交换机端口安全Port-Security超级详解
锐捷交换机基于端口的安全控制
配置安全端口及违例处理方式
从特权模式开始，你可以通过以下步骤来配置一个安全端口和违例处理方式：
步骤1 步骤2 步骤3
步骤4 步骤5
步骤6
命令 configure terminal interface interface-id switchport mode access
128 无 保护(protect)
配置端口安全的限制
配置端口安全时有如下一些限制：
一个安全端口不能是一个aggregate port。 一个安全端口不能是SPAN的目的端口。 一个安全端口只能是一个access port。 一个千兆接口上最多支持120个同时申明IP地址和MAC地址的安全地址。另外，由于这种同时申明I P地址和MAC地址的安全地址占用的硬件资源与ACLs、802.1x认证功能所占用的系统硬件资源共享 ，因此当您在某一个端口上应用了ACLs或者您使能了802.1x认证功能，则相应地该端口上所能设置 的申明IP地址的安全地址个数将会减少。
Switch# configure terminal Switch(config)# interface fastethernet 0/3 Switch(config-if)# storm-control level 10 Switch(config-if)# storm-control multicast Switch(config-if)# end
含义 进入全局配置模式。 指明一个接口，并进入接口 配置模式。 将该接口设置为保护口 退回到特权模式。 验证配置 保存配置。
您可以通过命令 no switchport protected接口配置命令将一个端口重新设置为非保护口。
端口安全
本节包括以下内容： 概述 配置端口安全 查看端口安全信息
锐捷交换机基于端口的安全控制
风暴控制
本节包括以下内容： 概述 配置风暴控制 查看风暴控制使能状态
概述
当一个端口上接收到过量的广播、多播或未知名单播包时，一个数据包的风暴就会产生，这会导致 网络变慢和报文传输超时机率议栈的执行错误或对网络的错误配置都有可能导致风暴的产生。
验证你的配置。
保存配置(可选)。
你可以在接口配置模式下通过命令no storm-control broadcast ,no storm-control multicast , no storm-control unicast 来关闭接口相应的风暴控制功能。
下面的例子说明了打开物理端口fastethernet 0/3 上的多播风暴控制功能，配置为允许端口速率 10%的 多播报文通过。 并验证你的配置。
配置安全端口及违例处理方式
从特权模式开始，你可以通过以下步骤来配置一个安全端口和违例处理方式：
步骤1 步骤2 步骤3
步骤4 步骤5
步骤6
命令 configure terminal interface interface-id switchport mode access
如果一个端口被配置为一个安全端口，当其安全地址的数目已经达到允许的最大个数后，如果该端 口收到一个源地址不属于端口上的安全地址的包时，一个安全违例将产生。当安全违例将产生时， 你可以选择多种方式来处理违例，比如丢弃接收到的报文，发送违例通知或关闭相应端口等。
当你设置了安全端口上安全地址的最大个数后，你可以使用下面几种方式加满端口上的安全地址：
Interface
Broadcast Multicast Unicast Level
职业认证-锐捷认证-端口安全概述
Ruijie(config-FastEthernet 0/1)#switchport port-security ---端口保护功能应用生效
5|
端口安全配置检查
查看接入交换机绑定的安全表项
Ruijie#show port-security address
Vlan Mac Address (mins)
另外，还可以设定端口安全地址绑定IP+MAC，或 者仅绑定IP，用来限制必须符合绑定的以端口安全地址 为源MAC地址的报文才能进入交换机通信。
3|
端口安全配置
• 应用场景
– 客户网络需要针对某端口下只允许某些合法用户接入。需要通过端口安全绑定功能合 法用户表项，控制非法用户接入。同全局地址绑定功能不同的是端口安全是基于端口 进行地址绑定，控制合法用户接入网络的场景需求。
• ARP-CHECK支持的安全功能模块包含： ➢仅检测 IP 字段:端口安全的仅 IP 模式,Ip Source Guard 手工配置 的仅 IP 模式 ➢检测 IP+MAC 字段:端口安全的 IP+MAC 绑定模式,全局 IP+MAC 绑定功能,802.1x IP授权功能,Ip Source Guard 功能
端口安全规则 MAC最大数量 MAC绑定 MAC+VLAN绑定
IP绑定 IP+MAC+VLAN绑定
7|
处理规则
如果MAC最大数量>MAC绑定：自动学 习“MAC最大数量-MAC绑定”个MAC 作为IP/MAC过滤项 如果MAC最大数量=MAC绑定：只有被 绑定的MAC才能合法接入网络
