热门标签 | HotTags
当前位置:  开发笔记 > 编程语言 > 正文

MAC地址与交换机端口绑定(交换机端口安全)

我们通常说的MAC地址与交换机端口绑定其实就是交换机端口安全功能。端口安全功能能让您配置一个端口只允许一台或者几台确定的设备访问那个交换机;能根据MAC地址确定允许访问的设备;允许访问的设

我们通常说的MAC地址与交换机端口绑定其实就是交换机端口安全功能。端口安全功能能让您配置一个端口只允许一台或者几台确定的设备访问那个交换机;能根据MAC地址确定允许访问的设备;允许访问的设备的MAC地址既可以手工配置,也可以从交换机“学到”;当一个未批准的MAC地址试图访问端口的时候,交换机会挂起或者禁用该端口等等。
 

sw1#show run int f0/1
Building configuration...

Current configuration : 160 bytes
!
interface FastEthernet0/1
 switchport mode access
 switchport port-security
 switchport port-security violation shutdown
 switchport port-security mac-address 001f.162c.f110 
 spanning-tree portfast
end
sw1#

Found duplicate mac-address 001f.162c.f110
clear mac-address-table dynamic address mac|j
1.端口mac被其他的端口给绑定过了
2.端口上打no switchport portsecurity
3.上联的端口可能打了switchport portsecurity mac address 1111.1111.1111.111 ,所以导致下联的设备无法再次绑定此mac-address

 一、首先必须明白两个概念:

可靠的MAC地址。配置时候有三种类型。

静态可靠的MAC地址:在交换机接口模式下手动配置,这个配置会被保存在交换机MAC地址表和运行配置文件中,交换机重新启动后不丢失(当然是在保存配置完成后),具体命令如下:

Switch(config-if)#switchport port-security mac-address Mac地址

动态可靠的MAC地址:这种类型是交换机默认的类型。在这种类型下,交换机会动态学习MAC地址,但是这个配置只会保存在MAC地址表中,不会保存在运行配置文件中,并且交换机重新启动后,这些MAC地址表中的MAC地址自动会被清除。

黏性可靠的MAC地址:这种类型下,可以手动配置MAC地址和端口的绑定,也可以让交换机自动学习来绑定,这个配置会被保存在MAC地址中和运行配置文件中,如果保存配置,交换机重起动后不用再自动重新学习MAC地址,虽然黏性的可靠的MAC地址可以手动配置,但是CISCO官方不推荐这样做。具体命令如下:

Switch(config-if)#switchport port-security mac-address sticky
其实在上面这条命令配置后并且该端口得到MAC地址后,会自动生成一条配置命令
Switch(config-if)#switchport port-security mac-address sticky Mac地址
这也是为何在这种类型下CISCO不推荐手动配置MAC地址的原因。

二、违反MAC安全采取的措施:
当超过设定MAC地址数量的最大值,或访问该端口的设备MAC地址不是这个MAC地址表中该端口的MAC地址,或同一个VLAN中一个MAC地址被配置在几个端口上时,就会引发违反MAC地址安全,这个时候采取的措施有三种:

1.保护模式(protect):丢弃数据包,不发警告。

2.限制模式(restrict):丢弃数据包,发警告,发出SNMP trap,同时被记录在syslog日志里。

3.关闭模式(shutdown):这是交换机默认模式,在这种情况下端口立即变为err-disable状态,并且关掉端口灯,发出SNMP trap,同时被记录在syslog日志里,除非管理员手工激活,否则该端口失效。

具体命令如下:

Switch(config-if)#switchport port-security violation {protect | restrict | shutdown }
下面这个表一就是具体的对比
Violation Mode Traffic is forwarded Sends SNMP trap Sends syslog message Displays error
message Shuts down port
protect No No No No No
restrict No Yes Yes No No
shutdown No Yes Yes No Yes
表一

配置端口安全时还要注意以下几个问题:

端口安全仅仅配置在静态Access端口;在trunk端口、SPAN端口、快速以太通道、吉比特以太通道端口组或者被动态划给一个VLAN的端口上不能配置端口安全功能;不能基于每VLAN设置端口安全;交换机不支持黏性可靠的MAC地址老化时间。protect和restrict模式不能同时设置在同一端口上。
下面把上面的知识点连接起来谈谈实现配置步骤的全部命令。

