交换机端口安全配置与试题分析.pdfVIP

❖演示：交换机端口安全的配置

在现今的企业网络中，从某种程度上讲，来自企业的安全高于企业外部的安

全，比如：无控制行为的任意主机接入、移动设备接入、共享数据等这些都是由

于企业网络对网络的接入控制不严格所导致的问题，而本小节的主要任务就是描述数

据链路层接入控制的方案——交换机的端口安全技术。

交换机的端口安全属于数据链路层安全策略，也是众多企业网络接入控制方案中的一

种，它可以有效地限制桌面计算机的接入，也可以有效地防御MAC地址泛洪（

macof）。它的主要功能是：限制一个交换机端口的最大MAC地址数量，设定合法的

接入主机的MAC地址，制定端口安全策略后的行为。需要注意的——在配置交换机的

端口安全之前必须端口的模式，比如：switchportmodeaccess（为交换端口

接入模式）。端口安全不能被应用到动态协商的端口模式中。

关于交换机端口安全的配置：

Switch(config-if)#switchportport-security?*启动交换机端口安全的指令

mac-addressSecuremacaddress*设置安全的MAC地址

umMaxsecureaddresses*设置端口允许的最大MAC地址数量

violationSecurityviolationmode*端口安全策略后执行的动作

mac-address：该参数定义合法的具体MAC地址，可以由管理员手工配置认

为合法的MAC地址，比如：switchportport-securitymac-address

0009.de12.3f56，如果这样配置后，就只有MAC地址是0009.de12.3f56的主机

可以接入该端口，上执行了一个将指定的MAC地址与该端口相绑定的

结果，其他MAC地址接入就了端口安全策略。上述使用手工配置MAC

地址的方式不适用于大型网络，因为这样做可能会造成很大的管理开销，

所以可以使用switchportport-securitymac-addresssticky让该端口记录下第一

次交换机的MAC地址自动学习时所记录的源地址，这样就省去了大量手工

输入MAC地址时所造成的管理开销与录入错误。

um：该参数定义该端口可容纳的最大MAC地址数量，一般在正常情

况下交换机的一个端口对应一个MAC地址，所以可以配置为switchportport-

securityum1；但这并不是，比些企业为了过渡，在交换

机的某个端口上连接的并不是一台主机，而是一台集线器，如图10.42所示，

那么交换机S1的Fa0/2端口就应该配置成switchportport-securityum４，

因为集线器连接的所有主机的MAC地址都应该属于交换机S1的Fa0/2端口。

图10.42设置um参数不能为1的情况

violation：该参数定义了预配置的端口安全策略后，将执行一个怎样的

动作，具体又可以分为3个参数，即protect、restrict、shutdown。

关于了交换机的端口安全策略后执行的动作：

Switch(config-if)#switchportport-securityviolation?

protectSecurityviolationprotectmode

restrictSecurityviolationrestrictmode

shutdownSecurityviolationshutdownmode

关键字violation指定对接入端口的处理，共有3种解决方式：protect、

restrict、shutdown。protect指示当已经超过所允许学习的最大MAC地址数量

时，交换机将继续工作，但是把来自新主机的数据帧丢弃，不发任何警告

信息。restrict指示当发生安全时，交换机将继续工作，的数据通信

仍然可以继续，但是会向Console平台发警告信息。shutdown指示关闭端口

为err-disabl