教案-二层交换机端口与MAC地址的绑定

1、教案课程名称 网络设备 授课年级 高一 学校 电子职校 教师姓名 李萱章节名称二层交换机上的端口与MAC绑定计划学时2课时教学目标1、了解什么是交换机的MAC绑定功能； 2、熟练掌握MAC与端口绑定的静态、动态方式。设计思路通过模拟构建的工作场景，使学生能够以工作过程的形式进行学习。教学环节教学内容、所用时间、教师活动、学生活动引入新课在日常工作中，经常会发生用户随意插拔交换机上的网线，给网管员在网络管理上带来一定的不便。同时也会出现在一个交换机端口下连接另一个Hub或交换机，导致网络线路的拥堵。当网络中某机器由于中毒进而引发大量的广播数据包在网络中洪泛时，网络管理员的唯一想法就是尽快地找到根

2、源主机并把它从网络中暂时隔离开。当网络的布置很随意时，任何用户只要插上网线，在任何位置都能够上网，这虽然使正常情况下的大多数用户很满意，但一旦发生网络故障，网管人员却很难快速准确定位根源主机。 希望通过一定的方法，固定每台计算机连接的交换机端口，方便网管员日常的维护与更新。新课教学通过端口绑定特性，网络管理员可以将用户的MAC 位置和IP 位置绑定到指定的端口上。进行绑定操作后，交换机只对从该端口收到的指定MAC 位置和IP 位置的用户发出的报文进行转发，提高了系统的安全性，增强了对网络安全的监控。我们通常说的MAC位置与交换机端口绑定其实就是交换机端口安全功能。端口安全功能能让您配置一个端口

3、只允许一台或者几台确定的设备访问那个交换机；能根据MAC位置确定允许访问的设备；允许访问的设备的MAC位置既可以手工配置，也可以从交换机“学到”；当一个未批准的MAC位置试图访问端口的时候，交换机会挂起或者禁用该端口等等。【实验一】 二层交换机端口静态绑定MAC位置1.1 实验设备1、2950-24交换机1台 2、PC机2台 3、交叉线1根 4、直通网线2根 1.2 组网图1.3 实验设备IP位置及要求设备名IP位置子网掩码VLAN 1192.168.1.11 255.255.255.0PC1192.168.1.1255.255.255.0PC2 192.168.1.2255.255.255.

4、0PC1连接F0/1端口，并且在F0/1上将PC1的MAC位置绑定，PC1能PING通交换机。PC2连接F0/2端口，并且在F0/2上将PC2的MAC位置绑定，PC2能PING通交换机。若将PC1更换到F0/2上，则不能PING通交换机。同理PC2更换到F0/1上，也不能PING通交换机。1.4配置过程和解释PC机上的IP位置请自行设置完成。第一步：得到PC1主机的mac位置 PC>ipconfig /allPhysical Address.: 00E0.A323.5CE1IP Address.: 192.168.1.1Subnet Mask.: 255.255.255.0Default

5、 Gateway.: 0.0.0.0DNS Servers.: 0.0.0.0我们得到了PC1主机的mac位置为：00E0.A323.5CE1第二步：配置交换机的IP位置 Switch(config)#int vlan 1Switch(config-if)#ip add 192.168.1.11 255.255.255.0Switch(config-if)#no shutdownSwitch(config-if)#exit第三步：使能F0/1端口的MAC位置绑定功能 Switch(Config)#interface F0/1 Switch(config-if)#switchport mode

6、access 将端口模式设置为access模式Switch(config-if)#switchport port-security命令：switchport port-security no switchport port-security 功能：使能端口MAC位置绑定功能；本命令的no操作为关闭端口MAC位置绑定功能。 命令模式：端口配置模式 缺省情况：交换机端口不打开MAC位置绑定功能。 使用指南：MAC位置绑定功能与802.1x、Spanning Tree、端口汇聚功能存在互斥关系，因此如果要打开端口的MAC位置绑定功能，就必须关闭端口上的802.1x、Spanning Tree、端口汇

7、聚功能，且打开MAC位置绑定功能的端口不能是Trunk口。 Switch(config-if)#第四步：添加端口静态安全MAC位置，缺省端口最大安全MAC位置数为1 Switch(config-if)#switchport port-security mac-address 00E0.A323.5CE1 命令：switchport port-security mac-address <mac-address> no switchport port-security mac-address <mac-address> 功能：添加静态安全MAC位置；本命令的no操作为删除静