1.静态可靠的MAC地址的命令步骤:

Switch#config terminal
 Switch(config)#interface interface-id 进入需要配置的端口
 Switch(config-if)#switchport mode Access 设置为交换模式
 Switch(config-if)#switchport port-security 打开端口安全模式

Switch(config-if)#switchport port-security violation {protect | restrict | shutdown }
上面这一条命令是可选的,也就是可以不用配置,默认的是shutdown模式,但是在实际配置中推荐用restrict。

Switch(config-if)#switchport port-security maximum value
上面这一条命令也是可选的,也就是可以不用配置,默认的maximum是一个MAC地址,2950和3550交换机的这个最大值是132。

其实上面这几条命令在静态、黏性下都是一样的,
Switch(config-if)#switchport port-security mac-address MAC地址
上面这一条命令就说明是配置为静态可靠的MAC地址

2.动态可靠的MAC地址配置,因为是交换机默认的设置。
3.黏性可靠的MAC地址配置的命令步骤:
Switch#config terminal
  Switch(config)#interface interface-id
  Switch(config-if)#switchport mode Access
  Switch(config-if)#switchport port-security
  Switch(config-if)#switchport port-security violation {protect | restrict | shutdown }
Switch(config-if)#switchport port-security maximum value 字串4

上面这几天命令解释和前面静态讲到原因一样,不再说明。

Switch(config-if)#switchport port-security mac-address sticky
上面这一条命令就说明是配置为黏性可靠的MAC地址。
最后,说说企业中如何快速MAC地址与交换机端口绑定。在实际的运用中常用黏性可靠的MAC地址绑定,现在我们在一台2950EMI上绑定。

方法1:在CLI方式下配置
2950 (config)#int rang fa0/1 - 48
2950 (config-if-range)#switchport mode Access
2950 (config-if-range)#switchport port-security
2950 (config-if-range)#switchport port-security mac-address violation restrict
2950 (config-if-range)#switchport port-security mac-address sticky
这样交换机的48个端口都绑定了,注意:在实际运用中要求把连在交换机上的PC机都打开,这样才能学到MAC地址,并且要在学到MAC地址后保存配置文件,这样下次就不用再学习MAC地址了,然后用show port-security address查看绑定的端口,确认配置正确。

方法2:在WEB界面下配置,也就是CMS(集群管理单元)
我们通过在IE浏览器中输入交换机IP地址,就可以进入,然后在port—port security下可以选定交换机端口,在Status和Sticky MAC Address中选Enable或Disabled,Violation Action可以选Shutdown、Restrict、Protect中的一种,Maximum Address Count(1-132)可以填写这个范围的数值。
当然还有要求绑定IP地址和MAC地址的,这个就需要三层或以上的交换了,因为我们知道普通的交换机都是工作在第二层,也就是使数据链路层,是不可能绑定IP的。假如企业是星型的网络,中心交换机是带三层或以上功能的。我们就可以在上绑定,
Switch(config)#arp Ip地址 Mac地址 arpa
 

