《网络配置与管理项目9课件》由会员分享，可在线阅读，更多相关《网络配置与管理项目9课件（25页珍藏版）》请在金锄头文库上搜索。
1、网络设备配置与管理项目项目9配置交换机端口安全配置交换机端口安全【职业能力目标】1.掌握交换机端口安全作用。2.掌握交换机端口的IP地址绑定方法。3.掌握交换机端口的MAC地址绑定方法。任务1配置交换机的端口安全（1）任任务务情情境境你是某公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的网络攻击和破坏行为，为每个员工分配了固定的IP地址，并且限制只允许公司内部员工主机可以使用网络，不得随意连接其他主机。任务分析任务分析对于这一工作任务，公司网络接入交换机的所有端口配置最大连接数为“1”，并对公司内部每台主机连接的交换机端口进行MAC地址绑定。模拟网络拓扑图如图所示。任务1配
2、置交换机的端口安全（1）任务实施任务实施1 1PCPC机配置机配置主机PC0的IP地址配置为，子网掩码为，网关为；主机PC1的IP地址配置为，子网掩码为，网关为；主机PC2的IP地址配置为，子网掩码为，网关为。任务1配置交换机的端口安全（1）任务实施任务实施2 2交换机配置交换机配置第一步：进入全局配置模式第一步：进入全局配置模式SwitchenableSwitch #configure terminal Switch (config)#第二步：配置交换机端口的最大连接数限制第二步：配置交换机端口的最大连接数限制Switch (config)#interface range fastEther
3、net 0/1-23Switch (config-if-range)#switchport port-securitySwitch (config-if-range)#switchport port-security maximum 1Switch (config-if-range)#switchport port-security violation shutdownSwitch (config-if-range)#end任务1配置交换机的端口安全（1）任务实施任务实施2 2交换机配置交换机配置第三步：配置交换机端口地址的绑定第三步：配置交换机端口地址的绑定第四步：验证交换机端口安全功能效果
4、第四步：验证交换机端口安全功能效果在PC0连接交换机FA 0/1口、PC1连接交换机FA 0/2口、PC2连接交换机FA 0/10口情况下，PC0、PC1、PC2都能够PING通，测试结果如图所示。任务1配置交换机的端口安全（1）任务实施任务实施2 2交换机配置交换机配置第三步：配置交换机端口地址的绑定第三步：配置交换机端口地址的绑定Switch (config)#interface fastEthernet 0/1Switch (config-if)#switchport port-securitySwitch (config-if)#switchport port-security mac
5、Switch (config-if)#exitSwitch(config)#Switch (config)#interface fastEthernet 0/2Switch (config-if)#switchport port-securitySwitch (config-if)#switchport port-security macSwitch (config-if)#exitSwitch(config)#Switch (config)#interface fastEthernet 0/10Switch (config-if)#switchport port-securitySwitch
6、 (config-if)#switchport port-security macSwitch (config-if)#exit任务1配置交换机的端口安全（1）任务实施任务实施3 3交换机配置交换机配置第四步：验证交换机端口安全功能效果第四步：验证交换机端口安全功能效果将PC0、PC1、PC2任何一个连接的交换机接口互换，PC0、PC1、PC2都不能够PING通，测试结果如图所示任务1配置交换机的端口安全（1）相关知识相关知识1 1端口安全概述端口安全概述利用交换机端口安全这个特性，可以实现网络接入安全，具体可以通过限制允许访问交换机上某个端口的MAC地址以及IP来实现严格控制对该端口的输入。
7、当设置了安全端口上安全地址的最大个数后，可以使用下面几种方式加满端口上的安全地址。（1）使用接口配置模式下的命令switchport port-security mac-address mac-addressip-address ip-address来手工配置端口的所有安全地址。（2）让该端口自动学习地址，这些自动学习到的地址将变成该端口上的安全地址，直到达到最大个数。任务1配置交换机的端口安全（1）相关知识相关知识1 1端口安全概述端口安全概述当违例产生时，你可以设置下面几种针对违例的处理模式。（1）protect：当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一
8、个）的数据包。（2）restrict：当违例产生时，将发送一个Trap通知。（3）shutdown：当违例产生时，将关闭端口并发送一个Trap通知。任务1配置交换机的端口安全（1）相关知识相关知识2 2端口安全配置端口安全配置（1）默认配置值。交换机端口安全的具体内容有四项，它的默认配置如表所示。任务1配置交换机的端口安全（1）相关知识相关知识2 2端口安全配置端口安全配置（2）端口安全限制。交换机配置端口安全时有如下一些限制。一个安全端口不能是一个aggregate port。一个安全端口只能是一个access port。（3）配置方法。从特权模式开始，你可以通过表所示的步骤来配置一个安全端
