交换机端口安全总结
1-4-1 端口安全
广播风暴的来源
黑客软件
网络执法官、网络剪刀手等黑客软件，可以对内部网络 进行攻击，由于这些软件的使用，网络也可能会引起广 播风暴。
课程议题
MAC洪泛攻击 MAC洪泛攻击
MAC洪泛攻击的原理
利用伪造数据帧或数据包软件，不停变化源MAC地址向外发包， 让有限的MAC地址表空间无法容纳进而破坏MAC地址表。
Switch(conifg-if)#
no switchport port-security aging time 关闭一个接口的安全地址老化功能（老化时间为0 关闭一个接口的安全地址老化功能（老化时间为0）
Switch(conifg-if)#
no switchport port-security aging static 使老化时间仅应用于动态学习到的安全地址
查看端口安全信息
Router#
show port-security interface [interface-id] 显示所有接口的安全设置状态、违例处理等信息
Router#
show port-security address 来查看安全地址信息，显示安全地址及老化时间
Router#
show port-security 显示所有安全端口的统计信息，包括最大安全地址数，当前安全地址数以 及违例处理方式等
广播风暴的来源
网络设备
通常，交换机是点对点转发，不会产生广播风暴。但如 果交换机工作在广播模式下，则有可能产生广播风暴。 另外，有些智能型的Hub，被误用作交换机，也可能产 生广播风暴。
广播风暴的来源
网卡损坏
如果网络机器的网卡损坏，也同样会产生广播风暴。损 坏的网卡，不停向交换机发送大量的数据包，产生了大 量无用的数据包，产生了广播风暴。由于网卡物理损坏 引起的广播风暴，故障比较难排除，由于损坏的网卡一 般还能上网，一般借用Sniffer局域网管理软件，查看网 络数据流量，来判断故障点的位置。
交换机端口安全技术
本章总结
802.1X是基于端口的网络接入控制协议，对接入 用户进行验证；
交换机端口隔离技术能够在VLAN内隔离端口 端口绑定技术可以实现设备对转发报文的过滤控
制
802.1X典型配置举例
E1/0/1
PC
SWA
[SWA]dot1x [SWA]dot1x interface ethernet1/0/1 [SWA]local-user localuser [SWA-luser-localuser]password simple hello [SWA-luser-localuser]service-type lan-access
E1/0/4
PCA
MAC:0001-0201-2123
PCB
MAC:0001-0401-2126
PCC
MAC:0002-0261-2562
通过“MAC+IP+端口”绑定功能，可以实现设备对转发报文的 过滤控制，提高了安全性。
端口绑定基本配置
配置静态绑定表项
[Switch-Ethernet1/0/1] user-bind ip-address ipaddress [ mac-address mac-address ]
端口绑定典型配置举例
E1/0/1 E1/0/2
E1/0/3
E1/0/4
PCA
MAC:0001-0201-2123
PCB
MAC:0001-0401-2126
PCC
MAC:0002-0261-2562
[SWA]interface ethernet1/0/2 [SWA-Ethernet1/0/2] user-bind ip-address 10.1.1.1 mac-address 0001-0201-2123 [SWA]interface ethernet1/0/3 [SWA-Ethernet1/0/3] user-bind ip-address 10.2.1.1 mac-address 0001-0401-2126 [SWA]interface ethernet1/0/4 [SWA-Ethernet1/0/4] user-bind ip-address 10.3.1.1 mac-address 0002-0261-2562
交换机端口安全portsecurity超级详解
交换机端口安全Port-Security超级详解交换安全交换机端口安全Port-Security超级详解一、Port-Security概述在部署园区网的时候,对于交换机,我们往往有如下几种特殊的需求：限制交换机每个端口下接入主机的数量MAC地址数量限定交换机端口下所连接的主机根据IP或MAC地址进行过滤当出现违例时间的时候能够检测到,并可采取惩罚措施上述需求,可通过交换机的Port-Security功能来实现：二、理解Port-Security安全地址：secure MAC address在接口上激活Port-Security后,该接口就具有了一定的安全功能,例如能够限制接口所连接的的最大MAC数量,从而限制接入的主机用户；或者限定接口所连接的特定MAC,从而实现接入用户的限制;那么要执行过滤或者限制动作,就需要有依据,这个依据就是安全地址– secure MAC address;安全地址表项可以通过让使用端口动态学习到的MACSecureDynamic,或者是手工在接口下进行配置SecureConfigured,以及sticy MAC addressSecureSticky 三种方式进行配置;当我们将接口允许的MAC地址数量设置为1并且为接口设置一个安全地址,那么这个接口将只为该MAC所属的PC服务,也就是源为该MAC的数据帧能够进入该接口;2.