第一章 数据链路层网络安全.docx

交换机端口安全实验试验要求配置交换机端口安全，保证合法的客户端可以接入网络，非法客户端不能接入网络，并将交换机的端口置为err-disabled状态端口安全试验配置步骤初配enconf tno ip domain-loline con 0exec-t 0 0logg synexiR1Router(config)#int f0/0Router(config-if)#ip add 192.168.10.1 255.255.255.0Router(config-if)#no shRouter(config-if)#exiRouter(config)#R2Router(config)#int e0/0Router(config-if)#ip add 192.168.10.2 255.255.255.0Router(config-if)#no shRouter(config-if)#exiRouter(config)#sw1Switchen Switch#conf tEnter configuration commands, one per line. End with CNTL/Z.Switch(config)#no ip domain loSwitch(config)#line con 0Switch(config-line)#exec-t 0 0Switch(config-line)#logg synSwitch(config-line)#exiSwitch(config)#Switch(config)#vlan 10Switch(config-vlan)#name aaSwitch(config-vlan)#exiSwitch(config)#int range f0/1 -2Switch(config-if-range)#sw mo accSwitch(config-if-range)#sw acc vlan 10Switch(config-if-range)#no sh Switch(config-if-range)#exiSwitch(config)#Switch(config)#int f0/1Switch(config-if)#switchport port-security Switch(config-if)#switchport port-security maximum 1Switch(config-if)#switchport port-security aging time 5Switch(config-if)#switchport port-security aging type inactivity Switch(config-if)#switchport port-security violation shutdown Switch(config-if)#exiSwitch(config)#验证R1(config)#R1(config)#int f0/0R1(config-if)#macR1(config-if)#mac-address 1.1.1R1(config-if)#no shR1(config-if)#exiR1(config)#Switch#sh port-security interface f0/1Port Security : EnabledPort Status : Secure-shutdownViolation Mode : ShutdownAging Time : 5 minsAging Type : InactivitySecureStatic Address Aging : DisabledMaximum MAC Addresses : 1Total MAC Addresses : 0Configured MAC Addresses : 0Sticky MAC Addresses : 0Last Source Address:Vlan : 0001.0001.0001:10Security Violation Count : 1DHCP监听实验实验拓补实验要求配置DHCP监听，链接DHCP服务器的端口为信任端口，其他为非信任端口客户端与服务器同属一VLAN,限制非信任端口DHCP报文速率为100PPS.dhcp监听实验步骤2013年5月31日10:05en conf tno ip domain loline con 0exec-t 0 0logg synExisw1SW1(config)#vlan 10SW1(config-vlan)#name aaSW1(config-vlan)#exiSW1(config)#int range f0/1 - 3SW1(config-if-range)#sw mo accSW1(config-if-range)#sw acc vlan 10SW1(config-if-range)#no shSW1(config-if-range)#exiSW1(config)#启用dhcp监听SW1(config)#ip dhcp snoopingSW1(config)#ip dhcp snooping vlan 10SW1(config)#ip dhcp snooping information option SW1(config)#int f0/2SW1(config-if)#ip dhcp snooping trustSW1(config-if)#exiSW1(config)#int f0/1SW1(config-if)#ip dhcp snooping limit rate 100SW1(config-if)#exiSW1(config)#int f0/3SW1(config-if)#ip dhcp snooping limit rate 100SW1(config-if)#exiSW1(config)#R1R1(config)#int f0/0R1(config-if)#ip add 192.168.10.1 255.255.255.0R1(config-if)#no shR1(config-if)#exiR1(config)#ip dhR1(config)#ip dhcp pool vlan10R1(dhcp-config)#network 192.168.10.0 255.255.255.0R1(dhcp-config)#default-router 192.168.10.254 R1(dhcp-config)#lease 2R1(dhcp-config)#dnsR1(dhcp-config)#dns-server 1.1.1.1R1(dhcp-config)#exiR1(config)#R2R2(config)#int e0/0R2(config-if)#ip add 192.168.20.1 255.255.255.0R2(config-if)#no shR2(config-if)#exiR2(config)#ip dhcp pool aaaR2(dhcp-config)#netw 192.168.20.0 255.255.255.0R2(dhcp-config)#deR2(dhcp-config)#default-router 192.168.20.254R2(dhcp-config)#lease 2R2(dhcp-config)#dns 2.2.2.2R2(dhcp-config)#exiR2(config)#配置接收报文接口R2(config)#R2(config)#int e0/0R2(config-if)#ip dhcp relay information trusted R2(config-if)#R3R3(config)#int e0/0R3(config-if)#ip add dhR3(config-if)#ip add dhcp R3(config-if)#no shR3(config-if)#exiR3(config)#do sh ip int brInterface IP-Address OK? Method Status ProtocolEthernet0/0 192.168.10.2 YES DHCP up up Ethernet0/1 unassigned YES unset administratively down down 验证R3(config)#int e0/0R3(config-if)#shR3(config-if)#no ip addR3(config-if)#ip add dhcpR3(config-if)#no shR3(config-if)#exiR3(config)#do sh ip int brInterface IP-Address OK? Method Status ProtocolEthernet0/0 192.168.20.3 YES DHCP up up Ethernet0/1 unassigned YES unset administratively down down IP源防护及动态ARP检测实验拓补图实验要求配置dhcp监听，ip源防护，dal,增加网络安全R1为自动获取ip，开启安全不能随意更改R2为手工绑定，开启安全后不能随意更改ip源防护实验步骤2013年5月31日10:16en conf tno ip domain loline con 0exec-t 0 0logg synexiSW1SW(config)#vlan 10SW(config-vlan)#name aaSW(config-vlan)#exiSW(config)#int vlan 10SW(config-if)#ip add 192.168.10.1 255.255.255.0SW(config-if)#SW(config-if)#no shSW(config-if)#exiSW(config)#int range f0/1 -2SW(config-if-range)#sw mo accSW(config-if-range)#sw acc vlan 10SW(config-if-range)#no shSW(config-if-range)#exiSW(config)#ip dhcp pool vlan10SW(dhcp-config)#network 192.168.10.0 255.255.255.0SW(dhcp-config)#default-router 192.168.10.254SW(dhcp-config)#lease 2SW(dhcp-config)#dns-server 1.1.1.1SW(dhcp-config)#exiR1R1(config)#int f0/0R1(config-if)#ip add dhcpR1(config-if)#no shR1(config-if)#exiR1(config)#R2R2(config)#int e0/0R2(config-if)#ip add dhcpR2(config-if)#no shR2(config-if)#exiR2(config)#先关闭路由接口R2(config)#int e0/0R2(config-if)#shR2(config-if)#no ip addR2(config-if)#ip add 192.168.10.5 255.255.255.0R2(config-if)#exiR2(config)#R1(config)#R1(config)#int f0/0R1(config-if)#sh R1(config-if)#exi在sw上配置vlan10 信任82信息报文SW(config)#int vlan 10SW(config-if)#ip dhcp relay information trusted 启用ip源防护配SW(config)#ip dhcp snoopingSW(config)#ip dhcp snooping vlan 10SW(config)#ip dhcp snooping information option SW(config)#int range f0/1 -2SW(config-if-range)#switchport mo accSW(config-if-range)#sw acc vlan 10SW(config-if-range)#switchport port-security SW(config-if-range)#ip verify source SW(config-if-range)#exiSW(config)#ip source binding 0008.a36c.8a20 vl