交换机端口隔离及端口安全

实验二 交换机端口隔离及端口安全背景描述：假设你所用的交换机是宽带小区城域网中的1台楼道交换机，住户PC1连接在交换机的0/1口，住户PC2连接在交换机的0/2口。

住户不希望他们之间能够相互访问，现要实现各家各户的端口隔离。

一、:实验名称:交换机端口隔离二、实验目的:1. 熟练掌握网络互联设备-交换机的基本配置方法2. 理解和掌握Port Vlan 的配置方法三、实验设备：每一实验小组提供如下实验设备1、 实验台设备：计算机两台PC1和PC2（或者PC4和PC5）2、 实验机柜设备： S2126(或者S3550)交换机一台3、 实验工具及附件：网线测试仪一台 跳线若干四、实验原理及要求：1、Vlan(virual laocal area network,虚拟局域网)，是指在一个物理网段内，进行逻辑的划分，划分成若干个虚拟局域网。

其最大的特性是不受物理位置的限制，可以进行灵活的划分。

VLAN 具备一个物理网段所具备的特性。

相同的VLAN 内的主机可以相互直接访问，不同的VLAN 间的主机之间互相访问必须经由路由设备进行转发，广播包只可以在本VLAN 内进行传播，不能传输到其他VLAN 中。

2、PORT VLAN 是实现VLAN 的方式之一，PORT VLAN 是利用交换机的端口进行VLAN 的划分，一个普通端口只能属于一个VLAN 。

五、实验注意事项及要求：1、 实验中严禁在设备端口上随意插拔线缆，如果确实需要应向老师说明征求许可。

2、 以电子文档形式提交实验报告。

3、 本次实验结果保留：是 √ 否4、 将交换机的配置文档、验证计算机的TCP/IP 配置信息保存。

5、 将交换机的配置信息以图片的形式保存到实验报告中。

6、 六、实验用拓扑图注意：实验时按照拓扑图进行网络的连接，注意主机和交换机连接的端口七、实验具体步骤及实验结果记录：1、 实现两台主机的互联，确保在未划分VLAN 前两台PC 是可以通讯的（即F0/1和F0/2间是可以通讯的）。

实验结果记录：要求将PC1和pc2的IP 设置和连通性测试的结果记录下来。

2、 创建VLAN1）、启用“本地连接”网卡，正确设置IP 地址及默认网关，打开设备配置界面，完成以下命令行操作：S2126（S3550） F0/1 NIC2) NIC2 F0/2 Vlan 10 Vlan 20S2126G-7-1〉enable 14！进入特权模式S2126G-7-1 # configure terminal !进入全局配置模式S2126G-7-1 (config)#vlan 10 !创建vlan 10S2126G-7-1 (config-vlan)#name test10 ! 将vlan 10命名为test10S2126G-7-1 (config-vlan)#exit!退回到上一级操作模式S2126G-7-1 (config)#vlan 20 !创建vlan 20S2126G-7-1 (config-vlan)#name test20! 将vlan 20命名为test20S2126G-7-1 (config-vlan)#end !直接退回到特权模式S2126G-7-1 #2）、验证测试：S2126G-7-1 #show vlan !查看已配置的VLAN信息注意：默认情况下，所有的接口都属于VLAN 1实验结果记录：3、将接口F0/1和F0/2分别分配到VLAN10和VLAN20，并记录实验结果▪S2126G-7-1〉enable 14 ！进入特权模式▪S2126G-7-1# configure terminal !进入全局配置模式▪S2126G-7-1（config）#interface fastethernet 0/1 !进入F0/1配置模式▪S2126G-7-1（config-if）#switchport access vlan 10 !将接口划入vlan10▪S2126G-7-1（config-if）#exit !退回全局配置模式▪S2126G-7-1（config）#interface fastethernet 0/2 !进入F0/2配置模式▪S2126G-7-1（config-if）#switchport access vlan 20 !将接口划入vlan10▪S2126G-7-1（config-if）#exit !退回全局配置模式▪验证配置并记录实验结果：S2126G-7-1 #show vlan !查看已配置的VLAN信息实验结果记录：4、测试验证，原来可以通讯的两台主机，现在PING 不通，并记录实验结果。