当以下情况发生时,激活惩罚violation：当一个激活了Port-Security的接口上,MAC地址数量已经达到了配置的最大安全地址数量,并且又收到了一个新的数据帧,而这个数据帧的源MAC并不在这些安全地址中,那么启动惩罚措施当在一个Port-Security接口上配置了某个安全地址,而这个安全地址的MAC又企图在同VLAN的另一个Port-Security接口上接入时,启动惩罚措施当设置了Port-Security接口的最大允许MAC的数量后,接口关联的安全地址表项可以通过如下方式获取：在接口下使用switchport port-security mac-address 来配置静态安全地址表项使用接口动态学习到的MAC来构成安全地址表项一部分静态配置,一部分动态学习当接口出现up/down,则所有动态学习的MAC安全地址表项将清空;而静态配置的安全地址表项依然保留;与Sticky MAC地址上面我们说了,通过接口动态学习的MAC地址构成的安全地址表项,在接口出现up/down后,将会丢失这些通过动态学习到的MAC构成的安全地址表项,但是所有的接口都用switchport port-security mac-address手工来配置,工作量又太大;因此这个sticky mac 地址,可以让我们将这些动态学习到的MAC变成“粘滞状态”,可以简单的理解为,我先动态的学,学到之后我再将你粘起来,形成一条”静态“ 实际上是SecureSticky的表项;在up/down现象出现后仍能保存;而在使用wr后,这些sticky安全地址将被写入start-up config,即使设备重启也不会被丢失;三、默认的Port-Security配置Port-Security 默认关闭默认最大允许的安全MAC地址数量 1惩罚模式 shutdown进入err-disable状态,同时发送一个SNMP trap四、Port-Security的部署注意事项配置步骤a 在接口上激活Port-SecurityPort-Security开启后,相关参数都有默认配置,需关注b 配置每个接口的安全地址Secure MAC Address可通过交换机动态学习、手工配置、以及stciky等方式创建安全地址c 配置Port-Security惩罚机制默认为shutdown,可选的还有protect、restrictd 可选配置安全地址老化时间2.关于被惩罚后进入err-disable的恢复：如果一个psec端口由于被惩罚进入了err-disable,可以使用如下方法来恢复接口的状态：使用全局配置命令：err-disable recovery psecure-violation手工将特定的端口shutdown再noshutdown3.清除接口上动态学习到的安全地址表项使用clear port-security dynamic命令,将清除所有port-security接口上通过动态学习到的安全地址表项使用clear port-security sticky 命令,将清除所有sticky安全地址表项使用clear port-security configured命令,将清除所有手工配置的安全地址表项使用clear port-security all命令,将清除所有安全地址表项使用show port-security address来查看每个port-security接口下的安全地址表项4.关于sticky安全地址Sticky安全地址,是允许我们将Port-Security接口通过动态学习到的MAC地址变成“粘滞”的安全地址,从而不会由于接口的up/down丢失;然而如果我们希望在设备重启之后,这个sticky的安全地址表项仍然存在,那么就需要wr一下;将配置写入start-up config 文件;Sticky安全地址也是一个简化我们管理员操作的一个很好的工具,毕竟现在不用再一条条的手工去绑了;支持private vlan支持 tunnel接口不支持SPAN的目的接口不支持etherchannel的port-channel接口9.在CISCO IOS 33SXH 以及后续的版本,我们可以将port-security及部署在同一个接口上;而在此之前的软件版本：如果你试图在一个port-security接口上激活则会报错,并且功能无法开启如果你试图在一个接口上激活port-security则也会报错,并且port-security特性无法开启支持nonegotiating trunk 接口Port-Security 支持在如下配置的trunk上激活switchportswitchport trunk encapsulationswitchport mode truknswitchport nonegotiateIf you reconfigure a secure access port as a trunk, port security converts all the sticky and static secure addresses on that port that were dynamicallylearned in the access VLAN to sticky or static secure addresses on the native VLAN of the trunk. Port security removes