交换机端口安全配置备课讲稿
交换机端口安全技术讲义
交换机端口安全技术讲义一、为什么需要端口安全技术？- 交换机是网络中非常重要的设备，端口是交换机连接其他设备的接口。
因此，保护交换机端口的安全对于整个网络的安全至关重要。
二、常见的端口安全技术1. MAC地址绑定- 通过将特定MAC地址与端口进行绑定，只有被绑定的设备才能使用该端口进行通信，其他设备将无法访问该端口。
2. 802.1X认证- 802.1X是一种端口认证协议，通过在交换机端口上实施认证服务，可以有效地防止未授权的设备接入网络。
只有经过认证的设备才能使用交换机端口。
3. 端口安全限制- 通过设置每个交换机端口允许连接的最大设备数量，可以防止未经授权的设备接入网络。
4. DHCP snooping- 通过检测和验证DHCP报文，防止恶意DHCP服务器对网络设备进行攻击或者误导。
5. 端口状态监控- 交换机可以监控端口的通信状态，一旦发现异常情况，可以及时做出处理，防止网络安全风险。
三、如何实施端口安全技术- 在交换机上配置相应的端口安全措施，包括MAC地址绑定、802.1X认证、端口安全限制、DHCP snooping等，并定期对端口进行监控和审计，及时发现并处理异常情况。
四、端口安全技术带来的好处- 通过实施端口安全技术，可以有效地防止未经授权的设备接入网络，保护网络的安全。
同时，也可以有效地减少网络故障和攻击的风险，保障网络的正常运行。
五、端口安全技术的应用场景端口安全技术广泛应用于企业、学校、政府机构以及各种组织和机构的网络中。
无论是小型局域网还是大型企业网络，都需要采取端口安全技术来保护网络的安全和稳定性。
特别是在一些对网络安全要求较高的领域，如金融、医疗、军事等，端口安全技术更是不可或缺的一部分。
六、端口安全技术的挑战与解决方案虽然端口安全技术在保护网络安全方面起到了重要作用，但也面临着一些挑战。
例如，管理和维护成本较高、配置复杂、容易受到攻击等。
为了解决这些问题，可以采取以下措施：1. 自动化管理工具：可以使用自动化管理工具来简化端口安全技术的配置和管理，减少人工操作的成本和错误。
第八章实验讲义交换机基本配置端口安全与STP
第八章实验讲义---交换机基本配置端口安全与STP第12章交换机基本配置交换机是局域网中最重要的设备，交换机是基于MAC来进行工作的。
和路由器类似，交换机也有IOS，IOS的基本使用方法是一样的。
本章将简单介绍交换的一些基本配置。
关于VLAN 和Trunk等将在后面章节介绍。
12.1 交换机简介交换机是第2层的设备，可以隔离冲突域。
交换机是基于收到的数据帧中的源MAC地址和目的MAC地址来进行工作的。
交换机的作用主要有两个：一个是维护CAM（Conetxt Address Memory）表，该表是计算机的MAC地址和交换端口的映射表；另一个是根据CAM来进行数据帧的转发。
交换对帧的处理有3种：交换机收到帧后，查询CAM表，如果能查询到目的计算机所在的端口，并且目的计算机所在的端口不是交换接收帧的源端口，交换机将把帧从这一端口转发出去（Forward）；如果该计算机所在的端口和交换机接收帧的源端口是同一端口，交换机将过滤掉该帧（Filter）；如果交换机不能查询到目的计算机所在的端口，交换机将把帧从源端口以外的其他所有端口上发送出去，这称为泛洪（Flood），当交换机接收到的帧是广播帧或多播帧，交换机也会泛洪帧。
12.2 实验0：交换机基本配置1.实验目的:通过本实验，可以掌握交换机的基本配置这项技能。
2.实验拓扑实验拓扑图如图12-2所示。
图12-2 实验1拓扑图3.实验步骤（1）步骤1：通过PC0以Console方式登录交换机Switch0. 注意配置PC0上的终端.登录成功后, 通过PC0配置交换机Switch0的主机名Switch>enableSwitch#conf terminalEnter configuration commands，one per line. End with CNTL/ZSwitch(config)#hostname S1（2）步骤2：配置telnet密码和enable密码. S1(config)#enable secret ciscoS1(config)#line vty 0 15S1(config-line)#password ciscoS1(config-line)#login（3）步骤3：接口基本配置默认时，交换机的以太网接口是开启的，对于交换机的以太网口可以配置其双工模式和速率等。
交换机端口安全配置
【实验拓扑】
F0/1 F0/2
PC1 192.168.1.1
PC2 192.168.1.2
周金玲
课堂实验1 MAC地址绑定
【实验步骤】
1. 2. 3. 查得2台PC MAC地址，并记录下来； 把PC1和PC2分别接到交换机的F0/1和F0/2，show mac-address-table查看MAC地址表， MAC 地址是否动态学到？2台PC互ping，结果？ 将PC2和交换机断开，把PC2的mac地址绑定到F0/2F0/22
PC1 192.168.1.1
PC2 192.168.1.3
PC3
周金玲
课堂实验3 MAC地址和IP地址绑定
【实验步骤】
