10-端口地址绑定技术.docVIP

实验10 端口绑定技术 1 10.1 实验目标 1 10.2 背景需求 1 10.3 实验组网 1 10.4 技术分析 1 10.5 相关原理回顾 1 10.6 实验过程 2 10.6.1 配置步骤 2 10.6.2 相关信息显示 2 10.7 实验结果 3 10.8 实验中的命令列表 3 10.9 实验总结 3 实验10 端口绑定技术 实验目标 通过本实验的学习，我们应该掌握： 端口绑定的基本原理； 端口绑定的基本配置。 背景需求 在SW1的E1/0/1端口下接入了许多的计算机，为了安全起见，只允许PC1通过E1/0/1端口访问internet。 实验组网 注：本实验的PC的MAC地址为0014-22CD-E354。 技术分析 可以通过端口地址绑定技术实现只允许PC1通过E1/0/1端口访问internet。 相关原理回顾 目前以太网已经普遍应用于运营领域，如区接入、校园网等。但由于以太网本身的开放性、共享性和弱管理性，采用以太网接入在用户管理和安全管理上必然存在诸多隐患。业界厂商都在寻找相应的解决方案以适应市场需求绑定是目前普遍宣传和被应用的功能其根本目的是要实现用户的唯一性确定，从而实现对以太网用户的管理绑定含义是将两个或多个实体强制性关联在一起。大家比较熟悉的例子就是配置网卡时将网络协议与网卡驱动绑定在一起。其实在接入认证时，匹配用户名和密码也是一种绑定，只有用户名存在并且密码匹配成功，才认为是合法用户。在这里，用户名已经可以唯一标识某个用户，与对应密码进行一一绑定 命令 说明 1 [H3C]sysname SW1 2 [SW1]mac-address static 0014-22CD-E354 interface Ethernet 1/0/1 VLAN 1 将MAC+Port+Vlan绑定在一起 注：该配置适合任何型号、任何版本的设备。 方法二： IP+Port配置命令 序号 命令 说明 1 [H3C]sysname SW1 为设备命名 2 [SW1]vlan 2 创建Vlan 2 3 [SW1]interface vlan 2 创建Vlan 2 接口 4 [SW1-Vlan-interface2]ip address 10.1.1.254 255.255.255.0 配置IP地址 5 [SW1]interface Ethernet 1/0/1 进入Ethernet 1/0/1视图下 6 [SW1-Ethernet1/0/1]am ip-pool 10.1.1.1 1 配置只允许IP地址为10.1.1.1的主机访问internet. 7 [SW1]am enable 全局模式下使能am功能 注：支持此功能的产品包括，H3C S3600/S5600/S5100/S3500/S3610/S5600/S5000。 方法三：IP+MAC+Port 序号 命令 说明 1 [H3C]sysname SW1 为设备命名 2 [SW1]am user-bind mac-address 0014-22CD-E354 ip-address 10.1.1.1 interface Ethernet1/0/1 配置IP、MAC及端口的绑定 注：1、支持IP+MAC+Port三者同时绑定的设备包括，H3C S3600/S5600/S3610/S5600/S5100EI； 2、支持IP+MAC+Port三者同时绑定或任意两者绑定的设备包括，S3026EFGTC/S3026C-PWR/S3050C/S3526EC/S5000； 相关信息显示 略 实验结果 经过地址绑定以后，除了PC1之外的计算机都不能经过Ethernet1/0/1访问internet。 实验中的命令列表 10-1 MAC、IP与端口绑定的配置 操作 命令 说明 进入系统视图 system-view - 将合法用户的MAC地址和IP地址绑定到指定端口上 am user-bind mac-addr mac-address ip-addr ip-address interface interface-type interface-number 可选 进入以太网端口视图 interface interface-type interface-number - 将合法用户的MAC地址和IP地址绑定到当前端口上 am user-bind mac-addr mac-address ip-addr ip-address 可选 实验总结 端口绑定技术能够很灵活地实现对内部计算机访问的控制功能，实现了一定的网络访问安全。 实验10 端口绑定技术 Issue 1.0 1