cisco交换机端口安全功能配置
谢 谢!
Switch(configSwitch(config-if)#switchport port-secruity mac-address 0006.1bde.13b4 ipportmacip!配置IP地址t MAC地址的绑定 !配置IP地址t MAC地址的绑定 验证测试：查看交换机安全绑定配置 switch#show port-security address port-
交换机端口1、按照拓扑进行网络连接 2、配置交换机端口最大连接数限制 3、配置交换机端口地址绑定
交换机端口安全配置
【实验拓扑】 实验拓扑】
F0/3
172.16.1.55
交换机端口安全配置步骤
步骤1.配置交换机端口的最大连接数限制 步骤1.配置交换机端口的最大连接数限制
交换机端口安全配置步骤
步骤2.配置交换机端口的地址绑定 步骤2.配置交换机端口的地址绑定
在主机上打开CMD命令窗口，执行ipconfig/all命令查看IP和MAC地址信息。 在主机上打开CMD命令窗口，执行ipconfig/all命令查看IP和MAC地址信息。 Switch#configure terminal switch(config)#interface fastethernet 0/3 Switch(configSwitch(config-if)#switchport port-security portaddress 172.16.1.55 !开启交换机的端口安全功能 !开启交换机的端口安全功能
交换机端口安全配置注意事项
1. 交换机端口安全功能只能在ACCESS接口进行配置 交换机端口安全功能只能在ACCESS接口进行配置 2. 交换机最大连接数限制取值范围是1~128，默认是128. 交换机最大连接数限制取值范围是1~128，默认是128. 3. 交换机最大连接数限制默认的处理方式是protect。 交换机最大连接数限制默认的处理方式是protect。
Switch(config-ifSwitch(config-if-range)#switchport port-secruity maximum 1 !配置端口的最 port!配置端口的最 大连接数为1 大连接数为1 Switch(config-ifSwitch(config-if-range)#switchport port-secruity violation shutdown !配置安 port!配置安 全违例的处理方式为shutdown 全违例的处理方式为shutdown 验证测试：查看交换机的端口安全配置 Switch#show port-security port-
【实验目的】 实验目的】
掌握交换机的端口安全功能配置，控制用户的安全接入
【实验设备】 实验设备】
S2126（ 台）、直连线（1条）、PC(1台 S2126（1台）、直连线（1条）、PC(1台)
交换机端口安全配置
技术原理 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置， 而控制用户的安全接入。交换机端口安全主要有两种类型： 而控制用户的安全接入。交换机端口安全主要有两种类型：一是限制交 换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的 地址、 换机端口的最大连接数，二是针对交换机端口进行MAC地址 IP地址的 绑定。 绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数， 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防 止用户进行恶意ARP欺骗。 止用户进行恶意ARP欺骗。 欺骗 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP+MAC进行灵 地址、 地址、 交换机端口的地址绑定，可以针对IP地址 MAC地址 IP+MAC进行灵 活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防 活的绑定。可以实现对用户进行严格的控制。 止常见的内网的网络攻击。 止常见的内网的网络攻击。
交换机端口安全功能配置
RCNA_E011
本章内容
交换机端口安全功能配置
课程议题
交换机端口安全功能 配置
交换机端口安全配置
【背景描述】 背景描述】
你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止 公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。为每 公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。为每 一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网 一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网 络，不得随意连接其他主机。例如：某员工分配的IP地址是 络，不得随意连接其他主机。例如：某员工分配的IP地址是 172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1 172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1 台2126G上。 2126G上。
