交换机端口安全之类的配置

在三层交换设备上开启Telnet管理功能

DCRS-5650-28(R4)(config)#telnet-server enable

Telnet server has been already enabled.

连接交换机空闲超时时间为5分钟

DCRS-5650-28(R4)(config)#exec-timeout 5

管理设备使用2015telnet作为用户名，口令为telnet2015 第一种方法：

DCRS-5650-28(R4)#setup

---System Configuration Dialog---

At any point you may enter a question mark '?' for help. Default settings are in square brackets '[]', if you do

not change the default settings, you may input enter.

Continue with configuration dialog? [y/n]:y

Please select language:

[0]: English

[1]: Chinese

Selection(0|1)[0]:1

配置菜单

[0]: 配置交换机主机名

[1]: 配置Vlan1的接口

[2]: 配置交换机Telnet服务器

[3]: 配置交换机Web服务器

[4]: 配置SNMP

[5]: 退出setup模式不保存配置结果

[6]: 退出setup模式保存配置结果

选择序号:2

配置Telnet服务器

[0]: 添加Telnet服务器用户

[1]: 配置Telnet服务器的状态

[2]: 返回上一级菜单

选择序号:0

请输入要添加的Telnet用户名:2015telnet 请输入用户密码:telnet2015

配置Telnet服务器

[0]: 添加Telnet服务器用户

[1]: 配置Telnet服务器的状态

[2]: 返回上一级菜单

选择序号:2

配置菜单

[0]: 配置交换机主机名

[1]: 配置Vlan1的接口

[2]: 配置交换机Telnet服务器

[3]: 配置交换机Web服务器

[4]: 配置SNMP

[5]: 退出setup模式不保存配置结果

[6]: 退出setup模式保存配置结果

选择序号:6

DCRS-5650-28(R4)#%Jan 01 00:39:38 2006 Write configuration successfully!

第二种方法：

DCRS-5650-28(R4)(config)#username 2015telnet password 0 telnet2015

Enable密码为2015network

DCRS-5650-28(R4)(config)#enable password 0 2015network

只允许192.168.1.2主机对三层交换设备进行管理

SH-RS1(config)#authentication securityip 192.168.1.2

将Ethernet1/0/23-24配置为端口汇聚，汇聚接口为动态端口汇聚

DCRS-5650-28(R4)(config)#port-group 1

DCRS-5650-28(R4)(config)#int ethernet 1/0/23-24

DCRS-5650-28(R4)(config-if-port-range)#port-group 1 mode active

DCRS-5650-28(R4)(config)#int port-channel 1

DCRS-5650-28(R4)(config-if-port-channel1)#switchport mode trunk

Set the port Port-Channel1 mode Trunk successfully

使用SNMP技术对三层交换机进行管理

DCRS-5650-28(R4)(config)#snmp-server enable

配置只读字串为public，读写字串为private

DCRS-5650-28(R4)(config)#snmp-server community ro public DCRS-5650-28(R4)(config)#snmp-server community rw private 网管主机地址为10.100.100.10

DCRS-5650-28(R4)(config)#snmp-server securityip enable DCRS-5650-28(R4)(config)#snmp-server securityip

10.100.100.10

将二层交换机的Ethernet0/0/9端口开启ARP保护功能，防止PC机发出的网关欺骗报文【IP填这个端口所属vlan的IP】DCS-3950-28C(config-if-ethernet0/0/9)#arp-guard ip 192.168.10.254

在二层交换机上Ethernet0/0/4接口上，要求mac为00-FF-51-FD-AE-15的主机不能访问行政部的主机MAC地址为：E0-94-67-05-5D-84，其余主机正常访问

DCS-3950-28C(config)#firewall enable 【先开启防火墙功能】DCS-3950-28C(config)#mac-access-list extended mac【创建mac访问控制列表】

DCS-3950-28C(config-mac-ext-nacl-mac)#deny

host-source-mac 00-FF-51-FD-AE-15 host-destination-mac E0-94-67-05-5D-84 【拒绝】

DCS-3950-28C(config-mac-ext-nacl-mac)#permit

any-source-mac any-destination-mac 【允许】

DCS-3950-28C(config)#int ethernet 0/0/4

DCS-3950-28C(config-if-ethernet0/0/4)#mac access-group mac in

PC1的MAC地址与接入交换机接口进行绑定