1、路由交換技術(shù)與實(shí)踐工業(yè)和信息化“十三五”高職高專人才培養(yǎng)規(guī)劃教材項(xiàng)目18交換機(jī)端口安全的配置人民郵電出版社知識(shí)梳理用戶需求方案設(shè)計(jì)項(xiàng)目實(shí)施拓展訓(xùn)練一、用戶需求 某學(xué)校辦公網(wǎng)絡(luò)部分網(wǎng)絡(luò)拓?fù)鋱D如圖所示，為了提高網(wǎng)絡(luò)的安全性，不允許接入交換機(jī)的不合法用戶訪問(wèn)網(wǎng)絡(luò)。怎樣實(shí)現(xiàn)這樣的功能？二、知識(shí)梳理端口安全 端口安全限制端口上所允許的有效MAC地址的數(shù)量，可以為安全端口分配安全MAC地址，當(dāng)數(shù)據(jù)包的源地址不是已定義的安全地址時(shí)，端口不會(huì)轉(zhuǎn)發(fā)。二、知識(shí)梳理安全MAC地址類型靜態(tài)安全MAC地址 靜態(tài)安全MAC地址是使用命令手動(dòng)配置的交換機(jī)端口的安全MAC地址，存儲(chǔ)在地址表中，并添加到交換機(jī)的運(yùn)行配置中。動(dòng)態(tài)

2、安全MAC地址 動(dòng)態(tài)安全MAC地址是動(dòng)態(tài)學(xué)習(xí)到的，并且僅存儲(chǔ)在地址表中。動(dòng)態(tài)安全MAC地址在交換機(jī)重新啟動(dòng)時(shí)將被移除。粘滯安全MAC地址 當(dāng)在端口上啟用安全MAC地址粘滯學(xué)習(xí)時(shí)，端口會(huì)將所有動(dòng)態(tài)安全MAC地址（包括那些在啟用粘滯獲取之前動(dòng)態(tài)獲得的MAC地址）轉(zhuǎn)換為粘滯安全MAC地址，并將所有粘滯安全MAC地址添加到運(yùn)行配置中。二、知識(shí)梳理安全違規(guī)模式保護(hù) 保護(hù)違規(guī)模式下，當(dāng)安全MAC地址的數(shù)量達(dá)到端口允許的限制時(shí)，帶有未知源地址的數(shù)據(jù)包將被丟棄，保護(hù)安全違規(guī)模式不會(huì)發(fā)送安全違規(guī)的通知。限制 限制違規(guī)模式下，當(dāng)安全MAC地址的數(shù)量達(dá)到端口允許的限制時(shí)，帶有未知源地址的數(shù)據(jù)包將被丟棄，該模式會(huì)發(fā)送

3、SNMP Trap消息，記錄系統(tǒng)日志，并增加違規(guī)計(jì)數(shù)器的計(jì)數(shù)。關(guān)閉 關(guān)閉違規(guī)模式下，端口安全違規(guī)將造成端口立即變?yōu)殄e(cuò)誤禁用（err-disabled ）狀態(tài)，并關(guān)閉端口LED。該模式還會(huì)發(fā)送SNMP Trap消息、記錄系統(tǒng)日志并增加違規(guī)計(jì)數(shù)器的計(jì)數(shù)。二、知識(shí)梳理配置命令啟用端口安全和設(shè)置端口的違規(guī)模式 Switch(config-if)#switchport port-security violation protect | restrict | shutdown 設(shè)置端口允許通過(guò)的最大MAC地址數(shù)量 Switch(config-if)#switchport port-security max

4、imum value設(shè)置靜態(tài)安全MAC地址 Switch(config-if)#switchport port-security mac-address mac-address設(shè)置粘滯安全MAC地址 Switch(config-if)#switchport port-security mac-address sticky mac-address 顯示交換機(jī)或指定端口的端口安全設(shè)置 Switch# show port-security interface interface-id顯示所有交換機(jī)端口或某個(gè)指定端口上配置的所有安全MAC地址 Switch# show port-security in

5、terface interface-id address三、方案設(shè)計(jì) 網(wǎng)絡(luò)拓?fù)鋱D中，若要實(shí)現(xiàn)不允許接入交換機(jī)的不合法用戶訪問(wèn)網(wǎng)絡(luò)，可以啟用端口安全（啟用端口安全后，不合法的設(shè)備無(wú)法訪問(wèn)網(wǎng)絡(luò)），可以采用靜態(tài)端口安全、動(dòng)態(tài)端口安全或粘滯端口安全，端口的違規(guī)模式可以配置為保護(hù)、限制或關(guān)閉。四、項(xiàng)目實(shí)施靜態(tài)端口安全的配置 網(wǎng)絡(luò)拓?fù)鋱D如圖所示，計(jì)算機(jī)PC1的MAC地址為54be.f74e.2456，計(jì)算機(jī)PC2的MAC地址為54be.f74e.2502。為了防止不合法用戶訪問(wèn)網(wǎng)絡(luò)，要求配置靜態(tài)端口安全，使交換機(jī)的f0/2端口只允許計(jì)算機(jī)PC1接入，交換機(jī)f0/3端口只允許PC2接入，一旦兩個(gè)端口有非法計(jì)

6、算機(jī)接入，將進(jìn)入關(guān)閉模式。四、項(xiàng)目實(shí)施動(dòng)態(tài)端口安全的配置 網(wǎng)絡(luò)拓?fù)鋱D如圖所示，為了防止不合法用戶訪問(wèn)網(wǎng)絡(luò)，要求配置動(dòng)態(tài)端口安全，使交換機(jī)S1的f0/3端口只允許兩臺(tái)計(jì)算機(jī)接入，一旦交換機(jī)端口有不合法計(jì)算機(jī)接入，端口將進(jìn)入保護(hù)違規(guī)模式。四、項(xiàng)目實(shí)施粘滯端口安全的配置 網(wǎng)絡(luò)拓?fù)鋱D如圖所示，為了防止不合法用戶訪問(wèn)網(wǎng)絡(luò)，要求配置粘滯端口安全，使交換機(jī)S1的f0/3端口只允許1臺(tái)計(jì)算機(jī)接入，一旦有非法計(jì)算機(jī)接入，端口將進(jìn)入限制安全違規(guī)模式。五、拓展訓(xùn)練網(wǎng)絡(luò)拓?fù)鋱D如圖所示 ，要求完成如下配置。完成靜態(tài)端口安全的配置，使交換機(jī)S1的f0/1端口僅允許計(jì)算機(jī)PC1接入。當(dāng)有其他計(jì)算機(jī)接入時(shí)，端口將進(jìn)入保護(hù)安全違規(guī)模式。完成動(dòng)態(tài)端口安全的配置，使交換機(jī)S1的f0/2端口僅允許兩臺(tái)計(jì)算機(jī)接入。