交换机端口安全配置
配置了交换机的端口安全功能后，当实际应用超出配置的要求， 配置了交换机的端口安全功能后，当实际应用超出配置的要求， 将产生一个安全违例，产生安全违例的处理方式有3种： 将产生一个安全违例，产生安全违例的处理方式有3 Protect 当安全地址个数满后，安全端口将丢弃未知名地址的包 当安全地址个数满后， Restrict 当违例产生时，将发送一个Trap通知。 通知。 当违例产生时，将发送一个Trap通知 Shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 通知。 当违例产生时，将关闭端口并发送一个Trap通知 当端口因违例而被关闭后，在全局配置模式下使用命令 当端口因违例而被关闭后， errdisable recovery来将接口从错误状态恢复过来。 recovery来将接口从错误状态恢复过来 来将接口从错误状态恢复过来。
Switch#configure terminal switch(config)#interface range fastethernet 0/1-23 进入一组端口配置模式 0/1Switch(config-ifSwitch(config-if-range)#switchport port-security port功能 !开启交换机的端口安全 !开启交换机的端口安全
cisco交换机的端口安全配置
【官方提供】【实验文档】【实验0021】【交换机的端口安全配置】【实验名称】交换机的端口安全配置。
【实验目的】掌握交换机的端口安全功能，控制用户的安全接入。
【背景描述】你是一个公司的网络管理员，公司要求对网络进行严格控制。
为了防止公司内部用户的IP当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。
【实现功能】针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。
【实验设备】S2126G交换机（1台），PC（1台）、直连网线（1条）【实验拓扑】图 26【实验步骤】步骤1. 配置交换机端口的最大连接数限制。
Switch#configure terminalSwitch(config)#interface range fastethernet 0/1-23 ! 进行一组端口的配置模式Switch(config-if-range)#switchport port-security!开启交换机的端口安全功能Switch(config-if-range)#switchport port-secruity maximum 1! 配置端口的最大连接数为1Switch(config-if-range)#switchport port-secruity violation shutdown !配置安全违例的处理方式为shutdown验证测试：查看交换机的端口安全配置。
Switch#show port-securitySecure Port MaxSecureAddr(count) CurrentAddr(count) Security Action------------------------------------------------------------------Fa0/1 1 0ShutdownFa0/2 1 0ShutdownFa0/3 1 0ShutdownFa0/4 1 0ShutdownFa0/5 1 0ShutdownFa0/6 1 0 ShutdownFa0/7 1 0 ShutdownFa0/8 1 0 ShutdownFa0/9 1 0 ShutdownFa0/10 1 0Fa0/20 1 0 ShutdownFa0/21 1 0 ShutdownFa0/22 1 0 ShutdownFa0/23 1 0 Shutdown步骤2. 配置交换机端口的地址绑定。
交换机端口安全防护与配置方法命令介绍
交换机端口安全防护与配置方法命令介绍交换机除了能够连接同种类型的网络之外，还可以在不同类型的网络(如以太网和快速以太网)之间起到互连作用。
今天我们来介绍一下交换机端口安全的配置内容，主要防止公司内部的网络攻击和破坏行为，详细的教程，请看下文介绍，需要的朋友可以参考下方法步骤1、配置交换机端口的最大连接数限制。
Switch#configure terminalSwitch(config)#interface range fastethernet 0/3 进行0模块第3端口的配置模式Switch(config-if)#switchport port-security 开启交换机的端口安全功能Switch(config-if)#switchport port-secruity maximum 1 配置端口的最大连接数为1Switch(config-if)#switchport port-secruity violation shutdown 配置安全违例的处理方式为shutdown2、验证测试：查看交换机的端口安全配置。
Switch#show port-security3、配置交换机端口的地址绑定Switch#configure terminalSwitch(config)#interface f astethernet 0/3Switch(config-if)#switchport port-securitySwitch(config-if)#switchport port-security mac-address 00 06.1bde.13b4 ip-address 172.16.1.55 配置IP 地址和MAC 地址的绑定4、验证测试：查看地址安全绑定配置。
