思科交换机Port-Security配置
思科交换机端口安全思科交换机端口安全(Port-Security)(Port-Security)Cisco Catalyst 交换机端口安全（Port-Security） 1、 Cisco29 系列交换机可以做基于 2 层的端口安全，即 mac 地址与端口进行 绑定。 2、 Cisco3550 以上交换机均可做基于 2 层和 3 层的端口安全，即 mac 地址与 端口绑定以及 mac 地址与 ip 地址绑定。 3、以 cisco3550 交换机为例做 mac 地址与端口绑定的可以实现两种应用： a、设定一端口只接受第一次连接该端口的计算机 mac 地址，当该端口第一次获 得某计算机 mac 地址后，其他计算机接入到此端口所发送的数据包则认为非法，做丢弃处理。b、设定一端口只接受某一特定计算机 mac 地址，其他计算机均无法接入到此端 口。4、破解方法：网上前辈所讲的破解方法有很多，主要是通过更改新接入计算机 网卡的 mac 地址来实现，但本人认为，此方法实际应用中基本没有什么作用，原 因很简单，如果不是网 管，其他一般人员平时根本不可能去注意合法计算机的 mac 地址，一般情况也无法进入合法计算机去 获得 mac 地址，除非其本身就是该局 域网的用户。 5、实现方法： 针对第 3 条的两种应用，分别不同的实现方法 a、接受第一次接入该端口计算机的 mac 地址： Switch#config terminal Switch(config)#inte*ce inte*ce-id 进入需要配置的端口 Switch(config-if)#switchport mode access 设置为交换模式 Switch(config-if)#switchport port-security 打开端口安全模式 Switch(config-if)#switchport port-security violation protect | restrict | shutdown /针对非法接入计算机，端口处理模式丢弃数据包，不发警告 | 丢弃数据包， 在 console 发警告 | 关闭端口为 err-disable 状态，除非管理员手工激活，否则该端口失效。 b、接受某特定计算机 mac 地址： Switch(config-if)#switchport mode accessSwitch(config-if)#switchport port-security Switch(config-if)#switchport port-security violation protect | restrict | shutdown /以上步骤与 a 同 Switch(config-if)#switchport port-security mac-address sticky Switch(config-if)#switchport port-security aging static /打开静态映 射 Switch(config-if)#switchport port-security mac-address sticky *X.*X.*X /为端口输入特定的允许通过的 mac 地址 mac 地址与 ip 地址绑定基本原理： 在交换机内建立 mac 地址和 ip 地址对应的映射表。端口获得的 ip 和 mac 地址 将匹配该表，不符合则丢弃该端口发送的数据包。 实现方法： Switch#config terminal Switch(config)#arp 1.1.1.1 0001.0001.1111 arpa 该配置的主要注意事项：需要将网段内所有 IP 都建立 MAC 地址映射，没有使用 的 IP 地址可以与0000.0000.0000 建立映射。否则该绑定对于网段内没有建立映射的 IP 地址无 效。 最常用的对端口安全的理解就是可根据 MAC 地址来做对网络流量的控制和管理， 比如 MAC 地址与具体的端口绑定，*具体端口通过的 MAC 地址的数量，或者 在具体的端口不允许某些 MAC 地址的帧流量通过。稍微引申下端口安全，就是可以根据 802.1X 来控制网络的访问流量。 首先谈一下 MAC 地址与端口绑定，以及根据 MAC 地址允许流量的配置。 1.MAC 地址与端口绑定，当发现主机的 MAC 地址与交换机上指定的 MAC 地址不 同时，交换机相应的端口将down 掉。当给端口指定 MAC 地址时，端口模式必须为 access 或者 Trunk 状态。3550-1#conf t3550-1(config)#int f0/13550-1(config-if)#switchport mode access /指定端口模式。3550-1(config-if)#switchport port-security mac-address 00-90-F5- 10-79-C1 /配置 MAC 地址。3550-1(config-if)#switchport port-security maximum 1 /*此端口允许通过的 MAC 地址数为 1。3550-1(config-if)#switchport port-security violation shutdown /当发现与上述配置不符时，端口 down 掉。 2.通过 MAC 地址来*端口流量，此配置允许一接口最多通过 100 个 MAC 地址， 超过 100 时，但来自新的主机的数据帧将丢失。