《计算机网络安全技术》-07保护交换网络安全.ppt

LOGO 核心技术 交换机端口安全 目录 学习目标 ? 交换机端口安全技术 ? 交换机保护端口安全技术 ? 交换机端口阻塞安全技术 ? 交换机端口镜像安全技术 7.1 交换机端口安全技术 默认情况下交换机所有端口都是完全敞开，不提供任何安全检查措施，允许所有数据流通过。因此为保护网络内用户安全，对交换机的端口增加安全访问功能，可以有效保护网络安全。 交换机的端口安全是工作在交换机二层端口上一个安全特性，它主要有以下功能： 只允许特定MAC地址的设备接入到网络中，防止非法或未授权设备接入网络。 限制端口接入的设备数量，防止用户将过多的设备接入到网络中。 7.1.1 交换机端口安全 1、配置端口安全地址 通过在交换机某个端口上配置限制访问MAC地址以及IP（可选），可以控制该端口上的数据安全输入。当交换机的端口配置端口安全功能后，设置包含有某些源地址的数据是合法地址数据后，除了源地址为安全地址的数据包外，这个端口将不转发其他任何包。 为了增强网络的安全性，还可以将MAC地址和IP地址绑定起来，作为安全接入的地址，实施更为严格的访问限制，当然也可以只绑定其中一个地址，如只绑定MAC地址而不绑定IP地址，或者相反 。 2、配置端口安全地址个数 交换机的端口安全功能还表现在，可以限制一个端口上能连接安全地址的最多个数。如果一个端口被配置为安全端口，配置有最多的安全地址的连接数量，当其上连接的安全地址的数目达到允许的最多个数，或者该端口收到一个源地址不属于该端口上的安全地址时，交换机将产生一个安全违例通知。 7.1.2 配置端口最大连接数 最常见的对交换机端口安全的理解，就是根据交换机端口上连接设备的MAC地址，实施对网络流量的控制和管理：比如限制具体端口上通过的MAC地址的最多连接数量，这样可以限制终端用户，非法使用集线器等简单的网络互联设备，随意扩展企业内部网络的连接数量，造成网络中流量的不可控制，增大网络的负载。 要想使交换机的端口成为一个安全端口，需要在端口模式下，启用端口安全特性： switchport port-security 当交换机端口上所连接安全地址数目达到允许的最多个数，交换机将产生一个安全违例通知。启用端口端口安全特性后，使用如下命令为端口配置允许最多的安全地址数： switchport port-security maximum number 默认情况下，端口的最多安全地址个数为128个。 ? 7.1.2 配置端口最大连接数 当安全违例产生后，可以设置交换机，针对不同的网络安全需求，采用不同安全违例的处理模式， 其中： Protect ： 当所连接端口通过安全地址，达到最大的安全地址个数后，安全端口将丢弃其余未知名地址（不是该端口的安全地址中任何一个）数据包，但交换机将不作出任何通知以报告违规的产生。 RestrictTrap ：当安全端口产生违例事件后，交换机不但丢弃接收到的帧（MAC地址不在安全地址表中），而且将发送一个SNMP Trap报文，等候处理。 Shutdown ： 当安全端口产生违例事件后，交换机将丢弃接收到的帧（MAC地址不在安全地址表中），发送一个SNMP Trap报文，而且将端口关闭，端口将进入“err-disabled”状态，之后端口将不再接收任何数据帧。 ? 7.1.2 配置端口最大连接数 7.1.3 绑定端口安全地址 实施交换机端口安全的管理，还可以根据MAC地址限制端口接入，实施网络安全：比如把接入主机的MAC地址与交换机相连的端口绑定。 通过在交换机的指定端口上限制带有某些接入设备的MAC地址帧流量通过，从而实现对网络接入设备的安全控制访问目的。 当需要手工指定静态安全地址时，使用如下命令配置： switchport port-security mac-address mac-address ? 当主机的MAC地址与交换机连接端口绑定后，交换机发现主机MAC地址与交换机上配置MAC地址不同时，交换机相应的端口将执行违例措施：如连接端口Down掉。 ? 7.1.3 绑定端口安全地址 7.2 交换机保护端口安全 交换机的端口安全是实施交换机安全关键技术，加强接入交换机的端口安全，是提高整个网络安全的关键。对交换机的端口增加安全访问功能，可以有效保护网络的安全。 加载在交换机端口上的安全技术，除交换机的安全端口技术之外，还包括交换机的保护端口技术。 交换机的保护端口和端口安全一样，在园区网内有着比较广泛的应用。 在某些应用环境下，一个局域网内有时候也希望用户不能互相访问，如：小区用户至今互相隔离，学生机房的考试环境学生机器的互相隔离等，都要求一台交换机上的有些端口之间不能互相通讯，但