8、态安全MAC位置。 命令模式：端口配置模式 参数：<mac-address>为添加/删除的MAC位置。 使用指南：端口必须使能MAC位置绑定功能之后才能添加端口静态安全MAC位置。 第五步：配置违反MAC安全采取的措施Switch(config-if)#switchport port-security violation restrict 命令：switchport port-security violation protect | restrict | shutdown no switchport port-security violation 功能: 当超过设定MAC位置数量的

9、最大值，或访问该端口的设备MAC位置不是这个MAC位置表中该端口的MAC位置，或同一个VLAN中一个MAC位置被配置在几个端口上时，就会引发违反MAC位置安全。命令模式：端口配置模式参数：protect（保护模式）：丢弃数据包，不发警告。    restrict（限制模式）：丢弃数据包，发警告，发出SNMP trap，同时被记录在syslog日志里。    shutdown（关闭模式）：这是交换机默认模式，在这种情况下端口立即变为err-disable状态，并且关掉端口灯，发出SNMP trap，同时被记录在syslog日志里，除非管

10、理员手工激活，否则该端口失效。查看配置： Switch#show port-security address 命令：show port-security address interface <interface-id> 功能：显示端口安全MAC位置。 命令模式：特权配置模式 参数：<interface-id> 指定的显示端口。 使用指南：本命令显示端口安全MAC位置信息，如果不指定端口则显示所有端口安全MAC位置。显Secure Mac Address Table-Vlan Mac Address Type Ports Remaining ge(mins)- - - -

11、 -1 00E0.A323.5CE1 DynamicConfigured FastEthernet0/1- 验证配置：PC1连接在F0/1上，使能F0/1端口Switch(config)#int f0/1Switch(config-if)#shutdown Switch(config-if)#no shutdown PC1与交换机的PING命令测试结果PC>ping 192.168.1.11Pinging 192.168.1.11 with 32 bytes of data:Reply from 192.168.1.11: bytes=32 time=31ms TTL=255Reply

12、from 192.168.1.11: bytes=32 time=31ms TTL=255Reply from 192.168.1.11: bytes=32 time=31ms TTL=255Reply from 192.168.1.11: bytes=32 time=31ms TTL=255Ping statistics for 192.168.1.11: Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),Approximate round trip times in milli-seconds: Minimum = 31ms, Maxi

13、mum = 31ms, Average = 31ms第六步：将PC2的MAC位置绑定在F0/2端口上配置命令与F0/1端口绑定PC1的MAC位置相同PC1连接在F0/2上，使能F0/2端口Switch(config)#int f0/2Switch(config-if)#shutdown Switch(config-if)#no shutdown PC>ping 192.168.1.11Pinging 192.168.1.11 with 32 bytes of data:Request timed out.Request timed out.Request timed out.Reply

14、from 192.168.1.11: bytes=32 time=32ms TTL=255Ping statistics for 192.168.1.11: Packets: Sent = 4, Received = 1, Lost = 3 (75% loss),Approximate round trip times in milli-seconds: Minimum = 32ms, Maximum = 32ms, Average = 32ms1.5完整的配置文档Switch#sho run Building configuration.!interface FastEthernet0/1

15、switchport mode access switchport port-security switchport port-security mac-address 00E0.A323.5CE1!interface FastEthernet0/2switchport mode access switchport port-security switchport port-security mac-address 00D0.FFA4.BEB3!interface FastEthernet0/3!interface FastEthernet0/24!interface Vlan1 ip add

16、ress 192.168.1.11 255.255.255.0!End1.6 实验验证PC连接的端口PING结果原因PC1F0/1192.168.1.11PC1F0/2192.168.1.11PC2F0/1192.168.1.11PC2F0/2192.168.1.11【实验二】在一个端口上静态绑定多个MAC位置2.1实验设备1、2950-24交换机1台 2、PC机4台 3、交叉线1根 4、直通网线4根 2.2组网图2.3实验设备IP位置及要求设备名IP位置子网掩码VLAN 1192.168.1.11 255.255.255.0PC1192.168.1.1255.255.255.0PC2 192

17、.168.1.2255.255.255.0PC3192.168.1.3255.255.255.0PC4192.168.1.4255.255.255.0将PC1、PC2、PC3的MAC位置都绑定在F0/1端口上，并且分别将三台计算机连接在F0/1端口上都能PING通交换机，但更换为PC4后则不能PING通交换机。2.4配置过程和解释第一步：得到PC1主机的mac位置 PC>ipconfig /all第二步：配置交换机的IP位置 Switch(config)#int vlan 1Switch(config-if)#ip add 192.168.1.11 255.255.255.0Switch