实验十八、交换机端口与MAC 绑定
一、 实验目的
1、了解什么是交换机的 MAC 绑定功能;
2、熟练掌握 MAC 与端口绑定的静态、动态方式。
二、 应用环境
1、当网络中某机器由于中毒进而引发大量的广播数据包在网络中洪泛时,网络管理员的唯一想法就是尽快地找到根源主机并把它从网络中暂时隔离开。当网络的布置很随意时,任何用户只要插上网线,在任何位置都能够上网,这虽然使正常情况下的大多数用户很满意,但一旦发生网络故障,网管人员却很难快速准确定位根源主机,就更谈不上将它隔离了。端口与地址绑定技术使主机必须与某一端口进行绑定,也就是说,特定主机只有在某个特定端口下发出数据帧,才能被交换机接收并传输到网络上,如果这台主机移动到其他位置,则无法实现正常的连网。这样做看起来似乎对用户苛刻了一些,而且对于有大量使用便携机的员工的园区网并不适用,但基于安全管理的角度考虑,它却起到了至关重要的作用。
2、为了安全和便于管理,需要将 MAC 地址与端口进行绑定,即,MAC 地址与端口绑定后,该MAC 地址的数据流只能从绑定端口进入,不能从其他端口进入。该端口可以允许其他MAC 地址的数据流通过。但是如果绑定方式采用动态lock 的方式会使该端口的地址学习功能关闭,因此在取消lock 之前,其他MAC 的主机也不能从这个端口进入。
三、 实验设备
1、DCS-3926S 交换机1 台
2、PC 机2 台
3、Console 线1 根
4、直通网线 2 根
四、 实验拓扑
五、 实验要求
1、交换机 IP 地址为192.168.1.11/24,PC1 的地址为192.168.1.101/24;PC2 的地址为
192.168.1.102/24。
2、在交换机上作 MAC 与端口绑定;
3、PC1 在不同的端口上ping 交换机的IP,检验理论是否和实验一致。
4、PC2 在不同的端口上ping 交换机的IP,检验理论是否和实验一致。
六、 实验步骤
第一步:得到PC1主机的mac地址
Microsoft Windows XP [版本 5.1.2600]
(C) 版权所有 1985-2001 Microsoft Corp.
C:\>ipconfig/all
Windows IP Configuration
Host Name . . . . . . . . . . . . : xuxp
Primary Dns Suffix . . . . . . . : digitalchina.com
Node Type . . . . . . . . . . . . : Broadcast
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
Ethernet adapter 本地连接:
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel(R) PRO/100 VE Network Connecti
on
Physical Address. . . . . . . . . : 00-A0-D1-D1-07-FF
Dhcp Enabled. . . . . . . . . . . : Yes
Autoconfiguration Enabled . . . . : Yes
Autoconfiguration IP Address. . . : 169.254.27.232
Subnet Mask . . . . . . . . . . . : 255.255.0.0
Default Gateway . . . . . . . . . :
C:\>
我们得到了PC1主机的mac地址为:00-A0-D1-D1-07-FF。
第二步:交换机全部恢复出厂设置,配置交换机的IP地址
switch(Config)#interface vlan 1
switch(Config-If-Vlan1)#ip address 192.168.1.11 255.255.255.0
switch(Config-If-Vlan1)#no shut
switch(Config-If-Vlan1)#exit
switch(Config)#
第三步:使能端口的MAC地址绑定功能
switch(Config)#interface ethernet 0/0/1
switch(Config-Ethernet0/0/1)#switchport port-security
switch(Config-Ethernet0/0/1)#
第四步:添加端口静态安全MAC地址,缺省端口最大安全MAC地址数为1
switch(Config-Ethernet0/0/1)#switchport port-security mac-address
00-a0-d1-d1-07-ff
验证配置:
switch#show port-security
Security Port MaxSecurityAddr CurrentAddr Security Action
(count) (count)
---------------------------------------------------------------------------
Ethernet0/0/1 1 1 Protect
---------------------------------------------------------------------------
Max Addresses limit per port :128
Total Addresses in System :1
switch#
switch#show port-security address
Security Mac Address Table
---------------------------------------------------------------------------
Vlan Mac Address Type Ports
1 00-a0-d1-d1-07-ff SecurityConfigured Ethernet0/0/1
---------------------------------------------------------------------------
Total Addresses in System :1
Max Addresses limit in System :128
switch#
第五步:使用ping命令验证
PC 端口 Ping 结果 原因
PC1 0/0/1 192.168.1.11 通
PC1 0/0/7 192.168.1.11 不通
PC2 0/0/1 192.168.1.11 通
PC2 0/0/7 192.168.1.11 通
第六步:在一个以太口上静态捆绑多个MAC
Switch(Config-Ethernet0/0/1)#switchport port-security maximum 4
Switch(Config-Ethernet0/0/1)#switchport port-security mac-address
aa-aa-aa-aa-aa-aa
Switch(Config-Ethernet0/0/1)#switchport port-security mac-address
aa-aa-aa-bb-bb-bb
Switch(Config-Ethernet0/0/1)#switchport port-security mac-address
aa-aa-aa-cc-cc-cc
验证配置:
switch#show port-security
Security Port MaxSecurityAddr CurrentAddr Security Action
(count) (count)
---------------------------------------------------------------------------
Ethernet0/0/1 4 4 Protect
---------------------------------------------------------------------------
Max Addresses limit per port :128
Total Addresses in System :4
switch#show port-security address
Security Mac Address Table
---------------------------------------------------------------------------
Vlan Mac Address Type Ports
1 00-a0-d1-d1-07-ff SecurityConfigured Ethernet0/0/1
1 aa-aa-aa-aa-aa-aa SecurityConfigured Ethernet0/0/1
1 aa-aa-aa-bb-bb-bb SecurityConfigured Ethernet0/0/1
1 aa-aa-aa-cc-cc-cc SecurityConfigured Ethernet0/0/1
---------------------------------------------------------------------------
Total Addresses in System :4
Max Addresses limit in System :128
switch#
上面使用的都是静态捆绑MAC的方法,下面介绍动态mac地址绑定的基本方法,首先清空
刚才做过的捆绑。
第七步:清空端口与MAC绑定
switch(Config)#
switch(Config)#int ethernet 0/0/1
switch(Config-Ethernet0/0/1)#no switchport port-security
switch(Config-Ethernet0/0/1)#exit
switch(Config)#exit
验证配置:
switch#show port-security
Security Port MaxSecurityAddr CurrentAddr Security Action
(count) (count)
---------------------------------------------------------------------------
Max Addresses limit per port :128
Total Addresses in System :0
第八步:使能端口的MAC地址绑定功能,动态学习MAC并转换
switch(Config)#interface ethernet 0/0/1
switch(Config-Ethernet0/0/1)#switchport port-security
switch(Config-Ethernet0/0/1)#switchport port-security lock
switch(Config-Ethernet0/0/1)#switchport port-security convert
switch(Config-Ethernet0/0/1)#exit
验证配置:
switch#show port-security address
Security Mac Address Table
---------------------------------------------------------------------------
Vlan Mac Address Type Ports
1 00-a0-d1-d1-07-ff SecurityConfigured Ethernet0/0/1
---------------------------------------------------------------------------
Total Addresses in System :1
Max Addresses limit in System :128
switch#
第九步:使用ping命令验证
PC 端口 Ping 结果 原因
PC1 0/0/1 192.168.1.11 通
PC1 0/0/7 192.168.1.11 不通
PC2 0/0/1 192.168.1.11 不通
PC2 0/0/7 192.168.1.11 通
七、 注意事项和排错
1、如果出现端口无法配置MAC地址绑定功能的情况,请检查交换机的端口是否运行了Spanning-tree,802.1x,端口汇聚或者端口已经配置为Trunk端口。MAC绑定在端口
上与这些配置是互斥的,如果该端口要打开MAC地址绑定功能,就必须首先确认端
口下的上述功能已经被关闭。
2、当动态学习MAC时,无法执行“convert”命令时,请检查PC机网卡是否和该端口正确连接。
3、端口Lock之后,该端口MAC地址学习功能被关闭,不允许其他的MAC进入该端口。
八、 配置序列

