第八次课交换机端口安全.ppt

交换机端口安全 在企业网络中，安全是最受关注的领域之一，如果来自用户的流量怀有敌意或存在疏忽，就可能导致拥塞或DOS（Denial of Service，拒绝服务)网络中断。因此，企业网络管理员有责任只允许网络的合法用户，而拒绝其他未授权用户。端口安全是一种第2层特性，它能提供下列三种保护特性： 基于主机MAC地址的允许流量。 基于主机MAC地址的限制流量。 在期望的端口上阻塞单播流量。 端口模式必须为access或者Trunk状态。 端口下启用端口安全功能 。 Switch(config-if)# switchport port-security  基于主机MAC地址的允许流量配置 3550-1(config-if)#switchport mode access /指定端口模式。 3550-1(config-if)# switchport port-security 3550-1(config-if)#switchport port-security mac-address 00-90-F5-10-79-C1 /配置MAC地址。 3550-1(config-if)#switchport port-security maximum 1 /限制此端口允许通过的MAC地址数为1。  3550-1(config)#int f0/1 3550-1(config-if)#switchport mode trunk 3550-1(config-if)# switchport port-security 3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 drop /丢弃属于Vlan 2 中该MAC地址流量。 3550-1(config-if)#switchport port-security maximum 100 /允许此端口通过的最大MAC地址数目为100。  在期望的端口上阻塞单播流量配置。 默认情况下，如果数据包具有未知的目标MAC地址，那么交换机把它扩散到与接收端口的VLAN相同的VLAN中的所有端口，如果某些端口手动配置允许的MAC地址或该端口已经学习到最大数目的MAC地址，那么这些端口不必再接收未知的单播扩散。 3550-1#conf t 3550-1(config)#int f0/1 3550-1(config-if)#swicthport block unicast 3550-1(config-if)# swicthport block multicast 违背安全事件发生时的三种处理模式 shutdown-交换机将永久性或在特定时间周期内err-disable 端口。 当一个安全端口处在err-disable状态，你要恢复正常必须得敲入全局下的err-disable recovery cause psecure-violation 命令，或者你可以手动的shut再no shut端口。这个是端口安全违规的默认动作。 Err-disable recovry interval {time_interval} 在 time_interval时间后自动重启。 restrict- 交换机将继续工作，但将把来自未授权主机的数据帧丢弃。 protect-当已经超过所允许学习的最大mac地址的数量时，交换机将继续工作，但将把来自新主机的数据帧丢弃。 违背安全事件配置 Switch(config-if)# switchport port-security violation {shutdown|protect|restrict} * * 项目十一 交换机端口安全 1.教学目标 了解交换机端口在网络安全中的重要作用，掌握交换机端口安全功能配置方法，具体如下： （1）认识交换机端口安全功能用途 （2）掌握交换机端口安全功能配置方法 基于主机MAC地址的限制流量。 例如：在交换机端口fastethernet 0/3上配置一个安全地址：00d0.f800.073c，并为其绑定一个IP地址：192.168.12.202 。 Switch# configure terminal Switch(config)# interface fastethernet 0/3 Switch(config-if)# switchport mode access Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security mac-a