18、(config-if)#no shutdownSwitch(config-if)#exit第三步：使能F0/1端口的MAC位置绑定功能 Switch(Config)#interface F0/1 Switch(config-if)#switchport mode access Switch(config-if)#switchport port-security第四步：添加端口静态安全MAC位置，端口最大安全MAC位置数为3Switch(config-if)#switchport port-security maximum 3命令：switchport port-security maximum

19、 <value> no switchport port-security maximum 功能：设置端口最大安全MAC位置数；本命令的no操作为恢复最大安全位置数为1。 命令模式：端口配置模式 参数：<value> 端口静态安全MAC位置上限，取值范围1132。 缺省情况：端口最大安全MAC位置数为1。 使用指南：端口必须使能MAC位置绑定功能之后才能设置端口安全MAC位置上限。如果端口静态安全MAC位置数大于设置的最大安全MAC位置数，则设置失败；必须删除端口的静态安全MAC位置，直到端口静态安全MAC位置数不大于设置的最大安全MAC位置数，设置才会成功。 Switc

20、h(config-if)#switchport port-security mac-address aaaa.aaaa.aaaaSwitch(config-if)#switchport port-security mac-address aaaa.aaaa.bbbbSwitch(config-if)#switchport port-security mac-address aaaa.aaaa.cccc当添加第四个MAC位置时，会显示如下信息：Total secure mac-addresses on interface FastEthernet0/1 has reached maximum l

21、imit.第五步：配置违反MAC安全采取的措施Switch(config-if)#switchport port-security violation restrict 查看配置： Switch#show port-security address Secure Mac Address Table-VlanMac Address Type Ports Remaining Age(mins)- - - -1 AAAA.AAAA.AAAASecureConfiguredFastEthernet0/1-1 AAAA.AAAA.BBBBSecureConfiguredFastEthernet0/1-1

22、 AAAA.AAAA.CCCCSecureConfiguredFastEthernet0/1-Total Addresses in System (excluding one mac per port) : 3Max Addresses limit in System (excluding one mac per port) : 10242.5完整的配置文档Switch#sho run Building configuration.!interface FastEthernet0/1 switchport mode access switchport port-security switchp

23、ort port-security maximum 3 switchport port-security mac-address AAAA.AAAA.AAAA switchport port-security mac-address AAAA.AAAA.BBBBswitchport port-security mac-address AAAA.AAAA.CCCC!interface FastEthernet0/2!interface FastEthernet0/24!interface Vlan1 ip address 192.168.1.11 255.255.255.0!End2.6实验验证

24、PC连接的端口PING结果原因PC1F0/1192.168.1.11PC2F0/1192.168.1.11PC3F0/1192.168.1.11PC4F0/1192.168.1.11【实验三】二层交换机端口动态绑定MAC位置3.1实验设备1、2950-24交换机1台 2、PC机4台 3、交叉线1根 4、直通网线4根 3.2组网图3.3实验设备IP位置及要求设备名IP位置子网掩码VLAN 1192.168.1.11 255.255.255.0PC1192.168.1.1255.255.255.0PC2 192.168.1.2255.255.255.0PC3192.168.1.3255.255.2

25、55.0PC4192.168.1.4255.255.255.0 在F0/1端口使用动态绑定功能，使端口能动态学习3个MAC位置，当学习数超过设定学习的最大值，端口将停止学习。3.4配置过程和解释第一步：得到PC1主机的mac位置 PC>ipconfig /all第二步：配置交换机的IP位置 Switch(config)#int vlan 1Switch(config-if)#ip add 192.168.1.11 255.255.255.0Switch(config-if)#no shutdownSwitch(config-if)#exit第三步：使能F0/1端口的MAC位置绑定功能 S

26、witch(Config)#interface F0/1 Switch(config-if)#switchport mode access Switch(config-if)#switchport port-security第四步：动态添加端口安全MAC位置，端口最大安全MAC位置数为3Switch(config-if)#switchport port-security maximum 3Switch(config-if)#switchport port-security mac-address sticky命令：switchport port-security mac-address sticky no switchport port-security mac-address sticky功能：设置端口动态学习MAC位置功能 命