Switch#show port-security address5、查看主机的IP 和MAC 地址信息。
在主机上打开CMD 命令提示符窗口，执行ipconfig /all 命令。
cisco交换机安全配置设定方法
cisco交换机安全配置设定方法你还在为不知道cisco交换机安全配置设定方法而烦恼么?接下来是小编为大家收集的cisco交换机安全配置设定方法教程，希望能帮到大家。
cisco交换机安全配置设定方法一、交换机访问控制安全配置1、对交换机特权模式设置密码尽量采用加密和md5 hash方式switch(config)#enable secret 5 pass_string其中 0 Specifies an UNENCRYPTED password will follow5 Specifies an ENCRYPTED secret will follow建议不要采用enable password pass_sting密码，破解及其容易!2、设置对交换机明文密码自动进行加密隐藏switch(config)#service password-encryption3、为提高交换机管理的灵活性，建议权限分级管理并建立多用户switch(config)#enable secret level 7 5 pass_string7 /7级用户进入特权模式的密码switch(config)#enable secret 5 pass_string15 /15级用户进入特权模式的密码switch(config)#username userA privilege 7 secret 5 pass_userAswitch(config)#username userB privilege 15 secret 5 pass_userB/为7级，15级用户设置用户名和密码，Cisco privilege level分为0-15级，级别越高权限越大switch(config)#privilege exec level 7 commands /为7级用户设置可执行的命令,其中commands可以根据分配给用户的权限自行定义4、本地console口访问安全配置switch(config)#line console 0switch(config-line)#exec-timeout 5 0 /设置不执行命令操作的超时时间，单位为分钟和秒switch(config-line)#logging synchronous /强制对弹出的干扰日志信息进行回车换行，使用户输入的命令连续可见设置登录console口进行密码验证方式(1):本地认证switch(config-line)#password 7 pass_sting /设置加密密码switch(config-line)#login /启用登录验证方式(2):本地AAA认证switch(config)#aaa new-model /启用AAA认证switch(config)#aaa authentication login console-in group acsserver local enable/设置认证列表console-in优先依次为ACS Server，local用户名和密码，enable特权密码switch(config)#line console 0switch(config-line)# login authentication console-in /调用authentication设置的console-in列表5、远程vty访问控制安全配置switch(config)#access-list 18 permit host x.x.x.x /设置标准访问控制列表定义可远程访问的PC主机switch(config)#aaa authentication login vty-in group acsserver local enable/设置认证列表vty-in, 优先依次为ACS Server，local用户名和密码，enable特权密码switch(config)#aaa authorization commands 7 vty-in group acsserver local if-authenticated/为7级用户定义vty-in授权列表，优先依次为ACS Server,local 授权switch(config)#aaa authorization commands 15 vty-in group acsserver local if-authenticated/为15级用户定义vty-in授权列表，优先依次为ACS Server,local 授权switch(config)#line vty 0 15switch(config-line)#access-class 18 in /在线路模式下调用前面定义的标准ACL 18switch(config-line)#exec-timeout 5 0 /设置不执行命令操作的超时时间，单位为分钟和秒switch(config-line)#authorization commands 7 vty-in /调用设置的授权列表vty-inswitch(config-line)#authorization commands 15 vty-inswitch(config-line)#logging