第课 端口安全 以太通道 DHC

端口安全课程目标完成这个章节的学习，我们可以做到：掌握端口安全的基本原理掌握端口安全的配置端口安全的原理端口安全特性可以使受限特定MAC地址的主机流量通过该端口.当接口上配置了安全的MAC地址后，定义之外的源MAC发送的数据包将被端口丢弃.PortsecurityisaMACaddresslockdownthatdisablestheportiftheMACaddressisnotvalid.NetworkAccessPortSecurity安全的MAC地址静态安全的MAC地址:手工配置，存储在MAC地址表内并加入到交换机的配置文件中(running-config).动态安全的MAC地址:动态学习，只存储在MAC地址表中，交换机重启之后丢失.黏性(sticky)安全的MAC地址:可以动态学习，也可以手工配置，存储在MAC地址表内并加入到交换机的配置文件中(running-config)，如果配置被保存，即使交换机重启也无需重新配置.安全违背Protect:当安全的MAC地址的数量到达端口的限制值时，源地址为非法地址的数据包将被丢弃，交换机不会通告发生了安全违背.Restrict:当安全的MAC地址的数量到达端口的限制值时，源地址为非法地址的数据包将被丢弃，交换机会通告发生了安全违背.交换机会发送SNMP的trap，并记录日志(logging)，并且会增加惩罚计数器.Shutdown:在此模式下，安全违背会设置端口为err-disable状态，并关闭交换机的LED灯.交换机也会发送SNMP的trap，并记录日志(logging)，并且会增加惩罚计数器安全违背违背模式是否转发非法流量是否发送SNMP的trap是否发送日志信息违背计数器是否增加是否关闭端口protectNoNoNoNoNorestrictNoYesYesYesNoshutdownNoYesYesYesYes端口安全的缺省值特性缺省设置端口安全关闭安全MAC地址的最大数量1个惩罚关闭黏性地址学习关闭端口安全老化时间(aging)关闭.老化时间(Agingtime)为0.当端口安全开启时,缺省类型是absolute.配置端口安全Switch(config-if)#switchportport-security开启端口安全Switch(config-if)#switchportport-security[maximumvalue

[vlan{vlan-list

|

{access|voice}}]]设置端口最大安全MAC地址数目Switch(config-if)#switchportport-securityviolation{protect|restrict|shutdown}设置安全违背后的处理配置端口安全Switch(config-if)#switchportport-securitymac-addresssticky开启黏性地址学习功能Switch(config-if)#switchportport-securitymac-addresssticky[mac-address

|vlan{vlan-id

|{access

|

voice}}]设置黏性的安全MAC地址Switch(config-if)#switchportport-security[mac-addressmac-address[vlan{vlan-id