9、口和违例处理方式。任务1配置交换机的端口安全（1）相关知识相关知识2 2端口安全配置端口安全配置（4）IP地址及MAC地址绑定。从特权模式开始，你可以通过表所示步骤来手工配置一个安全端口上的安全地址。任务1配置交换机的端口安全（1）相关知识相关知识2 2端口安全配置端口安全配置（5）安全地址的老化时间。可以为一个端口上所有安全地址配置老化时间。具体步骤如表所示。任务1配置交换机的端口安全（1）相关知识相关知识2 2端口安全配置端口安全配置（6）查看交换机端口安全信息。在特权模式开始，可以通过表9.5所示命令来查看端口安全信息。任务1配置交换机的端口安全（1）拓展知识拓展知识1.1.交换机风暴控
10、制交换机风暴控制（1）概述。当交换机VLAN中存在过量的广播、多播或未知的单播包时，就会导致网络变慢和报文传输超时的几率大大增加。这种情况称为LAN风暴。协议栈的执行错误或对网络的错误配置都有可能导致风暴的产生。（2）配置风暴控制。在接口配置模式下，使用如下命令配置风暴控制。Switch(config-if)#storm-control broadcast|multicast|unicastlevel percent|pps packets|rate-bps（3）查看风暴控制状态，使用如下命令。Switch#show storm-controlinterface-id任务1配置交换机的端口安全
11、（1）拓展知识拓展知识2.2.交换机端口保护（交换机端口保护（Protected PortProtected Port）（1）概述。有些应用环境下，要求一台设备上的的有些端口之间不能通信。在这种环境下，这些端口之间不论是广播帧、多播帧或单播帧，都只有通过三层设备才能通信。您可以通过将某些端口设置为保护口（Protected Port），这样，保护口之间无法通信，保护口和非保护口之间可以正常通信。（2）配置保护口。配置保护口使用如下命令。Switch(config-if)#switchport protected通过no switchport protected命令将一个端口重新设置为非保护口。
12、（3）显示保护端口使用如下命令。Switch(config-if)#show interface switchport任务1配置交换机的端口安全（1）任务2配置交换机端口安全（2）任务情境任务情境你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是，主机MAC地址是。任务分析任务分析交换机端口安全主要有两种类型：一是限制交换机端口的最大连接数；二是针对交换机端口进行MAC地址、IP地址的绑定；配置交换
13、机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种：（1）protect 当安全地址个数满后，安全端口将丢弃未知地址的包；（2）restrict当违例产生时，将发送一个trap通知；（3）shutdown当违例产生时，将关闭端口并发送一个trap通知；当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。网络拓扑图如图所示。任务2配置交换机端口安全（2）任务实施任务实施第第1 1步：配置交换机端口的最大连接数限制步：配置交换机端口的最大连接数限制Switch#configure term
14、inalSwitch(config)#interface range fastethernet 0/1-23 ！打开交换机1-23端口 Switch(config-if-range)# switchport mode accessSwitch(config-if-range)#switchport port-security ！开启1-23安全端口功能Switch(config-if-range)#switchport port-security maximum 1 ！开启端口的最大连接数为1任务2配置交换机端口安全（2）任务实施任务实施第第2 2步：配置安全违例的处理方式步：配置安全违例的处
15、理方式Switch(config-if-range)#switchport port-security violation shutdown ！ shutdown第第3 3步：验证测试：查看交换机的端口安全配置步：验证测试：查看交换机的端口安全配置Switch#show port-security任务2配置交换机端口安全（2）任务实施任务实施第第4 4步：配置交换机端口的地址绑定步：配置交换机端口的地址绑定在PC1主机上打开CMD命令提示符窗口，执行Ipcinfig/All命令，查看测试计算机PC1的IP和MAC地址信息:MAC 地址Switch#configure terminalSwitc
16、h(config)#interface fastethernet 0/3 Switch(config-if)#switchport port-securitySwitch(config-if)#switchport port-security mac-address 0090.210E.55A0 Ip-address 172.16.1.23 ！配置地址绑定 第第5 5步：查看地址绑定配置步：查看地址绑定配置Switch#show port-security address任务2配置交换机端口安全（2）项目9配置交换机端口安全小结小结本章主要介绍了交换机端口安全的配置方法，在交换机端口上实施安全措施，可以实现在端口上指定一组允许的有效MAC地址、在任意时刻只允许一个MAC地址访问端口、指定端口在检测到未经授权的MAC地址时将自动关闭。项目9配置交换机端口安全实战强化实战强化对如下拓扑图的交换机SW0进行端口绑定，要求：（1）限制交换机端口最大连接数，最大连接数的取值是1。（2）交换机端口进行MAC地址绑定。（3）交换机端口进行IP地址绑定 （要在三层设备上配置）（4）产生安全违例的处理方式为protect。