---------- ---------------------
Fa0/1
华为交换机配置命令超详解
H3C交换机配置命令大全1、system-view 进入系统视图模式2、sysname 为设备命名3、display current-configuration 当前配置情况4、 language-mode Chinese|English 中英文切换5、interface Ethernet 1/0/1 进入以太网端口视图6、 port link-type Access|Trunk|Hybrid 设置端口访问模式7、 undo shutdown 打开以太网端口8、 shutdown 关闭以太网端口9、 quit 退出当前视图模式10、 vlan 10 创建VLAN 10并进入VLAN 10的视图模式11、 port access vlan 10 在端口模式下将当前端口加入到vlan 10中12、port E1/0/2 to E1/0/5 在VLAN模式下将指定端口加入到当前vlan中13、port trunk permit vlan all 允许所有的vlan通过H3C路由器1、system-view 进入系统视图模式2、sysname R1 为设备命名为R13、display ip routing-table 显示当前路由表4、 language-mode Chinese|English 中英文切换5、interface Ethernet 0/0 进入以太网端口视图6、配置IP地址和子网掩码7、 undo shutdown 打开以太网端口8、 shutdown 关闭以太网端口9、 quit 退出当前视图模式10、配置静态路由11、配置默认的路由H3C S3100 SwitchH3C S3600 SwitchH3C MSR 20-20 Router1、调整超级终端的显示字号；2、捕获超级终端操作命令行，以备日后查对；3、 language-mode Chinese|English 中英文切换；4、复制命令到超级终端命令行，粘贴到主机；5、交换机清除配置 :reset save ；reboot ；6、路由器、交换机配置时不能掉电，连通测试前一定要检查网络的连通性，不要犯最低级的错误。
82实验一：交换机端口聚合及端口安全配置
计算机网络工程实验
一、交换机端口聚合配置
技术原理
端口聚合（Aggregate-port）又称链路聚合，是指两台交
计 算 机 网 络 工 程
换机之间在物理上将多个端口连接起来，将多条链路聚 合成一条逻辑链路。从而增大链路带宽，解决交换网络 中因带宽引起的网络瓶颈问题。多条物理链路之间能够 相互冗余备份，其中任意一条链路断开，不会影响其他 链路的正常转发数据。 端口聚合遵循IEEE802.3ad协议的标准。
计算机网络工程实验
二、交换机端口安全配置
【背景描述】
你是一个公司的网络管理员，公司要求对网络进行严
计 算 机 网 络 工 程 【实验设备】
格控制。为了防止公司内部用户的IP地址冲突，防止 公司内部的网络攻击和破坏行为。为每一位员工分配 了固定的IP地址，并且限制只允许公司员工主机可以 使用网络，不得随意连接其他主机。例如：某员工分 配的IP地址是172.16.1.55/24，主机MAC地址是00-061B-DE-13-B4。该主机连接在1台2126G上。
计算机网络工程实验
二、交换机端口安全配置
注意事项 1. 交换机端口安全功能只能在ACCESS接口进行配 置 2. 交换机最大连接数限制取值范围是1~128，默认 是128. 3. 交换机最大连接数限制默认的处理方式是 protect。
计 算 机 网 络 工 程
计算机网络工程实验
思考题
1.用Cisco Packet Tracer配置交换机端口聚合
计算机网络工程实验
一、交换机端口聚合配置
【实验拓扑】
计 算 机 网 络 工 程
F0/23 F0/5 F0/24 NIC F0/23 F0/24 F0/5
实验17 交换机端口安全
图 3 交换机端口绑定指定 mac 地址
五、背景描述 一是未经授权的用户主机随意连接到企业的网络中。 某公司员工从自己家里拿来一台电脑，可以在不经管理员同意的情况下，拔下某台主机的网线，插在
自己带来的电脑上。然后连入到企业的网路中。这会带来很大的安全隐患。如员工带来的电脑可能本身就 带有病毒。从而使得病毒通过企业内部网络进行传播。或者非法复制企业内部的资料等等。
三、实验内容 1．在交换机上配置端口安全，以及违例的处理方式。 2．两台交换机以交叉线相连，其中主交换机上连接一台 PC 机，以用来验证链路。次交换机下连接两
台 PC 机。在主交换机上配置最大安全地址数 maximum，验证端口 mac 地址数目超过最大安全地址数时，链 路不通，以指定的违例处理方式处理。
步骤 1．画出实验拓扑结构图。
步骤 2. 按实验拓扑图 1 连接设备。并对三台 PC 机进行 IP 设置。
步骤 3．交换机更改主机名。 主交换机改名为 SwitchA,次交换机改名为 SwitchB。