3550-1#conf t3550-1(config)#int f0/13550-1(config-if)#switchport mode access3550-1(config-if)#switchport port-security maximum 100 /允许此端 口通过的最大 MAC 地址数目为 100。3550-1(config-if)#switchport port-security violation protect /当 主机 MAC 地址数目超过 100时，交换机继续工作，但来自新的主机的数据帧将丢失。 上面的配置根据 MAC 地址来允许流量，下面的配置则是根据 MAC 地址来拒绝流 量 1.此配置在 Catalyst 交换机中只能对单播流量进行过滤，对于多播流量则无效。3550-1#conf t3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 drop /在相应的 Vlan 丢弃流量。3550-1#conf t3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 int f0/1 /在相应的接口丢弃流量。 你可以配置接口的三种违规模式 ·protect: 当 mac 地址的数量达到了这个端口所最大允许的数量，带有未知的源地址的包 就会被丢弃，直到删除了足够数量的 mac 地址，来降下最大数值之后才会不丢弃。 ·restrict: 一个*数据和并引起“安全违规“计数器的增加的端口安全违规动作。 ·shutdown: 一个导致接口马上 shutdown，并且发送 SNMP 陷阱的端口安全违规动作。当一 个安全端口处在 error-disable 状态，你要恢复正常必须得 敲入全局下的 errdisable recovery cause psecure-violation 命令，或者你可以手动的 shut 再 no shut 端口。这个是端口安全违规的默认动作。默认的端口安全配置： 以下是端口安全在接口下的配置- 特性：port-sercurity 默认设置：关闭的。 特性：最大安全 mac 地址数目 默认设置：1 特性：违规模式 默认配置：shutdown，这端口在最大安全 mac 地址数量达到 的时候会 shutdown，并发snmp 陷阱。 配置向导： 下面是配置端口安全的向导- ·安全端口不能在动态的 access 口或者 trunk 口上做，换言之，敲 port- secure 之前必须的是 switchmode acc 之后。 ·安全端口不能是一个被保护的口。 ·安全端口不能是 SPAN 的目的地址。 ·安全端口不能属于 GEC 或 FEC 的组。 ·安全端口不能属于 802.1x 端口。如果你在安全端口试图开启 802.1x，就会 有报错信息，而且 802.1x 也关了。如果你试图改变开启了 802.1x 的端口为安全端口，错误信息就会出现， 安全性设置不会改变。配置案例： 1.在 f0/12 上最大 mac 地址数目为 5 的端口安全，违规动作为默认。 switch#config t Enter configuration commands, one per line. End with CNTL/Z. switch(config)#int f0/12 switch(config-if)#swi mode acc switch(config-if)#swi port-sec switch(config-if)#swi port-sec max 5 switch(config-if)#end switch#show port-sec int f0/12 Security Enabled:Yes, Port Status:SecureUp Violation Mode:Shutdown Max. Addrs:5, Current Addrs:0, Configure Addrs:02.如何配置 f0/12 安全 mac 地址 switch(config)#int f0/12 switch(config-if)#swi mode acc switch(config-if)#swi port-secswitch(config-if)#swi port-sec mac-add 1111.1111.1111 switch(config-if)#end switch#show port-sec add Secure Mac Address Table -Vlan Mac Address Type Ports - - - -1 1000.2000.3000 SecureConfigured Fa0/12 3.配置端口安全超时时间两小时。 switch(config)#int f0/12 switch(config)#swi port-sec aging time 120 4.端口安全超时时间 2 分钟，给配置了安全地址的接口，类型为 inactivity aging： switch(config-if)#swi port-sec aging time 2 switch(config-if)#swi port-sec aging type inactivity switch(config-if)#swi port-sec aging static show port-security inte*ce f0/12 可以看状态. 其他 show show port-security 看哪些接口启用了端口安全. show port-security address 看安全端口 mac 地址绑定关系. = =
