端口安全以太通道DHCP.pptVIP

25十二月2023端口安全以太通道DHCP

课程目标完成这个章节的学习，我们可以做到：掌握端口安全的基本原理掌握端口安全的配置

端口安全的原理端口安全特性可以使受限特定MAC地址的主机流量通过该端口.当接口上配置了安全的MAC地址后，定义之外的源MAC发送的数据包将被端口丢弃.

PortsecurityisaMACaddresslockdownthatdisablestheportiftheMACaddressisnotvalid.NetworkAccessPortSecurity

安全的MAC地址静态安全的MAC地址:手工配置，存储在MAC地址表内并加入到交换机的配置文件中(running-config).动态安全的MAC地址:动态学习，只存储在MAC地址表中，交换机重启之后丢失.黏性(sticky)安全的MAC地址:可以动态学习，也可以手工配置，存储在MAC地址表内并加入到交换机的配置文件中(running-config)，如果配置被保存，即使交换机重启也无需重新配置.

安全违背Protect:当安全的MAC地址的数量到达端口的限制值时，源地址为非法地址的数据包将被丢弃，交换机不会通告发生了安全违背.Restrict:当安全的MAC地址的数量到达端口的限制值时，源地址为非法地址的数据包将被丢弃，交换机会通告发生了安全违背.交换机会发送SNMP的trap，并记录日志(logging)，并且会增加惩罚计数器.Shutdown:在此模式下，安全违背会设置端口为err-disable状态，并关闭交换机的LED灯.交换机也会发送SNMP的trap，并记录日志(logging)，并且会增加惩罚计数器

安全违背违背模式是否转发非法流量是否发送SNMP的trap是否发送日志信息违背计数器是否增加是否关闭端口protectNoNoNoNoNorestrictNoYesYesYesNoshutdownNoYesYesYesYes

端口安全的缺省值特性缺省设置端口安全关闭安全MAC地址的最大数量1个惩罚关闭黏性地址学习关闭端口安全老化时间(aging)关闭.老化时间(Agingtime)为0.当端口安全开启时,缺省类型是absolute.

配置端口安全Switch(config-if)#switchportport-security开启端口安全Switch(config-if)#switchportport-security[maximumvalue[vlan{vlan-list|{access|voice}}]]设置端口最大安全MAC地址数目Switch(config-if)#switchportport-securityviolation{protect|restrict|shutdown}设置安全违背后的处理

配置端口安全Switch(config-if)#switchportport-securitymac-addresssticky开启黏性地址学习功能Switch(config-if)#switchportport-securitymac-addresssticky[mac-address|vlan{vlan-id|{access|voice}}]设置黏性的安全MAC地址Switch(config-if)#switchportport-security[mac-addressmac-address[vlan{vlan-id|{access|voice}}]设置安全的MAC地址Switch(config-if)#switchportport-securityaging{static|timetime|type{absolute|inactivity}}设置安全MAC地址超时时间

端口安全配置实例Switch(config)#interfaceFastEthernet1/0/1Switch(config-if)#switchportaccessvlan21Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportvoicevlan22Switch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymaximum20Switch(config-if)#switchportport-se