交换机端口安全总结.docVIP

最常用的对端口安全的理解就是可根据MAC地址来做对网络流量的控制和管理，比如MAC地址与具体的端口绑定，限制具体端口通过的MAC地址的数量，或者在具体的端口不允许某些MAC地址的帧流量通过。稍微引申下端口安全，就是可以根据802.1X来控制网络的访问流量。 　　首先谈一下MAC地址与端口绑定，以及根据MAC地址允许流量的配置。 　　1.MAC地址与端口绑定，当发现主机的MAC地址与交换机上指定的MAC地址不同时，交换机相应的端口将down掉。当给端口指定MAC地址时，端口模式必须为access或者Trunk状态。 　　3550-1#conf t 　　3550-1(config)#int f0/1 　　3550-1(config-if)#switchport mode access /指定端口模式。 　　3550-1(config-if)#switchport port-security mac-address 00-90-F5-10-79-C1 /配置MAC地址。 　　3550-1(config-if)#switchport port-security maximum 1 /限制此端口允许通过的MAC地址数为1。 　　3550-1(config-if)#switchport port-security violation shutdown /当发现与上述配置不符时，端口down掉。 　　2.通过MAC地址来限制端口流量，此配置允许一TRUNK口最多通过100个MAC地址，超过100时，但来自新的主机的数据帧将丢失。 　　3550-1#conf t 　　3550-1(config)#int f0/1 　　3550-1(config-if)#switchport trunk encapsulation dot1q 　　3550-1(config-if)#switchport mode trunk /配置端口模式为TRUNK。 　　3550-1(config-if)#switchport port-security maximum 100 /允许此端口通过的最大MAC地址数目为100。 　　3550-1(config-if)#switchport port-security violation protect /当主机MAC地址数目超过100时，交换机继续工作，但来自新的主机的数据帧将丢失。 　　上面的配置根据MAC地址来允许流量，下面的配置则是根据MAC地址来拒绝流量。 　　1.此配置在Catalyst交换机中只能对单播流量进行过滤，对于多播流量则无效。 　　3550-1#conf t 　　3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 drop /在相应的Vlan丢弃流量。 　　3550-1#conf t 　　3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 int f0/1 /在相应的接口丢弃流量。 　　最后说一下802.1X的相关概念和配置。 　　802.1X身份验证网卡的物理地址 　　虽然在TCP/IP网络中，计算机往往需要设置IP地址后才能通讯，然而，实际上计算机之间的通讯并不是通过IP地址，而是借助于网卡的MAC地址。IP地址只是被用于查询欲通讯的目的计算机的MAC地址。 　　ARP协议是用来向对方的计算机、网络设备通知自己IP对应的MAC地址的。在计算机的 ARJ缓存中包含一个或多个表，用于存储IP地址及其经过解析的以太网MAC地址。一台计算机与另一台IP地址的计算机通讯后，在ARP缓存中会保留相应的MAC地址。所以，下次和同一个IP地址的计算机通讯，将不再查询MAC地址，而是直接引用缓存中的MAC地址。 　　在交换式网络中，交换机也维护一张MAC地址表，并根据MAC地址，将数据发送至目的计算机。 　　为什么要绑定MAC与IP 地址:IP地址的修改非常容易，而MAC地址存储在网卡的EEPROM中，而且网卡的MAC地址是唯一确定的。因此，为了防止内部人员进行非法IP盗用(例如盗用权限更高人员的IP地址，以获得权限外的信息)，可以将内部网络的IP地址与MAC地址绑定，盗用者即使修改了IP地址，也因MAC地址不匹配而盗用失败:而且由于网卡MAC硬件地址3550、4500、6500系列交换机 2.方案2——基于MAC地址的扩展访问列表 　　Switch(config)Mac access-list extended MAC10 　　#定义一个MAC地址访问控制列表并且命名该列表名为MAC10 　　Switch(config)permit host 0009.6bc4