步骤 4．验证 PC0，PC1 与 PC2 三者之间都能 ping 通，说明交换机连接的网络是 ok 的。
Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security maximum 1
Switch(config-if)#switchport port-security violation shutdown
【思考二】：如果，主交换机 fa0/1 端口的最大的地址连接数改为 1，结果又如何呢？ 【思考三】：如果，主交换机 fa0/1 端口的最大的地址连接数改为 1，并且违例方式为 shutdown，结 果又如何呢？ 请将实验结果写在下方：
华为交换机配置命令超详解
华为3COM交换机配置命令详解1、配置文件相关命令[Quidway]display current-configuration ;显示当前生效的配置[Quidway]display saved-configuration ；显示flash中配置文件，即下次上电启动时所用的配置文件<Quidway>reset saved-configuration ；檫除旧的配置文件<Quidway>reboot ；交换机重启<Quidway>display version ；显示系统版本信息2、基本配置[Quidway]super password ；修改特权用户密码[Quidway]sysname ；交换机命名[Quidway]interface ethernet 0/1 ；进入接口视图[Quidway]interface vlan x ；进入接口视图[Quidway-Vlan-interfacex]ip address 10.65.1.1 255.255.0.0 ；配置VLAN的IP地址[Quidway]ip route-static 0.0.0.0 0.0.0.0 10.65.1.2 ；静态路由＝网关3、telnet配置[Quidway]user-interface vty 0 4 ；进入虚拟终端[S3026-ui-vty0-4]authentication-mode password ；设置口令模式[S3026-ui-vty0-4]set authentication-mode password simple 222 ；设置口令[S3026-ui-vty0-4]user privilege level 3 ；用户级别4、端口配置[Quidway-Ethernet0/1]duplex {half|full|auto} ；配置端口工作状态[Quidway-Ethernet0/1]speed {10|100|auto} ；配置端口工作速率[Quidway-Ethernet0/1]flow-control ；配置端口流控[Quidway-Ethernet0/1]mdi {across|auto|normal} ；配置端口平接扭接[Quidway-Ethernet0/1]port link-type {trunk|access|hybrid} ；设置端口工作模式[Quidway-Ethernet0/1]undo shutdown ；激活端口[Quidway-Ethernet0/2]quit ；退出系统视图5、链路聚合配置[DeviceA] link-aggregation group 1 mode manual ；创建手工聚合组1 [DeviceA] interface ethernet 1/0/1 ；将以太网端口Ethernet1/0/1加入聚合组1[DeviceA-Ethernet1/0/1] port link-aggregation group 1[DeviceA-Ethernet1/0/1] interface ethernet 1/0/2 ；将以太网端口Ethernet1/0/1加入聚合组1[DeviceA-Ethernet1/0/2] port link-aggregation group 1[DeviceA] link-aggregation group 1 service-type tunnel # 在手工聚合组的基础上创建Tunnel业务环回组。
利用安全端口实现mac地址与端口绑定的配置
华为 S3600 产品利用安全端口实现mac地址与端口绑定的配置
时间:2010-04-29 10:57
一、组网需求：在终端较多的情况下，要求动态实现 mac地址跟端口的绑定，不用手工配置。
在交换机配置正确的情况下，只有第一次连接到该端口上的mac地址会被绑定到这个端口上。
二、组网图：三、配置步骤： S3900配置 1．进入系统视图。
H3C system-v
一、组网需求：
在终端较多的情况下，要求动态实现mac地址跟端口的绑定，不用手工配置。
在交换机配置正确的情况下，只有第一次连接到该端口上的mac地址会被绑定到这个端口上。
二、组网图：
三、配置步骤：
S3900配置
1．进入系统视图。
<H3C> system-view
2．使能端口安全机制。
[H3C] port-security enable
3．进入以太网e1/0/1端口视图。
