工程3项目4端口安全.ppt

交换机接入安全 工程3项目4 第22讲 课程议题 交换机端口安全 交换机端口安全概述 交换机的端口安全机制是工作在交换机二层端口上的一个安全特性 只允许特定MAC地址的设备接入到网络中，从而防止用户将非法或未授权的设备接入网络。 限制端口接入的设备数量，防止用户将过多的设备接入到网络中。 利用交换机的端口安全功能可以防止局域网大部分的内部攻击对用户、网络设备造成的破坏。如MAC地址攻击、ARP攻击、IP/MAC地址欺骗等。 交换机端口安全概述 交换机端口安全的基本功能 限制交换机端口的最大连接数 端口的安全地址绑定 配置安全端口后的效果 源地址为规定的安全地址的数据包可以转发，其它数据包不再转发。 一个安全端口只能转发规定个数的源地址的数据包。 安全地址的配置方法 手工配置所有的安全地址。 交换机自动学习安全地址。 手工配置+交换机自动学习。 交换机端口安全违例及处理方式 安全违例： 如果一个端口被配置为一个安全端口，当其安全地址的数目已经达到允许的最大个数后，一个安全违例将产生； 如果该端口收到一个源地址不属于端口上的安全地址的包时，一个安全违例将产生。 安全违例处理方式： Protect：当安全地址个数满后，安全端口将丢弃未知地址（不是该端口的安全地址中的任何一个）的包。 RestrictTrap：当违例产生时，交换机不但丢弃接收到的帧（MAC地址不在安全地址表中），而且将发送一个SNMP Trap报文。 Shutdown：当违例产生时，交换机将丢弃接收到的帧（MAC地址不在安全地址表中），发送一个SNMP Trap报文，而且将端口关闭。 端口安全的默认设置 端口安全开关：所有端口均关闭端口安全功能 最大安全地址个数：128 安全地址：无 违例处理方式：protect(保护) 配置安全端口 开启端口安全功能 switchport port-security 打开该接口的端口安全功能 举例： switch(config)#Interface fastethernet 0/1 switch(config)#switchport mode access switch(config-if)# switchport port-security 关闭端口安全功能 switch(config)#Interface fastethernet 0/1 switch(config-if)# no switchport port-security 关闭该接口的端口安全功能 配置安全端口 端口安全最大连接数配置及处理违例的方式 switchport port-security maximum number 设置接口上安全地址的最大个数，范围是1－128，缺省值为128。 switchport port-security violation {protect| restrict | shutdown} 设置处理违例的方式 举例： switch(config)#Interface fastethernet 0/1 switch(config-if)# switchport mode access switch(config-if)# switchport port-security switch(config-if)# switchport port-security maximum 2 switch(config-if)# switchport port-security violation protect 配置安全端口上的处理违例 当端口由于违规操作而进入“err-disabled”状态后，必须在全局模式下使用如下命令手工将其恢复为UP状态： Switch(conifg)#errdisable recovery 注意：思科交换机上处理方式是：先用shutdown命令关闭端口，再用no shutdown命令打开 端口。 配置安全端口 端口的安全地址绑定：端口-MAC-IP绑定 switchport port-security 打开该接口的端口安全功能 switchport port-security [mac-address mac-address] [ip-address ip-address] 手工配置接口上的安全地址。 使用指导：如果你将一个IP 地址和一个指定的MAC 地址绑定，则当帧的源MAC 地址不为这个IP 地址绑定的MAC 时，这个帧将会被交换机丢弃。 在接口配置模式下，你可以使用命令no switchport port-security [mac-address mac-address][ ip-address ip-add