CCNP 交换机命令.docVIP

CCNP 交换机命令 配置DHCP探测的命令 ip dhcp snooping ip dhcp snooping trust ip dhcp snooping limit rate 20 配置源IP地址防护的命令 ip source binding 0823-2233-2343 vlan 10 192.168.100.1 int f0/1 静态源IP地址绑定项 ip veryfy source [port-security] 在接口上启用源IP地址防护 基于端口的认证配置命令 aaa authentication dot1x default group radius //定义802.1x方法列表 dot1x system-auth-control //全局启用802.1x dot1x port-control {force-authorized | force-unauthorized | auto} //在端口上定义802.1x行为 dot1x host-mode multi-host //在端口上支持多台主机 switchport port-security switchport port-security maximum 10 switchport port-security mac-address 0823-2233-2343 switchport port-security violation {shutdown | restrict | protect} ip arp inspection vlan 10 ip arp inspection trust arp access-list hushenyu permit ip host 192.168.1.100 mac host 0823-2233-3333 ip arp inspection filter hushenyu vlan 1 [static] ip arp ispection validate {[src-mac][dst-mac][ip]} 【转】CISCO交换机中的IP和MAC地址绑定2011-03-16 12:55转载自 zepyu最终编辑 idboygirl在cisco交换机中为了防止ip被盗用或员工乱改ip，可以做以下措施，既ip与mac地址的绑定，和ip与交换机端口的绑定。 一、通过IP查端口 　　先查ＭＡＣ地址，再根据ＭＡＣ地址查端口： 　　bangonglou3#show arp | include 208.41 或者show mac-address-table 来查看整个端口的ip-mac表 　　nternet 10.138.208.41 4 0006.1bde.3de9 ARPA Vlan10 　　bangonglou3#show mac-add | in 0006.1bde 　　10 0006.1bde.3de9 DYNAMIC Fa0/17 　　bangonglou3#exit 二、ip与mac地址的绑定，这种绑定可以简单有效的防止ip被盗用，别人将ip改成了你绑定了mac地址的ip后，其网络不同，（tcp/udp协议不同，但netbios网络共项可以访问），具体做法： cisco(config)#arp 10.138.208.81 0000.e268.9980 ARPA 这样就将10.138.208.81 与mac:0000.e268.9980 ARPA绑定在一起了 三、ip与交换机端口的绑定，此种方法绑定后的端口只有此ip能用，改为别的ip后立即断网。有效的防止了乱改ip。 cisco(config)# interface FastEthernet0/17 cisco(config-if)# ip access-group 6 in cisco(config)#access-list 6 permit 10.138.208.81 这样就将交换机的FastEthernet0/17端口与ip:10.138.208.81绑定了。 ＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝ 最常用的对端口安全的理解就是可根据MAC地址来做对网络流量的控制和管理，比如MAC地址与具体的端口绑定，限制具体端口通过的MAC地址的数量，或者在具体的端口不允许某些MAC地址的帧流量通过。 1.MAC地址与端口绑定，当发现主机的MAC地址与交换机上指定的MAC地址不同时，交换机相应的端口将