1. 将PC2和交换机断开，把PC2的mac地址和192.168.1.3绑定到F0/22: Switch(config)# interface f 0/22 switch(config-if)#switchport port-security switch(config-if)# switchport port-security mac-address PC2-MAC ip-address 192.168.1.3 switch(config-if)# switchport port-security aging time 1 2. 将PC2接到交换机的F0/22，ping PC1，结果？
F0/20
PC2
PC3
4. 总结规律得到设置端口安全最大连接数的 效果。
周金玲
提交作业标准
show port-security address show run Show port-security 下周提问的问题为本次4个实验的问题，请课后做 好准备。
案例26：交换机基本配置与端口安全
案例26：交换机基本配置与端口安全1. 案例目标通过本案例，你可以掌握如下技能：1)熟悉交换机的基本配置2)理解交换机的MAC表3)理解交换机的端口安全4)配置交换机的端口安全特性2. 设备与拓扑设备：1台1841路由器，1台2950T-24交换机，2台PC。
拓扑：如下图。
3. 操作步骤步骤1：按拓扑图配置好路由器的主机名和显示名，以及路由器接口F0/0、F0/1的IP地址，包括主机PC0的IP地址和PC1的IP及网关地址。
步骤2：配置交换机的主机名和密码Switch#conf tEnter configuration commands, one per line. End with CNTL/Z.Switch(config)#hostname S1S1(config)#enable se cisco //启用加密密码S1(config)#line vty 0 15S1(config-line)#password cisco //虚拟中断登录密码S1(config-line)#loginS1(config-line)#步骤3：配置接口S1(config)#int f0/1S1(config-if)#duplex ? //接口的双工模式auto Enable AUTO duplex configurationfull Force full duplex operationhalf Force half-duplex operationS1(config-if)#speed ? //接口的速率10 Force 10 Mbps operation100 Force 100 Mbps operationauto Enable AUTO speed configurationS1(config-if)#//注意：通常配置为自动（auto）即可。
步骤4：配置交换机的管理地址和缺省网关S1#conf tEnter configuration commands, one per line. End with CNTL/Z.S1(config)#int vlan 1S1(config-if)#ip addr 172.16.0.1 255.255.0.0S1(config-if)#no shutS1(config-if)#exitS1(config)#ip default-gateway 172.16.0.101S1(config)#【注意】交换机的3层接口要配置为VLAN接口，通常VLAN 1接口作为管理接口，交换机相当于有多个VLAN接口的主机。
任务2.5交换机端口安全
课题
教具：
计算机
课型：
新授
课时：
2
教
学
知识
目标
1.学会配置交换机端口的安全。
2.配置交换机端口安全地址的绑定。
3.限制交换机端口的最大连接数。
目
的
要
求
能力
目标
掌握交换机端口安全配置
德育
目标
培养学生安全意识，养成保护公物和爱护自身的良好习惯。
教学重点
学会配置交换机端口的安全
教
学
进
程
一．交换机端口安全功能
根据MAC地址来做对网络流量的控制和管理。比如MAC地址与具体的端口绑定，限制具体端口通过的MAC地址的数量；或者在具体的端口不允许某些MAC地址的帧流量通过。
二．端口安全的工作过程
当一个端口开启了端口安全特性以后，交换机将检查从此端口接收到的帧的源MAC地址，并检查在此端口上配置的最大安全地址数。若此帧的源MAC地址存在于安全地址表中，则直接将直接转发帧；若安全地址数没有超过最大安全地址数量，并且此帧的源MAC地址不在安全地址表中，则交换机学习此MAC地址，将其添加到安全地址表中，进行后续转发。
四．实训拓扑
使用课件
演示讲解
教程
教学活动
教学小记
教
学
进
程
五．实训
步骤1搭建网络，配置四台计算机的IP地址和子网掩码
步骤2配置交换机端口安全
Switch(config)#hostname Switch0
Switch0(config)#interface f0/24 //进入接口配置模式
Switch0(config-if)#switchport mode access //设置交换机端口模式为access
任务4.1 交换机端口安全配置
Ø以太网安全隐患Ø端口安全基本概念Ø端口安全工作原理Ø端口安全配置流程Ø端口安全配置命令•对于安全性要求较高的网络环境，通常要对用户的接入进行基本的安全管控，以防止非法用户的接入及恶意的网络攻击。
•通过对交换机配置端口安全功能来增强网络的安全性，可有效避免信息泄露、MAC地址泛洪攻击等安全问题。