all secure addresses on the voice VLAN of the access port.If you reconfigure a secure trunk as an access port, port security converts all sticky and static addresses learned on the native VLAN to addresses learned on the access VLAN of the access port. Port security removes all addresses learned on VLANs other than the native VLAN.links和Port-Security互不兼容五、Port-security的配置1.激活Port-Security在access接口上Switchconfig interface fast0/1Switchconfig-if switchportSwitchconfig-if switchport mode accessSwitchconfig-if switchport access vlan 10Switchconfig-if switchport port-security接口的Port-Security特性一旦激活后,默认的最大安全地址个数为1,也就是说,在不进行手工配置安全地址的情况下,这个接口将使用其动态学习到的MAC作为安全地址,并且,这个接口相当于被该MAC所属的设备独占;而且默认的violation是shutdownSW1show port-security interface f0/1Port Security : EnabledPort Status : Secure-up 接口目前的状态是up的Violation Mode : Shutdown 违例后的惩罚措施,默认为shutdownAging Time : 0 minsAging Type : AbsoluteSecureStatic Address Aging : DisabledMaximum MAC Addresses : 1 最大安全地址个数,默认为1Total MAC Addresses : 0Configured MAC Addresses : 0 手工静态配置的安全MAC地址,这里没配Sticky MAC Addresses : 0 sticky的安全地址,这里没有Last Source Address:Vlan : 最近的一个安全地址+vlanSecurity Violation Count : 0 该接口历史上出现过的违例次数这个时候,如果另一台PC接入到这个端口上,那么该port-security接口将会收到一个新的、非安全地址表项中的MAC地址的数据帧,于是触发的违例动作,给接口将被err-disable掉;同时产生一个snmp trap消息,另外,接口下,Security Violation Count将会加12.激活Port-Security在trunk接口上3. Port-Security violation惩罚措施默认的violation是shutdown;如果是protect,那么惩罚就会温柔些,对于非法的数据帧例如数据帧的源MAC不在安全地址表项中的、且安全地址已经达到最大数,这些非法数据将仅仅被丢弃,合法数据照常转发,同时不会触发一个syslog消息,另外接口下的“Security Violation Count”也不会加1;而如果是restrict,那么非法数据被丢弃,同时触发一个syslog消息,再者,Security Violation Count加1,合法的数据照常转发;4. 配置Port Security Rate Limiter注意,在6509交换机,truncated switching模式下不支持该功能在交换机接口上开启Port-Security是会耗费资源的,Port-Security会检测每一个进入接口的数据帧,以判断流量是否合法,或者是否存在违例行为;当一个安全接口设置的violation为shutdown的时候,该接口在违例后触发惩罚机制,进入err-diasble状态,这样可以有效的方式有效的防止交换机由于处理违例事件导致交换机的CPU利用率过高;然而protect和restict的惩罚措施,则不会将端口关闭,端口依然可用,那么这就可能导致在违例事件发生的情况下交换机的CPU利用率飙高例如大量的非法数据涌入;因此当使用protect和restrict这两种违例惩罚措施事,可以通过Port-Secuirty rate limiter来防止CPU飙高;Switchconfig mls rate-limite layer2 port-security rate_in_pps burst_size关于rate_in_pps参数：范围是10- 1000000没有默认值值设置的越低,对CPU的保护程度就越高,这个值对惩罚措施发生前、后都生效,当然这个值也不能设置的过低,至少要保障合法流量被处理吧;一般低于1000就差不多;关于burst-size参数：范围是1-255默认是10,这个默认值一般就够用了;5. 