实验23交换机的端口安全配置.docVIP

实验二十三 交换机的端口安全配置 试验目的： 掌握交换机的端口安全功能，控制用户的安全接入。 背景描述： 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。 技术原理： 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 试验设备： RG-S3760 一台、PC 二台、网线若干 试验拓扑图： 实验步骤及要求： 1、配置交换机端口的最大连接数限制。 SW(config)#inter rang f0/1 - 24 SW(config-if-range)#switchport port-security SW(config-if-range)#switchport port-security maximum 1 SW(config-if-range)#switchport port-security violation shutdown SW(config-if-range)# 2、查看PC1、PC2的IP和MAC地址信息 在主机上打开CMD命令提示符窗口，执行ipconfig /all命令 PC2: MAC 地址为：0021.977e.fdef IP地址为：172.16.20.123 PC1: MAC 地址为：0022.b061.ba84 IP地址为：172.16.20.67 3、配置交换机端口的地址绑定 SW(config)#inter f0/2 SW(config-if)#switchport port-security mac-address 0021.977e.fdef ip-address 172.16.20.123 SW(config-if)# SW(config)#inter f0/1 SW(config-if)#switchport port-security mac-address 0022.b061.ba84 ip-address 172.16.20.67 SW(config-if)#end SW#show port-security address Vlan Mac Address IP Address Type Port Remaining Age(mins) ---- ---------- ---------- -------- --------------- --------------- 1 0022.b061.ba84 172.16.20.67 Configured FastEthernet 0/1 - 1 0021.977e.fdef 172.16.20.123 Configured FastEthernet 0/2 - 4、在PC1、PC2上相互ping对方。 5、在F0/3接口上做MAC地址绑定 SW(config)#inter f0/3 SW(config-if)#switchport port-security mac-address 0021.977e.fd95 SW(config-if)# 6、把PC2连接到F0/3接口上。 SW# Apr 23 18:03:24 %LINK-5-CHANGED: Interface FastEthernet 0/2, changed state to down Apr 23 18:03:24 %LINEPROTO-5-U