synchronous /强制对弹出的干扰日志信息进行回车换行，使用户输入的命令连续可见switch(config-line)#login authentication vty-in /调用authentication设置的vty-in列表switch(config-line)#transport input ssh /有Telnet协议不安全，仅允许通过ssh协议进行远程登录管理6、AAA安全配置switch(config)#aaa group server tacacs+ acsserver /设置AAA 服务器组名switch(config-sg-tacacs+)#server x.x.x.x /设置AAA服务器组成员服务器ipswitch(config-sg-tacacs+)#server x.x.x.xswitch(config-sg-tacacs+)#exitswitch(config)# tacacs-server key paa_string /设置同tacacs-server服务器通信的密钥二、交换机网络服务安全配置禁用不需要的各种服务协议switch(config)#no service padswitch(config)#no service fingerswitch(config)#no service tcp-small-serversswitch(config)#no service udp-small-serversswitch(config)#no service configswitch(config)#no service ftpswitch(config)#no ip http serverswitch(config)#no ip http secure-server/关闭http,https远程web管理服务，默认cisco交换机是启用的三、交换机防攻击安全加固配置MAC Flooding(泛洪)和Spoofing(欺骗)攻击预防方法：有效配置交换机port-securitySTP攻击预防方法：有效配置root guard,bpduguard,bpdufilterVLAN，DTP攻击预防方法：设置专用的native vlan;不要的接口shut或将端口模式改为accessDHCP攻击预防方法：设置dhcp snoopingARP攻击预防方法：在启用dhcp snooping功能下配置DAI和port-security在级联上层交换机的trunk下switch(config)#int gi x/x/xswitch(config-if)#sw mode trunkswitch(config-if)#sw trunk encaps dot1qswitch(config-if)#sw trunk allowed vlan x-xswitch(config-if)#spanning-tree guard loop/启用环路保护功能，启用loop guard时自动关闭root guard 接终端用户的端口上设定switch(config)#int gi x/x/xswitch(config-if)#spanning-tree portfast/在STP中交换机端口有5个状态：disable、blocking、listening、learning、forwarding，只有处于forwarding状态的端口才可以发送数据。
Cisco交换机配置手册
2950交换机简明配置维护手册目录说明 (3)产品特性 (3)配置端口 (4)配置一组端口 (4)配置二层端口 (6)配置端口速率及双工模式 (6)端口描述 (7)监控及维护端口 (8)监控端口和控制器的状态 (8)刷新、重置端口及计数器 (10)关闭和打开端口 (10)配置VLAN (11)理解VLAN (11)可支持的VLAN (12)配置正常范围的VLAN (12)生成、修改以太网VLAN (13)删除VLAN (14)将端口分配给一个VLAN (15)配置VLAN Trunks (16)使用STP实现负载均衡 (19)配置Cluster (23)说明本手册只包括日常使用的有关命令及特性，其它未涉及的命令及特性请参考英文的详细配置手册。
产品特性2950是只支持二层的交换机支持VLAN∙到250 个VLAN∙支持VLAN ID从1到4094（IEEE 802.1Q 标准）∙支持ISL及IEEE 802.1Q封装安全∙支持IOS标准的密码保护∙支持标准及扩展的访问列表来定义安全策略∙支持基于VLAN的访问列表监视∙交换机LED指示端口状态∙SPAN及远端SPAN (RSPAN) 可以监视任何端口或VLAN的流量∙内置支持四组的RMON监控功能（历史、统计、告警及事件）配置端口配置一组端口当使用interface range命令时有如下的规则:∙有效的组范围:o vlan从1 到4094o fastethernet槽位/{first port} - {last port}, 槽位为0o gigabitethernet槽位/{first port} - {last port},槽位为0o port-channel port-channel-number - port-channel-number, port-channel号从1到64∙端口号之间需要加入空格，如：interface range fastethernet 0/1 – 5是有效的，而interface range fastethernet 0/1-5是无效的.∙interface range命令只能配置已经存在的interface vlan∙所有在同一组的端口必须是相同类别的。
