网络设备配置与管理项目式教程（第3版） 课件 3.1交换机端口安全配置

交换机端口安全配置教学目标能够执行限制交换机端口最大连接数的配置工作；能够将主机MAC地址与交换机端口进行绑定；能够将主机IP地址与交换机端口进行绑定；能够描述网络安全隐患，能够规划网络安全解决方案；能够描述交换机端口安全的基本工作原理；培养网络管理员的责任心和信息安全意识。工作任务

企业基于信息安全的考虑，希望加强网络管理，实行严格的网络接入控制。规定每个交换机端口只能接入一台主机，员工不能私自对网络扩展连接；每个工位接入网络的计算机固定，不能随意改变；接入网络的计算机需要登记，不能随意改变。作为网络管理员，请提出解决方案。网络拓扑交换机端口安全配置网络拓扑图操作步骤（演示）

步骤1、配置交换机端口的最大连接数限制。步骤2、查看接入网络计算机的MAC地址和IP地址。步骤3、配置交换机端口的地址绑定。步骤4、查看交换机的端口安全配置。步骤5、测试交换机的端口安全配置。操作要领

交换机端口安全只能在Access模式端口配置；交换机出厂时默认关闭端口安全功能；交换机端口最大连接数的取值范围是1~128，默认值是128；交换机默认的违例处理方式是保护protect）。相关知识—常见的网络攻击

网络攻击手段多种多样，以上是最常见的几种相关知识—攻击不可避免攻击工具体系化

网络攻击原理日趋复杂，攻击操作却变得越来越简单相关知识—额外的不安全因素

DMZE-Mail

FileTransferHTTPIntranet企业网络生产部工程部市场部人事部路由Internet中继外部个体外部/组织内部个体内部/组织相关知识—现有网络安全体制现有网络安全防御体制IDS/IPS68%杀毒软件99%防火墙98%ACL71%相关知识—交换机端口安全利用交换机端口安全功能实现防止局域网大部分的内部攻击对用户、网络设备造成的破坏，如MAC地址攻击、ARP攻击、IP/MAC地址欺骗等。交换机端口安全的基本功能限制交换机端口的最大连接数；端口的安全地址绑定。相关知识—交换机端口安全以下情况产生安全违例：端口的连接数已经超过允许的最大连接数；端口收到数据包源地址不属于端口上的安全地址。产生违例时，可以选择下列方式处理：Protect：违例产生时，丢弃数据帧；Restrict：违例产生时，丢弃数据帧并发送Trap通知；Shutdown：违例产生时，将关闭端口并发送Trap通知。相关知识—配置安全端口

端口安全最大连接数配置switchportport-security

！打开该接口的端口安全功能switchportport-securitymaximumvalue

！设置接口上最大连接数，范围是1－128switchportport-securityviolation{protect|restrict|shutdown}

！设置处理违例的方式注意：

1、端口安全功能只能在access端口上配置。

2、端口因为违例而被关闭后，在全局配置模式下使用命令

errdisablerecovery来将接口从错误状态中恢复过来。相关知识—配置安全端口端口的安全地址绑定switchportport-security

！打开该接口的端口安全功能switchportport-securitymac-addressmac-addressip-addressip-address

！手工配置接口上的安全地址注意：

1、端口安全功能只能在access端口上进行配置

2、端口的安全地址绑定方式有:单MAC、单IP、MAC+IP相关知识—案例（一）

下面的例子是配置接口gigabitethernet1/3上的端口安全功能，设置最大地址个数为8，设置违例方式为protectSwitch#configureterminalSwitch(config)#interfacegigabitethernet1/3Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymaximum8Switch(config-if)#switchportport-securityviolationprotectSwitch(config-if)#end相关知识—案例（二）

下面的例子是配置接口fastethernet0/3上的端口安全功能，配置端口绑定地址，主机MAC为00d0.f800.073c，IP为02Switch#configureterminalSwitch(config)#interfacefastethernet0/3Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymac-address00d0.f800.073cip-address02Switch(config-if)#end相关知识—查看配置信息查看所有接口的安全统计信息，包括最大安全地址数，当前安全地址数以及违例处理方式等

Switch#showport-security

SecurePortMaxSecureAddrCurrentAddrSecurityAction------------------------------------------------Gi1/381Protect查看安全地址信息Switch#showport-securityaddress

VlanMacAddressIPAddressTypePortRemainingAge(mins)