[H3C] interface Ethernet1/0/1
4．设置端口允许接入的最大mac地址数为1
[H3C-Ethernet1/0/1] port-security max-mac-count 1
5．配置端口的安全模式为autolearn
[H3C-Ethernet1/0/1] port-security port-mode autolearn
四、配置关键点：
设置端口允许接入的最大mac地址数为1，即port-security max-mac-count 1。
配置端口的安全模式为autolearn，即port-security port-mode autolearn。
42-端口安全配置 MyPower S4330 V1.0 系列交换机配置手册
端口安全配置`本手册著作权属迈普通信技术有限公司所有，未经著作权人书面许可，任何单位或个人不得以任何方式摘录、复制或翻译。
侵权必究。
策划：研究院资料服务处* * *迈普通信技术有限公司地址：成都市高新区九兴大道16号迈普大厦技术支持热线：400-886-8669传真：（+8628）85148948E-mail：support@网址：邮编：610041版本：2011年 8月v1.0版目录第1章端口安全 (2)1.1端口安全简介 (2)1.2端口安全配置 (3)1.3配置举例 (5)第1章端口安全1.1 端口安全简介端口安全一般应用在接入层。
它能够对通过设备访问网络的主机进行限制，允许某些特定的主机访问网络，而其他主机均不能访问网络。
端口安全功能将用户的MAC地址、IP地址、VLAN ID 以及PORT号四个元素灵活绑定，杜绝非法用户接入网络，从而保证网络数据的安全性，并保证合法用户能够得到足够的带宽。
用户可以通过三种规则来限制可以访问网络的主机，这三种规则分别是MAC规则，IP 规则和MAX规则，MAC规则又分为三种绑定方式：MAC绑定，MAC+IP绑定，MAC+VID 绑定；IP规则可以针对某一IP 也可以针对一系列IP；MAX 规则用以限定端口可以学习到的（按顺序）最多MAC 地址数目，这个地址数目不包括MAC规则和IP规则产生的合法MAC地址。
在MAX规则下，又有sticky规则。
如果端口仅配置了拒绝规则，没有配置MAX 规则，其他报文均不能转发（通过允许规则检查的例外）。
Sticky规则的MAC地址，能够自动地学习，也能够手工地配置，并保存于运行的配置文件中。
如果设备重启前保存运行的配置文件，设备重启后，不需再去配置，这些MAC地址自动生效。
当端口下开启sticky功能，会将MAX规则学到的动态MAC地址添加成sticky 规则，并保存到运行的配置的文件中。
在MAX规则未学满的情况下，能允许继续学习新的MAC地址，形成sticky规则，直至sticky规则数达到MAX所配置的最大值。
思科Cisco交换机配置——端口安全配置实验案例图文详解
思科Cisco交换机配置——端⼝安全配置实验案例图⽂详解本⽂讲述了思科Cisco交换机端⼝安全配置实验。
分享给⼤家供⼤家参考，具体如下：⼀、实验⽬的：在交换机f0/1端⼝上设置安全配置，使PC1和PC2两台机中只有⼀台机器能够正常通信，另⼀台通信时端⼝则会⾃动关闭⼆、拓扑图如下三、实验步骤：1、先给各台主机配置IP地址（PC1、PC2、PC3）记录PC1或PC2的其中⼀台主机的mac地址2、配置交换机S1enable --进⼊特权模式config terminal --进⼊全局配置模式hostname S2 --修改交换机名为S1interface f0/1 --进⼊到f0/1端⼝shutdown --关闭f0/1端⼝switchport mode access --修改端⼝模式switchport port-security --修改端⼝为安全模式switchport port-security maximum 1 --配置mac地址最⼤数量为1switchport port-security violation shutdown --配置违反安全设置后的处理动作为关闭端⼝switchport port-security mac-address 0009.7C2D.DC67 --将PC1或PC2其中⼀台的mac地址与端⼝绑定no shutdown --激活端⼝end --返回特权模式copy running-config startup-config --保存配置3、分别测试PC1和PC2主机PingPC3主机PC1：正常PIng通PC2：不能正常Ping通违反端⼝安全导致端⼝关闭（如下图，），若想再次启动需要进⼊到f0/1端⼝先shutdown再no shutdown启动：S1：enable --进⼊特权模式config terminal --进⼊全局配置模式interface f0/1 --进⼊f0/1端⼝shutdown --关闭f0/1端⼝no shutdown --激活f0/1端⼝。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