|

{access|

voice}}]设置安全的MAC地址Switch(config-if)#switchportport-security

aging{static|time

time|type{absolute|inactivity}}

设置安全MAC地址超时时间端口安全配配置实例Switch(config)#interfaceFastEthernet1/0/1Switch(config-if)#switchportaccessvlan21Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportvoicevlan22Switch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymaximum20Switch(config-if)#switchportport-securityviolationrestrictSwitch(config-if)#switchportport-securitymac-addressstickySwitch(config-if)#switchportport-securitymac-addresssticky0000.0000.0002Switch(config-if)#switchportport-securitymac-address0000.0000.0003Switch(config-if)#switchportport-securitymac-addresssticky0000.0000.0001vlanvoiceSwitch(config-if)#switchportport-securitymac-address0000.0000.0004vlanvoiceSwitch(config-if)#switchportport-securitymaximum10vlanaccessSwitch(config-if)#switchportport-securitymaximum10vlanvoice端口安全配配置指南端口安全只只能配置在在访问(access)接口、干道道(trunk)接口和IEEE802.1Q的隧道(tunnel)接口上.不能配置在在动态接口口上.安全的接口口不能是SPAN的目的接口口.安全的接口口不能属于于以太通道道(EtherChannel)端口组.当配置安全全MAC地址的最大大值时，若若新的值比比原来的大大，新值会会覆盖原来来的值；若若新值比原原来的小，，而且端口口上设置的的安全的MAC地址大于新新值，命令令会被拒绝绝.交换机不支支持针对黏黏性安全MAC地址的老化化.以太通道ConfiguringLinkAggregationwithEtherChannel以太通道伴随着对更更高带宽需需求的不断断增长，管管理员正在在寻找增加加两台设备备之间可用用带宽的方方法，虽然然我们可以以选择更高高带宽的端端口类型，，但因为需需要增加更更多的成本本，所以它它并不总是是可行的。。通过将多多个端口进进行绑定，，EtherChannel充分分利利用用现现有有端端口口的的优优势势来来增增加加可可用用带带宽宽.CiscoCatalyst交换机最多允许将8个端口绑定到一起。EtherChannel不支持对10Mbit/s端口进行通道处理。以太太通通道道将类类似似的的链链路路进进行行逻逻辑辑的的聚聚合合负载载平平衡衡看作作是是一一个个逻逻辑辑端端口口冗余余性性以太太通通道道一个个以以太太通通道道由由若若干干个个快快速速以以太太网网或或千千兆兆以以太太网网连连接接捆捆绑绑成成一一个个单单一一逻逻辑辑接接口口动态态的的中中继继协协商商协协议议PAgP思科科私私有有协协议议LACPIEEE802.3ad标准准协协议议动态态的的中中继继协协商商协协议议在CiscoCatalyst交换换机机之之间间，，EtherChannel通常常使使用用PAgP（PortAggregationProtocol端口口汇汇聚聚协协议议））或或LACP（LinkAggregationControlProtocol链路路汇汇聚聚控控制制协协议议））。。在在Cisco交换换机机和和其其他他授授权权厂厂商商（（例例如如Intel制造造的的网网卡卡））之之间间，，也也可可能能使使用用PAgP协议议，，为为连连接接Cisco交换换机机和和其其他他支支持持802.3ad的非非Cisco厂商商的的交交换换机机或或服服务务器器，，则则可可以以使使用用LACP形成成EtherChannel。PAgP是一个用于在检查Channel两端的参数的一致性以及在出现增加链路或链路失效时的重新适配的一个管理协议。Port-Channel接口口Channel-group是配配置置层层面面上上的的一一个个物物理理端端口口组组，，配配置置到到Channel-group里面面的的物物理理端端口口才才可可以以参参加加链链路路汇汇聚聚，，并并成成为为Port-channel里的的某某个个成成员员端口口关于于以以太太通通道道配配置置命命令令配置置PAgPinterfaceport-channel{channel-group-number}channel-protocolpagpchannel-group1mode{mode}验证showinterfacesfastethernet0/1etherchannelshowetherchannel1port-channelshowetherchannel1summary配置2层以太通道Switch(config-if-range)#channel-protocol{pagp|lacp}指定channel-group的协商模式Switch(config)#interfacerangeinterfaceslot/port-port指定需要被绑绑定的接口Switch(config-if-range)#channel-groupnumbermode{active|on|auto|desirable|passive}指定通道协议议：PAgP或LACPPAgP模式模式描述开启(ON)这种模式会强制端口不使用PAgP而形成EtherChannel。在这种模式下，如果希望EtherChannel能够正常地工作，那么就要求链路伙伴的EtherChannel都处于On模式。关闭(off)这种模式能够防止端口形成EtherChannel。自动(Auto)这种模式将使得端口进入被动协商状态，如果端口接受到PAgP数据包，那么就将形成EtherChannel。虽然如此，但这种模式的端口将不会主动发起协商，Auto是默认模式。企望(Desirable)这种模式将使得端口利用PAgP进入形成EtherChannel的协商状态。