任务3交换机端口安全配置

1、任务任务3 3交换机端口安全配置交换机端口安全配置 n 掌握掌握802.1x基本原理及其配置基本原理及其配置n 掌握端口隔离技术及其配置掌握端口隔离技术及其配置n 掌握端口绑定技术及其配置掌握端口绑定技术及其配置课程目标课程目标学习完本课程，您应该能够：学习完本课程，您应该能够：n 802.1x基本原理及其配置基本原理及其配置n 端口隔离技术及其配置端口隔离技术及其配置n 端口绑定技术及其配置端口绑定技术及其配置目录目录802.1x技术简介技术简介l802.1x协议起源于标准的无线局域网协议协议起源于标准的无线局域网协议802.11。主要目的是。主要目的是为了解决有线局域网用户的接入认证问题。

2、为了解决有线局域网用户的接入认证问题。IlSupplicant System（客户端）（客户端）局域网内被认证的实体，需要支持EAPOL协议lAuthenticator System（设备端）（设备端）对客户端进行认证的网络设备，需要支持802.1x协议lAuthentication Server System（认证服务器）（认证服务器）为设备端提供认证服务的实体，用于实现对用户进行认证、授权和计费802.1x的体系结构的体系结构客户端PAE客户端认证服务器认证服务器设备端提供的服务设备端PAE设备端受控端口端口非授权非受控端口LAN/WLAN客户端主机交换机认证服务器端l本地认证本地认证由设

3、备端内置本地服务器对客户端进行认证l远程集中认证远程集中认证由远程的认证服务器对客户端进行认证802.1x组网构成及认证类型组网构成及认证类型l客户端发出的客户端发出的EAP协议报文使用协议报文使用EAPOL封装格式，直接承载于封装格式，直接承载于LAN环境中环境中l设备端与设备端与RADIUS服务器的交互有两种方式服务器的交互有两种方式EAP中继方式EAP终结方式l通过认证后，设备端通过认证后，设备端PAE根据根据RADIUS服务器的指示（服务器的指示（Accept或或Reject）决定受控端口的授权）决定受控端口的授权/非授权状态非授权状态802.1x工作机制工作机制客户端设备端RADIU

4、S服务器端EOPOLRADIUS端口接入控制方式端口接入控制方式MAC-basedPort-basedHubl基于端口的认证方式基于端口的认证方式l基于基于MAC的认证方式的认证方式SwitchE0/802.1x基本配置基本配置Switch dot1xl开启全局的开启全局的802.1x特性特性l开启端口的开启端口的802.1x特性特性l添加本地接入用户并设置相关参数添加本地接入用户并设置相关参数 Switch dot1x interface interface-listSwitch local-user user-nameSwitch-luser-localuser service-type

5、lan-accessSwitch-luser-localuser password cipher | simple 802.1x典型配置举例典型配置举例SWAdot1xSWAdot1x interface ethernet1/0/1SWAlocal-user localuser SWA-luser-localuserpassword simple helloSWA-luser-localuserservice-type lan-accessPCSWAE1/0/1n 802.1x的基本原理和配置的基本原理和配置n 端口隔离技术及其配置端口隔离技术及其配置n 端口绑定技术及其配置端口绑定技术及其配

6、置目录目录端口隔离简介端口隔离简介Port-isolate GroupVLAN1SwitchVLAN2VLAN3Switchl端口隔离用于在端口隔离用于在VLAN内隔离以太网端口内隔离以太网端口Uplink-Switch-Ethernet1/0/1 port-isolate enablel将指定端口加入到隔离组中，端口成为将指定端口加入到隔离组中，端口成为隔离组的普通端口隔离组的普通端口l将指定端口加入到隔离组中，端口成为将指定端口加入到隔离组中，端口成为隔离组的上行端口隔离组的上行端口端口隔离基本配置端口隔离基本配置Switch-Ethernet1/0/2 port-isolate upli

7、nk-端口隔离配置举例端口隔离配置举例E1/0/2E1/0/1E1/0/3E1/0/4Uplink-portPCAPCBPCCSWAinterface ethernet1/0/2 SWA-Ethernet1/0/2 port-isolate enableSWAinterface ethernet1/0/3SWA-Ethernet1/0/3 port-isolate enableSWAinterface ethernet1/0/4SWA-Ethernet1/0/4 port-isolate enableSWAinterface ethernet1/0/1SWA-Ethernet1/0/1 por

8、t-isolate uplink-portServern 802.1x的基本原理和配置的基本原理和配置n 端口隔离技术及其配置端口隔离技术及其配置n 端口绑定技术及其配置端口绑定技术及其配置目录目录端口绑定技术简介端口绑定技术简介l通过通过“MAC+IP+端口端口”绑定功能，可以实现设备对转发报文的绑定功能，可以实现设备对转发报文的过滤控制，提高了安全性。过滤控制，提高了安全性。MAC:0001-0201-2123IP:10.1.1.1/24MAC:0001-0401-2126IP:10.2.1.1/24MAC:0002-0261-2562IP:10.3.1.1/24E1/0/2E1/0/1E

9、1/0/3E1/0/4PCAPCBPCCMACIPPort0001-0201-000010.1.1.1E1/0/20001-0401-212610.2.1.1E1/0/30001-0401-212610.3.1.2E1/0/Switch-Ethernet1/0/1 user-bind ip-address ip-address mac-address mac-address l配置静态绑定表项配置静态绑定表项端口绑定基本配置端口绑定基本配置端口绑定典型配置举例端口绑定典型配置举例MAC:0001-0201-2123IP:10.1.1.1/24MAC:0001-0401-2126IP:10.2.

10、1.1/24MAC:0002-0261-2562IP:10.3.1.1/24E1/0/2E1/0/1E1/0/3E1/0/4PCAPCBPCCSWAinterface ethernet1/0/2 SWA-Ethernet1/0/2 user-bind ip-address 10.1.1.1 mac-address 0001-0201-2123SWAinterface ethernet1/0/3SWA-Ethernet1/0/3 user-bind ip-address 10.2.1.1 mac-address 0001-0401-2126SWAinterface ethernet1/0/4SWA-Ethernet1/0/4 user-bind ip-address 10.3.1.1 mac-address 0002-