.- 交换机端口安全Port-Security超级详解 交换安全】交换机端口安全Port-Security超级详解 一、Port-Security概述
在部署园区网的时候，对于交换机，我们往往有如下几种特殊的需求： • 限制交换机每个端口下接入主机的数量（MAC地址数量） • 限定交换机端口下所连接的主机（根据IP或MAC地址进行过滤） • 当出现违例时间的时候能够检测到，并可采取惩罚措施
上述需求，可通过交换机的Port-Security功能来实现： .- 二、理解Port-Security 1.Port-Security安全地址：secure MAC address 在接口上激活Port-Security后，该接口就具有了一定的安全功能，例如能够限制接口（所连接的）的最大MAC数量，从而限制接入的主机用户；或者限定接口所连接的特定MAC，从而实现接入用户的限制。那么要执行过滤或者限制动作，就需要有依据，这个依据就是安全地址 – secure MAC address。 安全地址表项可以通过让使用端口动态学习到的MAC（SecureDynamic），或者是手工在接口下进行配置（SecureConfigured），以及sticy MAC address（SecureSticky） 三种方式进行配置。 当我们将接口允许的MAC地址数量设置为1并且为接口设置一个安全地址，那么这个接口将只为该MAC所属的PC服务，也就是源为该MAC的数据帧能够进入该接口。
2.当以下情况发生时，激活惩罚（violation）： 当一个激活了Port-Security的接口上，MAC地址数量已经达到了配置的最大安全地址数量，并且又收到了一个新的数据帧，而这个数据帧的源MAC并不在这些安全地址中，那么启动惩罚措施 当在一个Port-Security接口上配置了某个安全地址，而这个安全地址的MAC又企图在同VLAN的另一个Port-Security接口上接入时，启动惩罚措施 当设置了Port-Security接口的最大允许MAC的数量后，接口关联的安全地址表项可以通过如下方式获取： • 在接口下使用switchport port-security mac-address 来配置静态安全地址表项 • 使用接口动态学习到的MAC来构成安全地址表项 • 一部分静态配置，一部分动态学习 .- 当接口出现up/down，则所有动态学习的MAC安全地址表项将清空。而静态配置的安全地址表项依然保留。
3.Port-Security与Sticky MAC地址 上面我们说了，通过接口动态学习的MAC地址构成的安全地址表项，在接口出现up/down后，将会丢失这些通过动态学习到的MAC构成的安全地址表项，但是所有的接口都用switchport port-security mac-address手工来配置，工作量又太大。因此这个sticky mac地址，可以让我们将这些动态学习到的MAC变成“粘滞状态”，可以简单的理解为，我先动态的学，学到之后我再将你粘起来，形成一条”静态“ （实际上是SecureSticky）的表项。 在up/down现象出现后仍能保存。而在使用wr后，这些sticky安全地址将被写入start-up config，即使设备重启也不会被丢失。
三、默认的Port-Security配置 • Port-Security 默认关闭 • 默认最大允许的安全MAC地址数量 1 • 惩罚模式 shutdown（进入err-disable状态），同时发送一个SNMP trap
四、Port-Security的部署注意事项 1.Port-Security配置步骤 a) 在接口上激活Port-Security Port-Security开启后，相关参数都有默认配置，需关注 b) 配置每个接口的安全地址（Secure MAC Address） 可通过交换机动态学习、手工配置、以及stciky等方式创建安全地址 c) 配置Port-Security惩罚机制 默认为shutdown，可选的还有protect、restrict d) （可选）配置安全地址老化时间
2.关于被惩罚后进入err-disable的恢复： 如果一个psec端口由于被惩罚进入了err-disable，可以使用如下方法来恢复接口的状态： • 使用全局配置命令：err-disable recovery psecure-violation • 手工将特定的端口shutdown再noshutdown
3.清除接口上动态学习到的安全地址表项 • 使用clear port-security dynamic命令，将清除所有port-security接口上通过动态学习到的安全地址表项 • 使用clear port-security sticky 命令，将清除所有sticky安全地址表项 • 使用clear port-security configured命令，将清除所有手工配置的安全地址表项 .- • 使用clear port-security all命令，将清除所有安全地址表项 • 使用show port-security address来查看每个port-security接口下的安全地址表项