82实验一：交换机端口聚合及端口安全配置
计算机网络工程实验
一、交换机端口聚合配置
技术原理
端口聚合（Aggregate-port）又称链路聚合，是指两台交
计 算 机 网 络 工 程
换机之间在物理上将多个端口连接起来，将多条链路聚 合成一条逻辑链路。从而增大链路带宽，解决交换网络 中因带宽引起的网络瓶颈问题。多条物理链路之间能够 相互冗余备份，其中任意一条链路断开，不会影响其他 链路的正常转发数据。 端口聚合遵循IEEE802.3ad协议的标准。
计算机网络工程实验
二、交换机端口安全配置
【背景描述】
你是一个公司的网络管理员，公司要求对网络进行严
计 算 机 网 络 工 程 【实验设备】
格控制。为了防止公司内部用户的IP地址冲突，防止 公司内部的网络攻击和破坏行为。为每一位员工分配 了固定的IP地址，并且限制只允许公司员工主机可以 使用网络，不得随意连接其他主机。例如：某员工分 配的IP地址是172.16.1.55/24，主机MAC地址是00-061B-DE-13-B4。该主机连接在1台2126G上。
计算机网络工程实验
二、交换机端口安全配置
注意事项 1. 交换机端口安全功能只能在ACCESS接口进行配 置 2. 交换机最大连接数限制取值范围是1~128，默认 是128. 3. 交换机最大连接数限制默认的处理方式是 protect。
计 算 机 网 络 工 程
计算机网络工程实验
思考题
1.用Cisco Packet Tracer配置交换机端口聚合
计算机网络工程实验
一、交换机端口聚合配置
【实验拓扑】
计 算 机 网 络 工 程
F0/23 F0/5 F0/24 NIC F0/23 F0/24 F0/5
思科交换机端口安全(Port-Security)
思科交换机端口安全(Port-Security)Cisco Catalyst交换机端口安全（Port-Security）1、Cisco29系列交换机可以做基于2层的端口安全，即mac地址与端口进行绑定。
2、Cisco3550以上交换机均可做基于2层和3层的端口安全，即mac 地址与端口绑定以及mac地址与ip地址绑定。
3、以cisco3550交换机为例做mac地址与端口绑定的可以实现两种应用：a、设定一端口只接受第一次连接该端口的计算机mac地址，当该端口第一次获得某计算机mac地址后，其他计算机接入到此端口所发送的数据包则认为非法，做丢弃处理。
b、设定一端口只接受某一特定计算机mac地址，其他计算机均无法接入到此端口。
4、破解方法：网上前辈所讲的破解方法有很多，主要是通过更改新接入计算机网卡的mac地址来实现，但本人认为，此方法实际应用中基本没有什么作用，原因很简单，如果不是网管，其他一般人员平时根本不可能去注意合法计算机的mac地址，一般情况也无法进入合法计算机去获得mac地址，除非其本身就是该局域网的用户。
5、实现方法：针对第3条的两种应用，分别不同的实现方法a、接受第一次接入该端口计算机的mac地址：Switch#config terminalSwitch(config)#inte**ce inte**ce-id 进入需要配置的端口Switch(config-if)#switchport mode access 设置为交换模式Switch(config-if)#switchport port-security 打开端口安全模式Switch(config-if)#switchport port-security violation {protect |restrict | shutdown }//针对非法接入计算机，端口处理模式{丢弃数据包，不发警告| 丢弃数据包，在console发警告| 关闭端口为err-disable状态，除非管理员手工激活，否则该端口失效。
Cisco 交换机端口安全
主机
• Switch(config)#permit any host 0009.6b4c.d4bf • //定义任何主机可以访问MAC为0009.6b4c.d4bf的主机 • Switch(config)#ip access-list extended IP10 • //定义一个IP地址访问控制列表并且命名为IP10 • Switch(config)#permit 192.168.0.1 0.0.0.0 any • //定义IP地址为192.168.0.1的主机可以访问任何主机 • Switch(config)#permit any 192.168.0.1 0.0.0.0 • //定义任何主机都可以访问IP地址为192.168.0.1的主机 • Switch(config)#int fa0/20 • //进入端口配置模式 • Switch(config-if) • ＃在该端口上应用名为MAC10的访问列表（即前面我们定义的访问策略） • Switch(config-if)ip access-group IP10 in • ＃在该端口上应用名为MAC10的访问列表（IP访问控制列表哟）
4500、6500系列交换机上可以实现，但是 需要注意的是2950、3550需要交换机运行 增强的软件镜像（Enhanced Image）
IP地址的MAC地址绑定
• Switch(config)#mac access-list extended MAC10 //定义一个MAC地址访问控制列表并命名为MAC10 • Switch(config)#permit host 0009.6b4c.d4bf any //定义MAC地址为0009.6b4c.d4bf 的主机可以访问任何
