交换机端口安全性

交换机端口安全性【实验名称】交换机端口安全性【实验目的】理解什么是交换机的端口安全性，如何配置端口安全性。【背景描述】从网络管理的安全性考虑，某企业网络管理员想对交换机上端口的访问权限做些限制通过限制允许访问交换机某个端口的MAC地址以及IP地址(可选)来实现严格控制对该端口的输入。现在要通过在交换机上做适当配置来实现这一目标。本实验以一台S2126G交换机为例，交换机名为SwitchA。一台PC机通过串口(Com)连接到交换机的控制(Console)端口，通过网卡(NIC)连接到交换机的fastethernet0/1端口。假设该PC机的IP地址为192.168.0.137，网络掩码为255.255.255.0，MAC地址为00-E0-98-23-95-26,为了验证实验的效果，另准备一台PC机，其IP地址设为192.168.0.150，网络掩码为255.255.255.0。实现功能】通过在交换机上设置端口安全性来实现对网络访问的控制。实验拓扑】SwitchANIC ComSwitchANIC Com实验设备】S2126G(1台)【实验步骤】第一步：在交换机上配置管理接口IP地址SwitchA(config)#interfacevlan1！进入交换机管理接口配置模式SwitchA(config-if)#ipaddress192.168.0.138255.255.255.0 !配置交换机管理接口IP地址验证测试：验证交换机管理IP地址已经配置和开启，PC机与交换机有网络连通性SwitchA#showipinterface！验证交换机管理IP地址已经配置，管理接口已开启Interface :VL1Description :Vlan1OperStatus:upManagementStatus :EnabledPrimaryInternetaddress:192.168.0.138/24Broadcastaddress :255.255.255.255PhysAddress :00d0.f8ef.9d08SwitchA#ping192.168.0.137！验证交换机与PC机具有网络连通性Sending5,100-byteICMPEchosto192.168.0.137,timeoutis2000milliseconds.!!!!!Successrateis100percent(5/5)Minimum=1msMaximum=3ms,Average=1ms第二步：打开交换机上fastethernet0/1接口的端口安全功能SwitchA(config)#interfacefastethernet0/1SwitchA(config-if)#switchportmodeaccess！配置fastethernet0/1接口为access模式SwitchA(config-if)#switchportport-security！在fastethernet0/1接口上打开端口安全功能验证测试：验证已开启fastethernet0/1接口的端口安全功能SwitchA#showport-securityinterfacefastethernet0/1Interface:Fa0/1PortSecurity:EnabledPortstatus:upViolationmode:ProtectMaximumMACAddresses:128TotalMACAddresses:0ConfiguredMACAddresses:0Agingtime:0minsSecurestaticaddressaging:Disabled第三步：配置安全端口上的安全地址(可选)SwitchA(config)#interfacefastethernet0/1SwitchA(config-if)#switchportport-securitymac-address00e0.9823.9526ip-address192.168.0.137!手工配置接口上的安全地址验证测试：验证已配置了安全地址SwitchA#showport-securityaddresslanMacAddressIPAddressTypePortRemainingAge(mins)lanMacAddressIPAddressTypePortRemainingAge(mins)100e0.9823.9526192.168.0.137ConfiguredFa0/1第四步：验证这台第四步：验证这台PC机可以通过fastethernet0/1端口访问交换机，而其它计算机不能通过fastethernet0/1端口访问该交换机C:\>ping192.168.0.138!验证这台PC机可以通过fastethernet0/1端口访问交换机现在拔下网线，将另一台计算机连接到交换机的fastethernet0/1端口上C:\>ping192.168.0.138 !验证这台PC机不能通过fastethernet0/1端口访问交换机注意事项】安全地址设置是可选的；如果交换机端口所连接的计算机网卡或IP地址发生改变，则必须在交换机上做相应的改变。【参考配置】SwitchA#showrunning-configBuildingconfiguration...Currentconfiguration:381bytes!version1.0!hostnameSwitchAenablesecretlevel15$2dfimLM3{bcknAx4zyglowNQaeh'@IOenablesecretlevel155$2lowNq&3h'@IOrJ4imLMp]KQknAxBA"!interfacefastEthernet0/1switchportport-securityswitchpor