配置Port-Security 最大允许的安全地址数量最大安全地址数量,不同的软件平台允许的上限值有所不同,但是默认都是1;在trunk口上,前面说了,也是可以激活port-security的,而在trunk口上配置最大安全地址数量,可以基于接口配置对所有VLAN生效,也可以基于VLAN进行配置;如下：switchport port-security maximum 1switchport port-security maximum 1 vlan 10,20,30 可以关联多个VLAN6. 在port-security接口上手工配置安全地址上述配置中,最大安全地址数设置为3,然后使用手工配置了一个安全地址,那么剩下2个,交换机可以通过动态学习的方式来构建安全地址;在trunk接口上手工配置安全地址,可关联vlan关键字;如果在trunk接口上手工配置安全地址,没有关联vlan关键字,那么该安全地址将被关联到trunk的native vlan上7. 在port-security接口上使用sticky MAC地址我们知道,构成安全地址表项的方式有好几种,其中一种是使用switchport port-security mac 来手工配置,但是这种方式耗时耗力,更需要去PC上抄MAC,工作成本比较高;而另一种构成安全地址的方式是让交换机使用动态学习到的MAC,然而这些安全地址在接口一旦up/down后,将丢失,更别说重启设备了;因此可以使用sticky mac的方式,这种方式激活后,交换机将动态学习到的MAC“粘起来”,具体的动作很简单,就是在动态学习到MAC例如一个后,如果我激活了sticiky MAC address,则在接口下自动产生一条命令：interface FastEthernet0/1switchport access vlan 10switchport mode accessswitchport port-securityswitchport port-security mac-address stickyswitchport port-security mac-address sticky 自动产生这样形成的安全地址表项是SecureSticky的,即使在接口翻动,也不会丢失;在者如果wr保存配置,命令写入,那么设备即使重启,安全地址也不会丢失;当在接口上激活了port-security mac-address sticky,那么：该接口上所有通过动态学习到的MAC,将被转成sticky mac address从而形成安全地址接口上的静态手工配置的安全地址不会被转成sticky mac address通过voice vlan动态学习到的安全地址不会被转成sticky mac address命令配置后,新学习到的MAC地址,也是sticky的当此时又敲入no port-secuirty mac-address sticiky ,则所有的sticky安全地址条目都变成动态的安全地址条目SecureDynamic8. 配置安全地址老化时间配置的命令比较简单：Switchconfig-if switchport port-security aging type {absolute | inactivity}配置老化时间的类型,如果选择absolute,也就是绝对时间,需要搭配aging time命令设定老化时间的具体值,命令一旦敲下去后,所有的通过动态学习的MAC构建的安全地址表项将开始以aging time倒计时;如果是inactivity关键字,则只在该动态安全地址表项不活跃的时候譬如主机离线了或者挂掉了才开始倒计时;Switchconfig-if switchport port-security aging time设定老化时间Switchconfig-if switchport port-security aging static使用前面两条命令,老化时间是不会影响那些使用静态手工配置的安全地址表项的,当然sticky表项也不会受影响,这些表项都是永不老化的,但是如果搭配上上面这条命令,则手工配置的安全地址表项也受限于老化时间了;不过对于sticky表项,则始终不会激活aging time,它是不会老化的;示例1：将安全地址老化时间设置为50min;针对动态学习到的MAC构成的安全地址有效50min是一个绝对时间,配置完成后开始倒计时,无论该MAC是否依然活跃,都始终进行倒计时示例2：针对动态学习到的MAC构成的安全地址有效,如果该MAC在50min内一直处于失效状态例如主机离线了,那么该安全地址在aging time超时后被清除示例3：注意,上述两种配置方式,对手工配置switchport port-security mac-address 的安全地址无效;也就是采用上述方法配置的静态安全地址表项永不超时;如果增加switchport port-security aging static命令,则手工静态配置的安全地址也的aging time也开始计时注意,对于sticky mac address,安全地址的老化时间无效。
宽带接入之交换机端口安全介绍
降低管理成本： 端口安全优化可 以简化网络管理， 降低管理成本。
满足合规要求： 端口安全优化可 以帮助企业满足 相关法规和标准 的要求，降低法 律风险。
端口安全优化的方法
01 端口安全策略：设置端口安全策 略，限制端口访问权限
02 端口访问控制：设置端口访问控 制，限制特定端口的访问
03 端口加密：使用加密技术，提高 端口数据的安全性
监控端口状态：实时 监控交换机端口的状 态，发现异常情况及
时处理
配置安全参数：设置 端口允许的最大MAC 地址数量、安全动作、