实验结果记录：5、看交换机端口fastEthernet 0/1的配置信息：s2126-7-1#show interfaces fastEthernet 0/1 switchport实验结果记录：7、查看验证交换机正在运行的配置switchA#show running-config实验结果记录：参考配置：s2126-7-1#show running-configSystem software version : 1.66(3) Build Sep 7 2006 RelBuilding configuration...Current configuration : 378 bytes!version 1.0!hostname s2126-7-1vlan 1!vlan 10!vlan 20!enable secret level 1 5 'T>H.Y*T3UC,tZ[V4^D+S(\W54G1X)svenable secret level 14 5 'Ttj9=G13U7R:>H.4^u_;C,t54U0<D+Senable secret level 15 5 &x;C,tZ[ur<D+S(\wx=G1X)sp:>H.Y*T!interface fastEthernet 0/1switchport access vlan 10!interface fastEthernet 0/2switchport access vlan 20!ends2126-7-1#实验结果记录【注意事项】1、交换机所有端口在默认情况下属于ACCESS端口，可直接将端口加入某一VLAN，利用SWITCHPORT MODE ACCESS/TRUNK命令可以更改端口的VLAN模式。

2、VLAN1属于系统默认的VLAN，不可以被删除。

3、删除某个VLAN，使用NO命令。

例如：SWITCH（CONFIG）#NO VLAN 104、删除某个VLAN 时，应先将属于该VLAN 的端口加入到别的VLAN，再删除之。

否则被删除的VLAN内的分配端口会自动恢复到系统默认的VLAN1。

八．分析与思考：（1）观察你所配置的交换机的型号，说出他是几层交换机（2）VLAN 的划分方法有那些？基于端口的VLAN 的划分的优缺点是什么？（3）同一个交换机端口，能否属于不同的VLAN ？九 实验中的问题、心得体会及建议[补充实验内容]tt2、交换机端口安全[基本概念]▪ 利用交换机的端口安全功能实现防止局域网大部分的内部攻击对用户、网络设备造成的破坏，如MAC 地址攻击、ARP 攻击、IP/MAC 地址欺骗等。

▪ 交换机端口安全的基本功能限制交换机端口的最大连接数端口的安全地址绑定端口防ARP 欺骗▪ 安全违例产生于以下情况：如果一个端口被配置为一个安全端口，当其安全地址的数目已经达到允许的最大个数如果该端口收到一个源地址不属于端口上的安全地址的包▪ 当安全违例产生时，你可以选择多种方式来处理违例：Protect ：当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包Restrict ：当违例产生时，将发送一个Trap 通知Shutdown ：当违例产生时，将关闭端口并发送一个Trap 通知配置项目▪ 端口安全最大连接数配置▪ 端口的安全地址绑定F0/x▪端口防ARP欺骗▪处理违例的方式[配置方法]▪端口安全最大连接数配置S2126G-1-1(config-if)#switchport port-security！打开该接口的端口安全功能S2126G-1-1(config-if)#switchport port-security maximum value ！设置接口上安全地址的最大个数，范围是1－128，缺省值为128▪手工配置接口上的安全地址绑定S2126G-1-1(config-if)#switchport port-security mac-address mac-address ip-address ip-address▪设置处理违例的方式S2126G-1-1(config-if)#switchport port-securityviolation{protect|restrict |shutdown}注意：i.端口安全功能只能在access端口上进行配置。

ii.当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery 来将接口从错误状态中恢复过来。

iii.端口的安全地址绑定方式有:单MAC、单IP、MAC+IP[查看配置信息]▪查看所有接口的安全统计信息，包括最大安全地址数，当前安全地址数以及违例处理方式等S2126G-1-1#show port-security▪查看安全地址信息S2126G-1-1# show port-security address[配置示例]▪下面的例子是配置接口fastethernet0/1上的端口安全功能，配置端口绑定地址，主机MAC为00d0.f800.073c，IP为192.168.100.100S2126G-1-1# configure terminalS2126G-1-1 (config)# interface fastethernet 0/1S2126G-1-1 (config-if)# switchport mode accessS2126G-1-1 (config-if)# switchport port-securityS2126G-1-1(config-if)# switchport port-security mac-address 00d0.f800.073c ip-address 192.168.100.100S2126G-1-1(config-if)# switchport port-security mac-address0016.76d6.d832 ip-address 192.168.100.1。