•本次任务介绍交换机端口安全的基本原理和配置方法。
ØMAC地址泛洪攻击•攻击者发送大量的虚假源MAC地址数据帧，导致MAC地址表快速填满，使得交换机将无法再学习新的MAC地址。
•交换机在转发数据帧时失去了“依据”，只能以广播的方式将数据帧从其余接口发送出去。
•攻击者利用此原理，窃取用户的通信数据。
MAC地址泛洪攻击Ø终端接入隐患•用户私自扩充网络，导致终端数量增大，给通信环境带来了不稳定因素；•非信任终端的接入，可能导致信息的泄露。
终端接入隐患Ø端口安全作用•限制接口学习MAC地址的数量。
端口安全的默认安全MAC地址的限制数是1个，即只能学习一个MAC地址表项。
•限制非信任终端接入网络。
任何源MAC地址为非安全MAC地址的报文将会被丢弃。
•限制信任终端切换连接端口。
即信任终端只能在通过指定的端口接入网络。
Ø违例通信的保护动作•Restrict：丢弃源MAC地址为非安全MAC地址的报文并上报告警，此为默认的处理动作；•Protect：只丢弃源MAC地址为非安全MAC地址的报文，不上报告警；•Shutdown：接口状态被置为error-down，并上报告警。
默认情况下，接口关闭后不会自动恢复，只能由网络管理人员手动恢复。
Ø工作原理•交换机开启端口安全功能后，接口学习到的MAC地址会被转换为安全MAC地址。
•接口学习的MAC数量达到上限后不再学习新的MAC地址。
•如果交换机收到源MAC地址不属于安全MAC地址的报文，交换机认为有非法用户攻击，就会根据配置的动作对接口做保护处理。
交换机端口安全技术课件
学习完本课程，您应该能够：
掌握802.1X基本原理及其配置 掌握端口隔离技术及其配置 掌握端口绑定技术及其配置
•交换机端口安全技术
•1
目录
802.1X基本原理及其配置 端口隔离技术及其配置 端口绑定技术及其配置
•交换机端口安全技术
•2
802.1X技术简介
Internet
802.1X
•交换机端口安全技术
•9
端口隔离基本配置
将指定端口加入到隔离组中，端口成为 隔离组的普通端口
[Switch-Ethernet1/0/1] port-isolate enable
将指定端口加入到隔离组中，端口成为 隔离组的上行端口
[Switch-Ethernet1/0/2] port-isolate uplink-port
•交换机端口安全技术
•6
802.1X典型配置举例
E1/0/1
PC
SWA
[SWA]dot1x [SWA]doWA]local-user localuser [SWA-luser-localuser]password simple hello [SWA-luser-localuser]service-type lan-access
802.11
l 802.1X协议起源于标准的无线局域网协议802.11。主要目的是 为了解决有线局域网用户的接入认证问题。
•交换机端口安全技术
•3
802.1X的体系结构
客户端
设备端
认证服务 器端
l 本地认证
à 由设备端内置本地服务器对客户端进行认证
l 远程集中认证
à 由远程的认证服务器对客户端进行认证
•交换机端口安全技术
交换机端口安全
3.验证测试 查看端口安全的基本配置
SW1(config)#show port-security
（3）当我们将接口允许的MAC地址数量设置为1并且为接口设置一个安 全地址，那么这个接口将只为该MAC所属的PC服务，也就是源为该 MAC的数据帧能够进入该接口。
2.当以下情况发生时，激活惩罚（violation）： （1）当一个激活了Port-Security的接口上，MAC地址数量已经达到了配置的最大安 全地址数量，并且又收到了一个新的数据帧，而这个数据帧的源MAC并不在这些安 全地址中，那么启动惩罚措施
楼梯剖面详图的绘制： 1.设置绘图环境; 2.绘制定位轴线、室外地坪线、楼面位
置线、梯段位置线等; 3.绘制墙体、楼板、梯段等构件; 4.绘
1.了解制图标准； 2.掌握建筑施工图的阅读方法； 3.掌握计算机绘制建筑施工图
的方法和技巧。
《网络组建与应用》精品课程配套课件
Secure Port MaxSecureAddr (count) CurrentAddr (count) SecurityViolation (coun
t) Security Action
---------------------------------------------------------------------------------------------------------------
《网络组建与应用》精品课程配套课件
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
计
看IP和MAC地址信息。
算
Switch#configure terminal
机
switch(config)#interface fastethernet 0/3
网 络 工
Switch(config-if)#switchport port-security !开启交 换机的端口安全功能
程
Switch(config-if)#switchport port-secruity mac-
机
Switch(config-if-range)#switchport port-security !