安全时间等参数
定期更新安全策略： 根据网络环境的变化， 定期更新端口安全策
略，确保网络安全
绑定MAC地址：将交 换机端口与特定的
MAC地址进行绑定， 防止非法设备接入
端口安全配置参数
端口安全模式：包括安全模 式和非安全模式，安全模式 可以限制端口的最大连接数， 非安全模式则没有限制。
端口安全动作：包括关闭端 口、限制连接数和限制流量 等，可以根据需要选择合适 的动作。
端口安全年龄：设置端口安 全年龄可以限制端口的最大 连接时间，超过设定时间后， 连接将被断开。
端口安全协议：可以设置端 口安全协议，如TCP、UDP 等，以限制端口的连接类型。
宽带接入之交换 机端口安全介绍
目录
01. 交换机端口安全概述 02. 交换机端口安全配置 03. 交换机端口安全策略 04. 交换机端口安全优化
1
交换机端口安全 概述
交换机端口安全的重要性
01
02
03
04
保护网络免受未 经授权的访问防止恶意软件和 病毒的传播
保障数据传输的 安全性和完整性
提高网络性能和 稳定性
思科交换机端口安全(Port-Security)
思科交换机端口安全(Port-Security)Cisco Catalyst交换机端口安全（Port-Security）1、Cisco29系列交换机可以做基于2层的端口安全，即mac地址与端口进行绑定。
2、Cisco3550以上交换机均可做基于2层和3层的端口安全，即mac 地址与端口绑定以及mac地址与ip地址绑定。
3、以cisco3550交换机为例做mac地址与端口绑定的可以实现两种应用：a、设定一端口只接受第一次连接该端口的计算机mac地址，当该端口第一次获得某计算机mac地址后，其他计算机接入到此端口所发送的数据包则认为非法，做丢弃处理。
b、设定一端口只接受某一特定计算机mac地址，其他计算机均无法接入到此端口。
4、破解方法：网上前辈所讲的破解方法有很多，主要是通过更改新接入计算机网卡的mac地址来实现，但本人认为，此方法实际应用中基本没有什么作用，原因很简单，如果不是网管，其他一般人员平时根本不可能去注意合法计算机的mac地址，一般情况也无法进入合法计算机去获得mac地址，除非其本身就是该局域网的用户。
5、实现方法：针对第3条的两种应用，分别不同的实现方法a、接受第一次接入该端口计算机的mac地址：Switch#config terminalSwitch(config)#inte**ce inte**ce-id 进入需要配置的端口Switch(config-if)#switchport mode access 设置为交换模式Switch(config-if)#switchport port-security 打开端口安全模式Switch(config-if)#switchport port-security violation {protect |restrict | shutdown }//针对非法接入计算机，端口处理模式{丢弃数据包，不发警告| 丢弃数据包，在console发警告| 关闭端口为err-disable状态，除非管理员手工激活，否则该端口失效。
端口安全
7.粘滞
switchport portsecutiry mac-address sticky,指定接口将学习到的MAC地址存储到running-config,如果保存配置，会将配置存储到startup-config.
端口安全用来缓解MAC地址泛洪的攻击
MAC地址泛洪：一个攻击者或者攻击设备，使用无效的源MAC地址，不断泛洪。使得交换机的CAM被充满，无法存储合法的MAC地址与端口的对应关系。导致所有的正常流量，原本应该是单播转发的变成了泛洪。攻击者能攻取到相关数据
端口安全：用来限制接口可以学习到的MAC地址，发送SNMP的Trap消息。
3.最大MAC地址
switchport portsecurity ，超过该数量，即按违约的策略处理。
4.手工指定MAC地址
switchport portsecurity mac-address 0001.0001.0001 ,配置0001.0001.0001作为一个静态允许的MAC地址
switchport portsecurity violation restrict ,违约的后果是将非法的MAC地址的数据包丢弃，允许正常流量，发送SNMP的告警信息
switchport portsecurity violation protect ,违约的后果是将非法MAC地址的数据包丢弃，不会产生告警信息
switchport portsecurity aging static,指定静态配置的MAC地址，在经过aging time以后，会超时，且手工指定的MAC地址配置会自动删除
配置了该命令以后，show port-security interface f0/1,会显示：
securestatic address aging:enable 表明，静态的MAC地址也会超时。
锐捷实训4-交换机的端口安全
