交换机的安全配置与管理.ppt

交换机的安全配置与管理 本章重点 基于端口的传输控制 私有VLAN 访问列表 802.1x基于端口的认证 1 基于端口的传输控制 1.1 风暴控制 1. 启用风暴控制 2. 禁用风暴控制 1.2 保护端口 保护端口可以确保同一交换机上的端口之间不进行通讯。保护端口不向其他保护端口转发任何传输，包括单播、多播和广播包。传输不能在第二层保护端口间进行，所有保护端口间的传输都必须通过第三层设备转发。保护端口与非保护端口间的传输不受任何影响。 1.3 端口阻塞 默认状态下，未知目的MAC地址的泛洪包被允许从端口向外传输。如果未知的单播和多播通信被转发到保护端口，将导致安全问题。可以采用阻塞端口的方式，防止未知的单播和多播通信被转在端口间转发。 1.4 端口安全 安全端口不能是Trunk端口。 安全端口不能是Switch Port Analyzer (SPAN)的目的端口。 安全端口不能是属于EtherChannel的端口。 安全端口不能是private-VLAN端口。 端口安全包括以下两方面内容： 1. 配置安全端口 2. 设置端口安全老化 2 私有VLAN 2.1 了解PVLAN技术 1. VLAN的局限性 2. PVLAN技术 PVLAN端口 PVLAN域 Primary VLAN与Secondary VLAN： Trunk实现PVLAN传输： 2.2 配置PVLAN 1. 配置PVLAN一般步骤 2. 将VLAN配置为PVLAN 3. 关联Primary VLAN与Secondary VLAN 4. 配置PVLAN Promiscuous端口 5. 配置PVLAN Host端口 6. 配置PVLAN Trunk端口 7. 将Secondary VLAN映射为Primary VLAN三层VLAN接口 3 访问列表 3.1 访问列表概述 1. 交换机支持的访问列表 2. 访问列表的类型 3. 配置访问列表应当注意的问题 4. 访问列表配置步骤 1. 交换机支持的访问列表 IP访问列表。 Ethernet访问列表。 端口访问列表。 路由访问列表。 VLAN访问列表。 2. 访问列表的类型 标准IP访问控制列表 扩展IP访问控制列表 命名访问控制列表 3. 配置访问列表应当注意的问题 自上而下的处理过程 添加表项 标准访问列表过滤 访问列表位置 语句的位置 访问列表应用 过滤方向 3.2 创建并应用IP访问列表 1. 创建标准访问列表 2. 创建扩展访问列表 3. 创建IP访问列表名称 创建标准IP访问列表名称 创建扩展IP访问列表名称 4. 基于时间的访问列表 5. 将IP访问列表应用到接口 periodic语句中可以使用的每星期天数中的参数： 3.4 创建并应用VLAN访问列表 1. 创建VLAN访问列表 2. 将VLAN访问列表应用到VLAN 4 802.1x基于端口的认证 4.1 802.1x认证配置指导方针 4.2 配置802.1x认证 配置802.1x基于端口的认证，必须启用认证、授权、计帐（AAA，Authentication Authorization Accounting）以及认证方法列表。 认证方法列表描述了查询和认证用户的次序与认证方法。 4.3 配置交换机到RADIUS服务器的通讯 RADIUS安全服务器通过主机名或IP地址、主机名和指定的UDP端口号，或者IP地址和批定的UDP端口号被识别。IP地址和UDP端口号相结合构成唯一的标识符，在一个IP地址的服务器上，可以采用多UDP端口方式启用多个RASIUS请求。 4.4 配置重新认证周期 可以实施对802.1x客户的定期重新认证，并且指定重新认证的周期。默认情况下，两次认证的间隔为3600秒。如果人员流行性较大，且对安全性要求较高，可以缩短重新认证的时间。 4.5 修改安静周期 所谓安静周期，是指当客户端无法通过认证后，再次认证所需要等待的时间。为了使用户尽快得到再次重新尝试键入密码，以正确登录网络的机会，可以缩短安静周期。当然，应当在一些比较可靠的接口设置。 5 其他安全措施 1. 配置安全端口 第1步，进入全局配置模式。 Switch# configure terminal 第2步，指定欲配置端口安全的接口。 Switch(config)# interface interface_id 第3步，将接口设置为访问模式。 Switch(config-if)# switchport mode access 第4步，在接口启用端口安全。 Switch(config-if)# switchport port-security 第5步，