基于华为交换机的终端安全接入设计与实现.pdfVIP

基于华为交换机的终端安全接入设计与实现

赵月斋，张少芳，张峰

（石家庄邮电职业技术学院，石家庄050021）

摘要：在诸多局域网内部基于接入层交换机端口的终端安全接入控制机制中，端口安全技术和端口

绑定技术以其简单易用的特性得到广泛应用。它们分别通过对接入终端MAC地址的学习和识别，以及

对MAC地址和IP地址的静态绑定，来阻止非信任的主机接入网络，避免来自企业网络内部的非法用户

入侵，从而实现对企业内部网络的接入安全保护。

关键词：网络；端口安全；端口绑定；MAC地址；交换机

1概述射表”中的MAC地址将被删除，端口开始重新进行学

在以太网中，默认情况下用户主机只要能够连接到习，学习到的新的MAC地址将被转换为安全动态MAC

接入层交换机的物理端口，就可以获得访问局域网中所地址。

有资源的权限，这很容易造成非法用户的入侵。为解决在默认情况下，安全动态MAC地址表项会一直存

这一问题，需要在接入层交换机的端口上对接入的终端在，但可以手工配置安全动态MAC地址的老化时间，

进行控制，从而产生了基于端口的网络接入控制的需使其变为可老化。另外，安全动态MAC地址在交换机

求。规模较大的企业网络一般通过IEEE802.1x技术对重启的情况下会丢失记录，需要重新进行学习。

终端用户进行合法性认证来控制其接入，但IEEE2.2.2安全StickyMAC地址

802.1x需要搭建RADIUS服务器并配置EAP协议，对小安全StickyMAC地址是指在同时开启了端口安全功

[1]能和StickyMAC的情况下，交换机端口学习并转换的

型企业而言复杂度相对较高。在交换机上可以直接配

置实现的端口安全技术和端口绑定技术，以其简单易用MAC地址。在一个交换机端口上开启了StickyMAC的

的特性在小型企业内部网络的终端接入安全保障中得到功能后，该端口上之前学习到的安全动态MAC地址将

广泛的应用。自动转换为安全StickyMAC地址，后续学习到的MAC

2端口安全技术地址也将转换为安全StickyMAC地址。

2.1端口安全技术的基本原理安全StickyMAC地址与安全动态MAC地址都属于

端口安全技术通过自动学习的方式将通过端口学习安全MAC地址。在端口上开启端口安全功能后，只允

到的终端MAC地址转换为安全MAC地址，来阻止非法许安全MAC地址和静态MAC地址接入网络进行通信。

用户通过端口接入网络，从而实现对终端接入安全的保安全StickyMAC地址永远不会老化，且在交换机重启的

护。在端口安全技术中，当学习的MAC地址数量达到情况下也不会丢失。

规定数量上限后，端口将不再学习新的MAC地址，而2.2.3安全静态MAC地址

是只允许这些安全MAC地址接入网络进行通信。这就安全静态MAC地址是指在同时开启了端口安全功

可以在一定程度上阻止其他非信任的MAC主机在逻辑能和安全StickyMAC地址的情况下，由网络管理员手工

[2]配置的静态MAC地址。因为是静态地址，所以它不会

上接入网络，提高了局域网的安全性。

2.2安全MAC地址的类型

安全MAC地址可以分为3种，分别是安全动态基金项目：石家庄邮电职业技术学院科研项目，项目

MAC地址、安全StickyMAC地址和安全