实训4 交换机的端口安全【实训目的】（1）掌握交换机端口安全功能，控制用户的安全接入（2）掌握交换机的端口配置的连接数（3）掌握如何针对PC1主机的接口进行IP+MAC地址绑定【实训技术原理】交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入；交换机端口安全主要有两种类型：一是限制交换机端口的最大连接数；二是针对交换机端口进行MAC地址、IP地址的绑定；配置交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种：（1）protect 当安全地址个数满后，安全端口将丢弃未知地址的包；（2）restrict当违例产生时，将发送一个trap通知；（3）shutdown当违例产生时，将关闭端口并发送一个trap通知；当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来；【实训背景描述】你是一个公司的网络管理员，公司要求对网络进行严格控制。
为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。
为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。
例如：某员工分配的IP地址是172.16.1.23/24，主机MAC地址是0019.2147.10F9。
该主机连接在1台2126G上。
【实训设备】S2126G（1台），PC（2台）、直连线（2条）【实训内容】（1）按照拓扑进行网络连接（2）配置交换机端口最大连接数限制（3）配置交换机端口地址绑定【实训拓扑图】【实训步骤】（1）配置交换机端口的最大连接数限制S w i t c h#c o n f i g u r e t e r m i n a lS w i t c h(c o n f i g)#i n t e r f a c e r a n g e f a s t e t h e r n e t0/1-23！打开交换机1-23端口S w i t c h(c o n f i g-i f-r a n g e)#s w i t c h p o r t p o r t-s e c u r i t y！开启1-23安全端口功能S w i t c h(c o n f i g-i f-r a n g e)#s w i t c h p o r t p o r t-s e c u r i t y m a x i m u m1！开启端口的最大连接数为1S w i t c h(c o n f i g-i f-r a n g e)#s w i t c h p o r t p o r t-s e c u r i t y v i o l a t i o ns h u t d o w n！配置安全违例的处理方式s h u t d o w n（2）验证测试：查看交换机的端口安全配置S w i t c h#s h o w p o r t-s e c u r i t y（3）配置交换机端口的地址绑定①查看主机的I P和M A C地址信息。
交换机端口安全认证实验报告
交换机端口安全认证实验报告一、实验目的本实验旨在通过交换机端口安全认证，保障网络的信息安全。
通过实验，掌握交换机端口安全认证的原理和操作方法。
二、实验原理交换机端口安全认证是一种网络安全技术，用于限制未经授权设备接入网络。
其原理是利用交换机的MAC地址过滤功能，将非授权MAC地址的设备隔离或阻断，确保网络中只有授权设备能够接入。
三、实验环境1. 实验设备：一台交换机、若干台计算机设备2. 实验软件：网络配置工具、终端仿真软件四、实验步骤1. 配置交换机端口安全策略a. 进入交换机管理界面，并使用管理员账号登录。
b. 找到需要配置端口安全的端口，例如FastEthernet0/1。
c. 配置端口安全认证，设置允许连接设备的最大数量，例如2。
d. 配置端口安全认证方式为“限制”模式，即在达到最大设备数量时阻断后续设备连接。
e. 保存配置并退出管理界面。
2. 连接计算机设备a. 将一台计算机连接到已配置了端口安全的交换机端口上。
b. 打开终端仿真软件，配置计算机的IP地址和子网掩码。
c. 确保计算机与交换机端口连接正常。
3. 验证端口安全认证功能a. 将其他计算机设备依次连接到交换机端口。
b. 观察并记录交换机管理界面上的端口状态变化。
c. 当连入的设备数量达到最大允许数量时，验证交换机是否能够正确阻断后续设备连接。
五、实验结果与分析根据实验步骤进行操作后，我们观察到交换机管理界面上的端口状态发生了如下变化：1. 当第一台设备连接到交换机端口时，端口状态显示为“已连接”。
2. 当第二台设备连接到交换机端口时，端口状态仍显示为“已连接”，符合我们设定的最大允许设备数量为2。
3. 当第三台设备尝试连接到交换机端口时，端口状态显示为“已阻断”，交换机成功拦截了未授权设备连接。
通过以上观察，我们可以得出结论：交换机端口安全认证功能有效，能够根据设定的策略拦截未授权设备的连接，确保网络的安全性。
六、实验总结本次实验通过对交换机端口安全认证的配置和验证，详细了解了其原理和操作方法。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
最常用的对端口安全的理解就是可根据MAC地址来做对网络流量的控制和管理，比如MAC 地址与具体的端口绑定，限制具体端口通过的MAC地址的数量，或者在具体的端口不允许某些MAC地址的帧流量通过。
稍微引申下端口安全，就是可以根据802.1X来控制网络的访问流量。
首先谈一下MAC地址与端口绑定，以及根据MAC地址允许流量的配置。
1.MAC地址与端口绑定，当发现主机的MAC地址与交换机上指定的MAC地址不同时，交换机相应的端口将down掉。
当给端口指定MAC地址时，端口模式必须为access或者Trunk 状态。