4.关于sticky安全地址 Sticky安全地址，是允许我们将Port-Security接口通过动态学习到的MAC地址变成“粘滞”的安全地址，从而不会由于接口的up/down丢失。然而如果我们希望在设备重启之后，这个sticky的安全地址表项仍然存在，那么就需要wr一下。将配置写入start-up config文件。Sticky安全地址也是一个简化我们管理员操作的一个很好的工具，毕竟现在不用再一条条的手工去绑了。
5.port-security支持private vlan 6.port-security支持802.1Q tunnel接口 7.port-security不支持SPAN的目的接口 8.port-security不支持etherchannel的port-channel接口 9.在CISCO IOS 12.2(33)SXH 以及后续的版本，我们可以将port-security及802.1X部署在同一个接口上。而在此之前的软件版本： • 如果你试图在一个port-security接口上激活8021.X则会报错，并且802.1X功能无法开启 • 如果你试图在一个802.1X接口上激活port-security则也会报错，并且port-security特性无法开启 10.Port-Security支持nonegotiating trunk 接口 Port-Security 支持在如下配置的trunk上激活 switchport switchport trunk encapsulation ? switchport mode trukn switchport nonegotiate
• If you reconfigure a secure access port as a trunk, port security converts all the sticky and static secure addresses on that port that were dynamically learned in the access VLAN to sticky or static secure addresses on the native VLAN of the trunk. Port security removes all secure addresses on the voice VLAN of the access port. • If you reconfigure a secure trunk as an access port, port security converts all sticky and static addresses learned on the native VLAN to addresses learned on the access VLAN of the access port. Port security removes all addresses learned on VLANs other than the native VLAN. 11.Flex links和Port-Security互不兼容
五、Port-security的配置 1.激活Port-Security（在access接口上） .- Switch(config)# interface fast0/1 Switch(config-if)# switchport Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 10 Switch(config-if)# switchport port-security
接口的Port-Security特性一旦激活后，默认的最大安全地址个数为1，也就是说，在不进行手工配置安全地址的情况下，这个接口将使用其动态学习到的MAC作为安全地址，并且，这个接口相当于被该MAC（所属的设备）独占。而且默认的violation是shutdown
SW1#show port-security interface f0/1 Port Security : Enabled Port Status : Secure-up !!接口目前的状态是up的 Violation Mode : Shutdown !!违例后的惩罚措施，默认为shutdown Aging Time : 0 mins Aging Type : Absolute SecureStatic Address Aging : Disabled Maximum MAC Addresses : 1 !!最大安全地址个数，默认为1 Total MAC Addresses : 0 Configured MAC Addresses : 0 !!手工静态配置的安全MAC地址，这里没配 Sticky MAC Addresses : 0 !!sticky的安全地址，这里没有 Last Source Address:Vlan : 00b0.1111.2222:10 !!最近的一个安全地址+vlan