在配置Calalyst交换机形成EtherChannel的时候，推荐模式是Desirable。配置3层以太通道Switch(config)#interfaceport-channelport-channel-number创建一个通道道接口Switch(config-if)#noswitchportSwitch(config-if)#ipaddressaddressmask指定以太通道道为3层并分配IP地址和子网掩掩码Switch(config-if)#noswitchportSwitch(config-if)#channel-groupnumbermode{auto|desirable|on}配置接口为为3层，指定通通道端口模模式Switch(config)#interfaceinterfaceslot/port指定一个接接口用以配配置验证以太通通道Switch#showrunning-configinterfaceport-channelnum显示端口通通道信息Switch#showruninterfaceport-channel1Buildingconfiguration...Currentconfiguration:66bytes!interfacePort-channel1switchportmodedynamicdesirableendSwitch#showrunning-configinterfaceinterfacex/y显示接口信信息Switch#showruninterfacegig0/9Buildingconfiguration...Currentconfiguration:127bytes!interfaceGigabitEthernet0/9switchportmodedynamicdesirablechannel-group2modedesirablechannel-protocolpagpend验证以太通通道Switch#showinterfacesgigabitethernet0/9etherchannelPortstate=UpMstrIn-BndlChannelgroup=1Mode=Desirable-SlGcchange=0Port-channel=Po2GC=0x00020001Pseudoport-channel=Po1Portindex=0Load=0x00Flags:S-DeviceissendingSlowhello.C-DeviceisinConsistentstate.A-DeviceisinAutomode.P-Devicelearnsonphysicalport.d-PAgPisdown.Timers:H-Hellotimerisrunning.Q-Quittimerisrunning.S-Switchingtimerisrunning.I-Interfacetimerisrunning.Localinformation:HelloPartnerPAgPLearningGroupPortFlagsStateTimersIntervalCountPriorityMethodIfindexGi0/9SCU6/S7H30s1128Any15Partner'sinformation:PartnerPartnerPartnerPartnerGroupPortNameDeviceIDPortAgeFlagsCap.Gi0/9DSW1220005.313e.4780Gi0/918sSC20001Ageoftheportinthecurrentstate:00d:20h:00m:49sdhcpConfiguringLinkAggregationwithEtherChannelipdhcppoolnywbnetworkdefault-routerdns-server全局#ipdhcpexcluded-address009、静夜四无邻邻，荒居旧业业贫。。12月-2212月-22Tuesday,December20,202210、雨中黄叶树树，灯下白头头人。。12:05:0412:05:0412:0512/20/202212:05:04PM11、以我独沈沈久，愧君君相见频。。。12月-2212:05:0412:05Dec-2220-Dec-2212、故人江海海别，几度度隔山川。。。12:05:0412:05:0412:05Tuesday,December20,202213、乍乍见见翻翻疑疑梦梦，，相相悲悲各各问问年年。。。。12月月-2212月月-2212:05:0412:05:04December20,202214、他乡乡生白白发，，旧国国见青青山。。。20十十二二月202212:05:04下下午午12:05:0412月月-2215、比不不了得得就不不比，，得不不到的的就不不要。。。。十二月月2212:05下下午12月月-2212:05December20,202216、行动出出成果，，工作出出财富。。。2022/12/2012:05:0512:05:0520December202217、做前，能能够环视四四周；做时时，你只能能或者最好好沿着以脚脚为起点的的射线向前前。。12:05:05下下午12:05下午12:05:0512月-229、没有失败败，只有暂暂时停止成成功！。12月-2212月-22Tuesday,December20,202210、很多事情努努力了未必有有结果，但是是不努力却什什么改变也没没有。。12:05:0512:05:0512:0512/20/202212:05:05PM11、成成功功就就是是日日复复一一日日那那一一点点点点小小小小努努力力的的积积累累。。。。12月-2212:05:0512:05Dec-2220-Dec-2212、世间成成事，不不求其绝绝对圆满满，留一一份不足足，可得得无限完完美。。。12:05:0512:05:0512:05Tuesday,December20,202213、不知香积积寺，数里里入云峰。。。12月-2212月-2212:05:0512:05:05December20,202214、意意志志坚坚强强的的人人能能把把世世界界放放在在手手中中像像泥泥块块一一样样任任意意揉揉捏捏。。20十十二二月月202212:05:05下下午午12:05:0512月月-2215、楚楚塞塞三三湘湘接接，，荆荆门门九九派派通通。。。。。十二二月月2212:05下下午午12月月-2212:05December20,202216、少年年十五五二十十时，，步行行夺得得胡马马骑。。。2022/12/2012:05:0512:05:0520December202217、空山山新雨雨后，，天气气晚来来秋。。。12:05:05下下午午12:05下下午12:05:0512月月-229、杨柳柳散和和风，，青