3550-1#conf t3550-1(config)#int f0/13550-1(config-if)#switchport mode access /指定端口模式。
3550-1(config-if)#switchport port-security mac-address 00-90-F5-10-79-C1 /配置MAC地址。
3550-1(config-if)#switchport port-security maximum 1 /限制此端口允许通过的MAC地址数为1。
3550-1(config-if)#switchport port-security violation shutdown /当发现与上述配置不符时，端口down掉。
2.通过MAC地址来限制端口流量，此配置允许一TRUNK口最多通过100个MAC地址，超过100时，但来自新的主机的数据帧将丢失。
3550-1#conf t3550-1(config)#int f0/13550-1(config-if)#switchport trunk encapsulation dot1q3550-1(config-if)#switchport mode trunk /配置端口模式为TRUNK。
3550-1(config-if)#switchport port-security maximum 100 /允许此端口通过的最大MAC地址数目为100。
3550-1(config-if)#switchport port-security violation protect /当主机MAC地址数目超过100时，交换机继续工作，但来自新的主机的数据帧将丢失。
上面的配置根据MAC地址来允许流量，下面的配置则是根据MAC地址来拒绝流量。
1.此配置在Catalyst交换机中只能对单播流量进行过滤，对于多播流量则无效。
3550-1#conf t3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 drop /在相应的Vlan丢弃流量。
3550-1#conf t3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 int f0/1 /在相应的接口丢弃流量。
最后说一下802.1X的相关概念和配置。
802.1X身份验证协议最初使用于无线网络，后来才在普通交换机和路由器等网络设备上使用。
它可基于端口来对用户身份进行认证，即当用户的数据流量企图通过配置过802.1X 协议的端口时，必须进行身份的验证，合法则允许其访问网络。
这样的做的好处就是可以对内网的用户进行认证，并且简化配置，在一定的程度上可以取代Windows 的AD。
配置802.1X身份验证协议，首先得全局启用AAA认证，这个和在网络边界上使用AAA 认证没有太多的区别，只不过认证的协议是802.1X;其次则需要在相应的接口上启用802.1X 身份验证。
(建议在所有的端口上启用802.1X身份验证，并且使用radius服务器来管理用户名和密码)下面的配置AAA认证所使用的为本地的用户名和密码。
3550-1#conf t3550-1(config)#aaa new-model /启用AAA认证。
3550-1(config)#aaa authentication dot1x default local /全局启用802.1X协议认证，并使用本地用户名与密码。
3550-1(config)#int range f0/1 -243550-1(config-if-range)#dot1x port-control auto /在所有的接口上启用802.1X身份验证。
后记通过MAC地址来控制网络的流量既可以通过上面的配置来实现，也可以通过访问控制列表来实现，比如在Cata3550上可通过700-799号的访问控制列表可实现MAC地址过滤。
但是利用访问控制列表来控制流量比较麻烦，似乎用的也比较少，这里就不多介绍了。
通过MAC地址绑定虽然在一定程度上可保证内网安全，但效果并不是很好，建议使用802.1X身份验证协议。
在可控性，可管理性上802.1X都是不错的选择。
------------------------------------------------------------------------------- 注:IP地址与MAC地址的关系: IP地址是根据现在的IPv4标准指定的，不受硬件限制比较容易记忆的地址，长度4个字节。
而 MAC地址却是用网卡的物理地址，保存在网卡的EPROM 里面，与硬件有关系，比较难于记忆，长度为6个字节。
虽然在TCP/IP网络中，计算机往往需要设置IP地址后才能通讯，然而，实际上计算机之间的通讯并不是通过IP地址，而是借助于网卡的MAC地址。
IP地址只是被用于查询欲通讯的目的计算机的MAC地址。
ARP协议是用来向对方的计算机、网络设备通知自己IP对应的MAC地址的。
在计算机的 ARJ缓存中包含一个或多个表，用于存储IP地址及其经过解析的以太网MAC地址。
一台计算机与另一台IP地址的计算机通讯后，在ARP缓存中会保留相应的MAC地址。
所以，下次和同一个IP地址的计算机通讯，将不再查询MAC地址，而是直接引用缓存中的MAC地址。
在交换式网络中，交换机也维护一张MAC地址表，并根据MAC地址，将数据发送至目的计算机。
为什么要绑定MAC与IP 地址:IP地址的修改非常容易，而MAC地址存储在网卡的EEPROM 中，而且网卡的MAC地址是唯一确定的。