网
开启交换机的端口安全功能
络 工 程
Switch(config-if-range)#switchport port-security maximum 1 !配置端口的最大连接数为1
Switch(config-if-range)#switchport port-security
计 2. 交换机最大连接数限制取值范围是1~128，默认
算 是128.
机 网
3. 交换机最大连接数限制默认的处理方式是
络 protect。
Hale Waihona Puke 工程计算机网络工程实验
计 算 机 网 络 工 程
计算机网络工程实验
计 算 机
此课件下载可自行编辑修改，仅供参考！ 感谢您的支持，我们努力做得更好！谢谢
网
络
工
程
计算机网络工程实验
交换机端口安全配置
计 算 机 网 络 工 程
计算机网络工程实验
交换机端口安全配置
【背景描述】
➢ 你是一个公司的网络管理员，公司要求对网络进行严
计 算 机 网
格控制。为了防止公司内部用户的IP地址冲突，防止 公司内部的网络攻击和破坏行为。为每一位员工分配 了固定的IP地址，并且限制只允许公司员工主机可以 使用网络，不得随意连接其他主机。例如：某员工分
属性的配置，从而控制用户的安全接入。交换机端口安 全主要有两种类型：一是限制交换机端口的最大连接数， 二是针对交换机端口进行MAC地址、IP地址的绑定。
网 限制交换机端口的最大连接数可以控制交换机端口下连
络 的主机数，并防止用户进行恶意ARP欺骗。
工 程
交换机端口的地址绑定，可以针对IP地址、MAC地址、 IP+MAC进行灵活的绑定。可以实现对用户进行严格的控
络 ➢ Shutdown 当违例产生时，将关闭端口并发送一个Trap
工 程
通知。
当端口因违例而被关闭后，在全局配置模式下使用命令
errdisable recovery来将接口从错误状态恢复过来。
计算机网络工程实验
交换机端口安全配置
【实验内容】
1、按照拓扑进行网络连接
计
2、配置交换机端口最大连接数限制
address 0006.1bde.13b4 ip-address
172.16.1.55
!配置IP地址与 MAC地址的绑定
验证测试：查看交换机安全绑定配置
switch#show port-security address
计算机网络工程实验
交换机端口安全配置注意事项
1. 交换机端口安全功能只能在ACCESS接口进行配 置
制。保证用户的安全接入和防止常见的内网的网络攻击。
计算机网络工程实验
交换机端口安全配置
配置了交换机的端口安全功能后，当实际应用超出配置
的要求，将产生一个安全违例，产生安全违例的处理方
式有3种：
计 算 机
➢ Protect 当安全地址个数满后，安全端口将丢弃未知名地 址的包
网 ➢ Restrict 当违例产生时，将发送一个Trap通知。
络
配的IP地址是172.16.1.55/24，主机MAC地址是00-06-
工
1B-DE-13-B4。该主机连接在1台2126G上。
程 【实验设备】
➢ S2126（1台）、直连线（1条）、PC(1台)
计算机网络工程实验
交换机端口安全配置
技术原理
交换机端口安全功能，是指针对交换机的端口进行安全
计 算 机
violation shutdown !配置安全违例的处理方式为
shutdown
验证测试：查看交换机的端口安全配置
Switch#show port-security
计算机网络工程实验
交换机端口安全配置步骤
步骤2.配置交换机端口的地址绑定
在主机上打开CMD命令窗口，执行ipconfig/all命令查
算
3、配置交换机端口地址绑定
机
网
络
工
程
计算机网络工程实验
交换机端口安全配置
【实验拓扑】
计
算 机
F0/3
网
络
工
程
172.16.1.55
计算机网络工程实验
交换机端口安全配置步骤
步骤1.配置交换机端口的最大连接数限制
Switch#configure terminal
计 算
switch(config)#interface range fastethernet 0/1-23 进入一组端口配置模式