《网络安全设计》.ppt

网络安全设计 课程内容 攻击不可避免 现有网络安全体制 课程内容 交换机端口安全 利用交换机的端口安全功能可以实现网络接入安全 防止局域网大部分的内部攻击对用户、网络设备造成的破坏，如MAC地址攻击、ARP攻击、IP/MAC地址欺骗等。 交换机端口安全的基本功能 限制交换机端口的最大连接数 端口的安全地址绑定 交换机端口安全违例 安全违例产生于以下情况： 如果一个端口被配置为一个安全端口，当其安全地址的数目已经达到允许的最大个数 如果该端口收到一个源地址不属于端口上的安全地址的包 当安全违例产生时，你可以选择多种方式来处理违例： Protect：当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包； Restrict：当违例产生时，将发送一个Trap通知； Shutdown：当违例产生时，将关闭端口并发送一个Trap通知 配置安全端口及违例处理方式 端口安全最大连接数配置 switchport port-security ！打开该接口的端口安全功能 switchport port-security maximum value ！设置接口上安全地址的最大个数，范围是1～128，缺省值为128 switchport port-security violation{protect | restrict | shutdown} ！设置处理违例的方式 no switchport port-security no switchport port-security maximum no switchport port-security violation 注意： 1、端口安全功能只能在access端口上进行配置。 2、当端口因为违例而被关闭（shutdown）后，在全局配置模式下使用命令errdisable recovery 来将接口从错误状态中恢复过来。 案例（一） 下面的例子是配置接口gigabitethernet 1/3上的端口安全功能，设置最大地址个数为8，设置违例方式为protect Switch# configure terminal Switch(config)# interface gigabitethernet 1/3 Switch(config-if)# switchport mode access Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 8 Switch(config-if)# switchport port-security violation protect Switch(config-if)# end 配置安全端口上的安全地址 端口的安全地址绑定 switchport port-security mac-address mac-address [ip-address ip-address] ！手工配置接口上的安全地址 no switchport port-security mac-address mac-address ！删除该接口上的安全地址。 注意： 端口的安全地址绑定方式有:单MAC、单IP 、MAC+IP 案例（二） 下面的例子是配置接口fastethernet 0/3上的端口安全功能，配置端口绑定地址，主机MAC为00d0.f800.073c，IP为02 Switch# configure terminal Switch(config)# interface fastethernet 0/3 Switch(config-if)# switchport mode access Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security mac-address 00d0.f800.073c ip-address 02 Switch(config-if)# end 配置安全地址的老化时间 端口的安全地址绑定 switchport port-security aging{static | time time} ！static：表示老化时间将同时应用于手工配置的安全地址和自动学习到的地址，否则只应用于自动学习到的地址。 ！time：表示这个端口上安全地址的老化时间，范围是0～1440，单位分钟。0表示老化功能被关闭。time的默认值为0。 no switchport port-security aging static no switchport port