因此，为了防止内部人员进行非法IP盗用(例如盗用权限更高人员的IP地址，以获得权限外的信息)，可以将内部网络的IP地址与MAC地址绑定，盗用者即使修改了IP地址，也因MAC地址不匹配而盗用失败:而且由于网卡MAC地址的唯一确定性，可以根据MAC地址查出使用该MAC地址的网卡，进而查出非法盗用者。
目前，很多单位的内部网络，都采用了MAC地址与IP地址的绑定技术。
下面我们就针对Cisco的交换机介绍一下IP和MAC绑定的设置方案。
在Cisco中有以下三种方案可供选择，方案1和方案2实现的功能是一样的，即在具体的交换机端口上绑定特定的主机的MAC地址(网卡硬件地址)，方案3是在具体的交换机端口上同时绑定特定的主机的MAC地址(网卡硬件地址)和IP地址。
1.方案1——基于端口的MAC地址绑定思科2950交换机为例，登录进入交换机，输入管理口令进入配置模式，敲入命令: Switch#config terminal#进入配置模式Switch(config)# Interface fastethernet 0/1#进入具体端口配置模式Switch(config-if)#Switchport port-secruity#配置端口安全模式Switch(config-if )switchport port-security mac-address MAC(主机的MAC地址) #配置该端口要绑定的主机的MAC地址Switch(config-if )no switchport port-security mac-address MAC(主机的MAC地址) #删除绑定主机的MAC地址注意:以上命令设置交换机上某个端口绑定一个具体的MAC地址，这样只有这个主机可以使用网络，如果对该主机的网卡进行了更换或者其他PC机想通过这个端口使用网络都不可用，除非删除或修改该端口上绑定的MAC地址，才能正常使用。
注意:以上功能适用于思科2950、3550、4500、6500系列交换机2.方案2——基于MAC地址的扩展访问列表Switch(config)Mac access-list extended MAC10#定义一个MAC地址访问控制列表并且命名该列表名为MAC10Switch(config)permit host 0009.6bc4.d4bf any#定义MAC地址为0009.6bc4.d4bf的主机可以访问任意主机Switch(config)permit any host 0009.6bc4.d4bf#定义所有主机可以访问MAC地址为0009.6bc4.d4bf的主机Switch(config-if )interface Fa0/20#进入配置具体端口的模式Switch(config-if )mac access-group MAC10 in#在该端口上应用名为MAC10的访问列表(即前面我们定义的访问策略)Switch(config)no mac access-list extended MAC10#清除名为MAC10的访问列表此功能与应用一大体相同，但它是基于端口做的MAC地址访问控制列表限制，可以限定特定源MAC地址与目的地址范围。
注意:以上功能在思科2950、3550、4500、6500系列交换机上可以实现，但是需要注意的是2950、3550需要交换机运行增强的软件镜像(Enhanced Image)。
3.方案3——IP地址的MAC地址绑定只能将应用1或2与基于IP的访问控制列表组合来使用才能达到IP-MAC 绑定功能。
Switch(config)Mac access-list extended MAC10#定义一个MAC地址访问控制列表并且命名该列表名为MAC10Switch(config)permit host 0009.6bc4.d4bf any#定义MAC地址为0009.6bc4.d4bf的主机可以访问任意主机Switch(config)permit any host 0009.6bc4.d4bf#定义所有主机可以访问MAC地址为0009.6bc4.d4bf的主机Switch(config)Ip access-list extended IP10#定义一个IP地址访问控制列表并且命名该列表名为IP10Switch(config)Permit 192.168.0.1 0.0.0.0 any#定义IP地址为192.168.0.1的主机可以访问任意主机Permit any 192.168.0.1 0.0.0.0#定义所有主机可以访问IP地址为192.168.0.1的主机Switch(config-if )interface Fa0/20#进入配置具体端口的模式Switch(config-if )mac access-group MAC10 in#在该端口上应用名为MAC10的访问列表(即前面我们定义的访问策略)Switch(config-if )Ip access-group IP10 in#在该端口上应用名为IP10的访问列表(即前面我们定义的访问策略)Switch(config)no mac access-list extended MAC10#清除名为MAC10的访问列表Switch(config)no Ip access-group IP10 in#清除名为IP10的访问列表上述所提到的应用1是基于主机MAC地址与交换机端口的绑定，方案2是基于MAC地址的访问控制列表，前两种方案所能实现的功能大体一样。