全设计.ppt

第9章园区网安全设计 锐捷认证网络工程师RCNA 本章内容 园区网安全隐患 交换机端口安全 如何在路由器配置访问控制列表ACL 防火墙基础 园区网常见安全隐患 非人为或自然力造成的硬件故障、电源故障、软件错误、火灾、水灾、风暴和工业事故等。 人为但属于操作人员无意的失误造成的数据丢失或损坏；。 来自园区网外部和内部人员的恶意攻击和破坏。 威胁 漏洞 物理 自然 硬件 软件 媒介 通讯 人 网络安全的演化 现有网络安全体制 常见解决安全隐患的方案 交换机端口安全 配置访问控制列表ACL 在防火墙实现包过滤 …… 交换机端口安全 通过限制允许访问交换机上某个端口的MAC地址以及IP（可选）来实现严格控制对该端口的输入。当你为安全端口打开了端口安全功能并配置了一些安全地址后，则除了源地址为这些安全地址的包外，这个端口将不转发其它任何包。 此外，你还可以限制一个端口上能包含的安全地址最大个数，如果你将最大个数设置为1，并且为该端口配置一个安全地址，则连接到这个口的工作站（其地址为配置的安全地址）将独享该端口的全部带宽。 为了增强安全性，你可以将 MAC地址和IP地址绑定起来作为安全地址。 交换机端口安全 如果一个端口被配置为一个安全端口，当其安全地址的数目已经达到允许的最大个数后，如果该端口收到一个源地址不属于端口上的安全地址的包时，一个安全违例将产生。 当安全违例产生时，你可以选择多种方式来处理违例： Protect：当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 RestrictTrap：当违例产生时，将发送一个Trap通知。 Shutdown：当违例产生时，将关闭端口并发送一个Trap通知。 配置安全端口 interface interface-id 进入接口配置模式。 switchport mode access 设置接口为access模式（如果确定接口已经处于access模式，则此步骤可以省略）。 switchport port-security 打开该接口的端口安全功能 switchport port-security maximum value 设置接口上安全地址的最大个数，范围是1－128，缺省值为128。 switchport port-security violation{protect| restrict | shutdown} 设置处理违例的方式当端口因为违例而被关闭后，你可以在全局配置模式下使用命令errdisable recovery 来将接口从错误状态中恢复过来。 switchport port-security mac-address mac-address [ip-address ip-address] 手工配置接口上的安全地址。ip-address: 可选IP 为这个安全地址绑定的地址。 端口安全配置示例 下面的例子说明了如何使能接口gigabitethernet1/3上的端口安全功能，设置最大地址个数为8，设置违例方式为protect。 Switch# configure terminal Switch（config）# interface gigabitethernet 1/3 Switch（config-if）# switchport mode access Switch（config-if）# switchport port-security Switch（config-if）# switchport port-security maximum 8 Switch（config-if）# switchport port-security violation protect Switch（config-if）# end 验证命令 Switch# show port-security address Vlan Mac Address IP Address Type Port Remaining Age（mins） ---- ------------- -------------- ---------- -------- -------------------- 1 00d0.f800.073c 02 Configured Gi1/3 8 1 00d0.f800.3cc9 Configured Gi1/1 7 验证命令 Switch#show port-security Secure Port MaxSecureAddr（count） CurrentAddr（cou