交换机高级特性简介

1、交换机高级特性简介,MUX VLAN（Multiplex VLAN）提供了一种通过VLAN进行网络资源控制的机制。通过MUX VLAN提供的二层流量隔离的机制可以实现企业内部员工之间互相通信，而企业外来访客之间的互访是隔离的。 为了实现报文之间的二层隔离，用户可以将不同的端口加入不同的VLAN，但这样会浪费有限的VLAN资源。采用端口隔离功能，可以实现同一VLAN内端口之间的隔离。端口隔离功能为用户提供了更安全、更灵活的组网方案。 在安全性要求较高的网络中，交换机可以开启端口安全功能，禁止非法MAC地址设备接入网络；当学习到的MAC地址数量达到上限后不再学习新的MAC地址，只允许学习到MAC地

2、址的设备通信。,学完本课程后，您将能够： 掌握MUX VLAN应用场景及配置 掌握端口隔离应用场景及配置 掌握端口安全应用场景及配置,MUX VLAN 端口隔离 端口安全,MUX VLAN应用场景,财务部,企业内部员工,服务器,核心层,市场部,外来访客,汇聚层,接入层,A公司,B公司,接入层,服务器与汇聚层交换机直接相连，服务器的资源共享，企业希望隔离相同VLAN中不同外来访客之间的通信，同时隔离企业内部不同部门之间的通信，该如何实现？,服务器,MUX VLAN基本概念,财务部,企业内部员工,核心层,市场部,外来访客,汇聚层,接入层,A公司,B公司,接入层,VLAN 10,VLAN 20,VL

3、AN 30,VLAN 30,VLAN 40,设置VLAN为Principal VLAN 可以与MUX VLAN内的所有VLAN进行通信。,设置VLAN为Separate VLAN 只能和Principal VLAN进行通信，和其他VLAN实现隔离，VLAN内部也隔离。,设置VLAN为Group VLAN 可以和Principal VLAN进行通信，在同一VLAN内的用户也可互相通信，但不能和其他Group VLAN或Separate VLAN内的用户通信。,服务器,MUX VLAN配置实现,财务部,企业内部员工,SWA,市场部,外来访客,SWB,SWC,A公司,B公司,SWD,VLAN 10,

4、VLAN 20,VLAN 30,VLAN 30,VLAN 40,Principal VLAN,Group VLAN,Separate VLAN,MUX VLAN 端口隔离 端口安全,端口隔离应用场景,外部员工,核心层,内部员工,汇聚层,接入层,接入层,同一项目组的员工都被划分到VLAN 10中，其中属于企业内部的员工允许相互通信，属于企业外部的员工不允许相互通信，外部员工与内部员工之间允许通信，该如何实现？,VLAN 10,VLAN 10,端口隔离基本概念,外部员工,核心层,内部员工,汇聚层,接入层,接入层,VLAN 10,VLAN 10,只需要将用户接口加入到同一隔离组中，就可以实现同一隔离

5、组内用户之间二层数据的隔离。,隔离组Group 1,未划分端口隔离的用户能与端口隔离组内的用户正常通信。,端口隔离配置实现,外部员工,SWA,内部员工,SWB,SWC,SWD,VLAN 10,VLAN 10,隔离组Group 1,interface GigabitEthernet0/0/1 port link-type access port default vlan 10 port-isolate enable group 1 # interface GigabitEthernet0/0/2 port link-type access port default vlan 10 port-is

6、olate enable group 1 ,display port-isolate group 1 The ports in isolate group 1: GigabitEthernet0/0/1 GigabitEthernet0/0/2 GigabitEthernet0/0/3 GigabitEthernet0/0/4,G0/0/1,G0/02,G0/0/3,G0/0/4,G0/0/1,G0/02,G0/0/3,G0/0/4,MUX VLAN 端口隔离 端口安全,端口安全应用场景,财务部用户,核心层,非法用户,汇聚层,接入层,市场部用户,非法用户,接入层,为了保证汇聚设备的安全性，如何

7、防止非法用户的攻击 ？,为了保证接入设备安全性，如何防止非法用户的攻击？,端口安全解决方案,财务部用户,核心层,非法用户,汇聚层,接入层,市场部用户,非法用户,接入层,MAC：54-89-98-34-12-E4,VLAN 10,VLAN 20,1,2,3,4,设置接入的用户的最大数量当接口有非法用户接入时，不再允许其接入。,1,2,3,4,端口安全类型,端口安全（Port Security）通过将接口学习到的动态MAC地址转换为安全MAC地址（包括安全动态MAC、安全静态MAC和Sticky MAC）阻止非法用户通过本接口和交换机通信，从而增强设备的安全性。,端口安全限制动作,超过安全MAC地

8、址限制数后的动作： 接口上安全MAC地址数达到限制后，如果收到源MAC地址不存在的报文，端口安全则认为有非法用户攻击，就会根据配置的动作对接口做保护处理。缺省情况下，保护动作是restrict。,端口安全配置实现,财务部用户,RTA,SWA,SWB,市场部用户,SWC,VLAN 10,VLAN 20,interface GigabitEthernet0/0/1 port link-type access port default vlan 10 port-security enable port-security mac-address sticky port-security mac-add

9、ress sticky 5489-983F-24E5 vlan 10 其他接口的配置类似，略,interface GigabitEthernet0/0/1 port link-type access port default vlan 20 port-security enable 其他接口的配置类似，略,G0/0/1,G0/0/2,G0/0/3,G0/0/1,G0/0/2,G0/0/3,端口安全配置验证,在SWB上使用命令查看绑定的MAC地址表：,display mac-address sticky MAC address table of slot 0: -MAC Address VLAN

10、/ PEVLAN CEVLAN Port Type LSP/LSR-ID VSI/SI MAC-Tunnel -5489-988a-13ee 10 - - GE0/0/2 sticky - 5489-983f-24e5 10 - - GE0/0/1 sticky - -,display mac-address security MAC address table of slot 0: -MAC Address VLAN/ PEVLAN CEVLAN Port Type LSP/LSR-ID VSI/SI MAC-Tunnel -5489-9876-42c4 20 - - GE0/0/1 security - 5489-9897-4520 20 - - GE0/0/2 security - -,在SWC上使用命令查看动态学习到的MAC地址表：,在MUX VLAN中，可以与所有VLAN进行通信的是