这样只有这个主机可以使用网络，如果对该主机的网卡进行了更换或
【最新】思科交换机up端口配置-范文模板 (17页)
#在特权模式下输入configure terminal进入全局配置模式(global configuration mode),在这之下输入的命令叫做全局命令,一旦输入,将对整个router产生即时影响。
*Mar 1 00:44:26.491: %SYS-5-CONFIG_I: Configured from console by console t # 在输入命令的过程中，IOS会出现一些即时提示。
4.2 接入交换机的相关配置 ............................................................................................................... 8
5、配置交换机的路由功能 .................................................................................................................... 9
Router>
# 显示稳定后，出现最初的提示符，提示符“>”表示目前所处的状态为用户模式。 Router>
Router>en
# 如果在当前状态下没有重复的命令，可以用“TAB”键来补齐命令
Router>enable
# 从用户模式(user mode)进入到特权模式(exec mode)，提示符变为“#”
1、基本概念介绍
IOS: 互联网操作系统，交换机和路由器常用操作系统 VLAN: 虚拟lan VTP: VLAN TRUNK PROTOCOL DHCP: 动态主机配置协议 ACL： 访问控制列表 三层交换机：具有三层路由转发能力的交换机
CISCO交换机基本配置和使用概述
CISCO交换机基本配置和使用概述CISCO交换机是一种常用的网络设备，用于构建局域网（Local Area Network，LAN）。
它可以通过物理线路的连接，将多台计算机或其他网络设备连接到同一个网络中，实现数据的传输和共享。
CISCO交换机的基本配置包括IP地址的配置、VLAN的配置、端口配置、安全性配置等。
接下来，我们将对这些配置进行详细说明。
首先，IP地址的配置是CISCO交换机的基本操作之一。
通过配置IP地址，我们可以对交换机进行管理和监控。
具体的配置步骤如下：1. 进入交换机的配置模式。
在命令行界面输入"enable"命令，进入特权模式。
2. 进入全局配置模式。
在特权模式下输入"configure terminal"命令，进入全局配置模式。
3. 配置交换机的IP地址。
在全局配置模式下输入"interfacevlan 1"命令，进入虚拟局域网1的接口配置模式。
然后输入"ip address 192.168.1.1 255.255.255.0"命令，配置交换机的IP地址和子网掩码。
4. 保存配置并退出。
在接口配置模式下输入"exit"命令，返回到全局配置模式。
然后输入"exit"命令，返回到特权模式。
最后输入"copy running-config startup-config"命令，保存配置到闪存中。
其次，VLAN的配置是CISCO交换机的关键配置之一。
通过配置VLAN，我们可以将交换机的端口划分为不同的虚拟局域网，实现数据的隔离和安全。
1. 进入交换机的配置模式。
同样，在特权模式下输入"configure terminal"命令，进入全局配置模式。
2. 创建VLAN。
在全局配置模式下输入"vlan 10"命令，创建一个编号为10的VLAN。
实验17 交换机端口安全
图 3 交换机端口绑定指定 mac 地址
五、背景描述 一是未经授权的用户主机随意连接到企业的网络中。 某公司员工从自己家里拿来一台电脑，可以在不经管理员同意的情况下，拔下某台主机的网线，插在
自己带来的电脑上。然后连入到企业的网路中。这会带来很大的安全隐患。如员工带来的电脑可能本身就 带有病毒。从而使得病毒通过企业内部网络进行传播。或者非法复制企业内部的资料等等。
三、实验内容 1．在交换机上配置端口安全，以及违例的处理方式。 2．两台交换机以交叉线相连，其中主交换机上连接一台 PC 机，以用来验证链路。次交换机下连接两
台 PC 机。在主交换机上配置最大安全地址数 maximum，验证端口 mac 地址数目超过最大安全地址数时，链 路不通，以指定的违例处理方式处理。
步骤 1．画出实验拓扑结构图。
步骤 2. 按实验拓扑图 1 连接设备。并对三台 PC 机进行 IP 设置。
步骤 3．交换机更改主机名。 主交换机改名为 SwitchA,次交换机改名为 SwitchB。
步骤 4．验证 PC0，PC1 与 PC2 三者之间都能 ping 通，说明交换机连接的网络是 ok 的。
Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security maximum 1
Switch(config-if)#switchport port-security violation shutdown
【思考二】：如果，主交换机 fa0/1 端口的最大的地址连接数改为 1，结果又如何呢？ 【思考三】：如果，主交换机 fa0/1 端口的最大的地址连接数改为 1，并且违例方式为 shutdown，结 果又如何呢？ 请将实验结果写在下方：