cisco交换机的端口安全配置

官方提供官方提供 实验文档实验文档 实验实验 0021 0021 交换机的端口安全配置交换机的端口安全配置 实验名称 交换机的端口安全配置 实验目的 掌握交换机的端口安全功能 控制用户的安全接入 背景描述 你是一个公司的网络管理员 公司要求对网络进行严格控制 为了防止公司内部用户的 IP 地址冲突 防止公司内部的网络攻击和破坏行为 为每一位员工分配了固定的 IP 地址 并 且限制只允许公司员工主机可以使用网络 不得随意连接其他主机 例如 某员工分配的 IP 地址是 172 16 1 55 24 主机 MAC 地址是 00 06 1B DE 13 B4 该主机连接在 1 台 2126G 上边 技术原理 交换机端口安全功能 是指针对交换机的端口进行安全属性的配置 从而控制用户的安全 接入 交换机端口安全主要有两种类项 一是限制交换机端口的最大连接数 二是针对交 换机端口进行 MAC 地址 IP 地址的绑定 限制交换机端口的最大连接数可以控制交换机端口下连的主机数 并防止用户进行恶意的 ARP 欺骗 交换机端口的地址绑定 可以针对 IP 地址 MAC 地址 IP MAC 进行灵活的绑定 可以实 现对用户进行严格的控制 保证用户的安全接入和防止常见的内网的网络攻击 如 ARP 欺 骗 IP MAC 地址欺骗 IP 地址攻击等 配置了交换机的端口安全功能后 当实际应用超出配置的要求 将产生一个安全违例 产 生安全违例的处理方式有 3 种 protect 当安全地址个数满后 安全端口将丢弃未知名地址 不是该端口的安 全地址中的任何一个 的包 restrict 当违例产生时 将发送一个 Trap 通知 shutdown 当违例产生时 将关闭端口并发送一个 Trap 通知 当端口因为违例而被关闭后 在全局配置模式下使用命令 errdisable recovery 来将接口 从错误状态中恢复过来 实现功能 针对交换机的所有端口 配置最大连接数为 1 针对 PC1 主机的接口进行 IP MAC 地址绑 定 实验设备 S2126G 交换机 1 台 PC 1 台 直连网线 1 条 实验拓扑 图 26 实验步骤 步骤 1 配置交换机端口的最大连接数限制 Switch configure terminal Switch config interface range fastethernet 0 1 23 进行一组端口的配置模式 Switch config if range switchport port security 开启交换机的端口安全功能 Switch config if range switchport port secruity maximum 1 配置端口的最大连接数为 1 Switch config if range switchport port secruity violation shutdown 配置安全违例的处理方式为 shutdown 验证测试 查看交换机的端口安全配置 Switch show port security Secure Port MaxSecureAddr count CurrentAddr count Security Action Fa0 1 1 0 Shutdown Fa0 2 1 0 Shutdown Fa0 3 1 0 Shutdown Fa0 4 1 0 Shutdown Fa0 5 1 0 Shutdown Fa0 6 1 0 Shutdown Fa0 7 1 0 Shutdown Fa0 8 1 0 Shutdown Fa0 9 1 0 Shutdown Fa0 10 1 0 Shutdown Fa0 11 1 0 Shutdown Fa0 12 1 0 Shutdown Fa0 13 1 0 Shutdown Fa0 14 1 0 Shutdown Fa0 15 1 0 Shutdown Fa0 16 1 0 Shutdown Fa0 17 1 0 Shutdown Fa0 18 1 0 Shutdown Fa0 19 1 0 Shutdown Fa0 20 1 0 Shutdown Fa0 21 1 0 Shutdown Fa0 22 1 0 Shutdown Fa0 23 1 0 Shutdown 步骤 2 配置交换机端口的地址绑定 查看主机的 IP 和 MAC 地址信息 在主机上打开 CMD 命令提示符窗口 执行 ipconfig all 命令 图 27 配置交换机端口的地址绑定 Switch configure terminal Switch config interface fastethernet 0 3 Switch config if switchport port security Switch config if switchport port security mac address 0006 1bde 13b4 ip address 172 16 1 55 配置 IP 地址和 MAC 地址的绑定 验证测试 查看地址安全绑定配置 Switch show port security address Vlan Mac Address IP Address Type Port Remaining Age mins 1 0006 1bde 13b4 172 16 1 55 Configured Fa0 3 注意事项 1 交换机端口安全功能只能在 ACCESS 接口进行配置 2 交换机最大连接数限制取值范围是 1 128 默认是 128 3 交换机最大连接数限制默认的处理方式是 protect 参考配置 Switch show running config System software version 1 61 4 Build Sep 9 2005 Release Building configuration Current configuration 3556 bytes version 1 0 hostname Switch vlan 1 interface fastEthernet 0 1 switchport port security switchport port security violation shutdown switchport port security maximum 1 interface fastEthernet 0 2 switchport port security switchport port security violation shutdown switchport port security maximum 1 interface fastEthernet 0 3 switchport port security switchport port security violation shutdown switchport port security maximum 1 switchport port security mac address 0006 1bde 13b4 ip address 172 16 1 55 interface fastEthernet 0 4 switchport port security switchport port security violation shutdown switchport port security maximum 1 interface fastEthernet 0 5 switchport port security switchport port security violation shutdown switchport port security maximum 1 interface fastEthernet 0 6 switchport port security switchport port security violation shutdown switchport port security maximum 1 interface fastEthernet 0 7 switchport port security switchport port security v