九、 课后练习
1、使用三台 PC 测试端口与MAC 绑定功能。
2、实现多个端口统一绑定。
十、 相关配置命令详解
switchport port-security
命令:switchport port-security
no switchport port-security
功能:使能端口MAC 地址绑定功能;本命令的no 操作为关闭端口MAC 地址绑定功能。
命令模式:端口配置模式
缺省情况:交换机端口不打开MAC 地址绑定功能。
使用指南:MAC 地址绑定功能与802.1x、Spanning Tree、端口汇聚功能存在互斥关系,因此如果要打开端口的MAC 地址绑定功能,就必须关闭端口上的802.1x、Spanning Tree、端口汇聚功能,且打开MAC 地址绑定功能的端口不能是Trunk 口。
举例:使能端口1 的MAC 地址绑定功能。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security
switchport port-security convert
命令:switchport port-security convert
功能:将端口学习到的动态MAC 地址转化为静态安全MAC 地址。
命令模式:端口配置模式
使用指南:必须在安全端口锁定之后才能执行端口动态MAC 地址转化命令。执行此命令之后,端口学习到的动态MAC 地址将转化为静态安全MAC 地址。该命令没有配置保留。
举例:将端口1 的MAC 地址转化为静态安全MAC 地址。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security convert
switchport port-security lock
命令:switchport port-security lock
no switchport port-security lock
功能:锁定端口。端口被锁定之后,端口的MAC地址学习功能将被关闭;本命令的no操作为恢复端口的MAC地址学习功能。
命令模式:端口配置模式
缺省情况:端口未锁定
使用指南:端口必须使能MAC 地址绑定功能之后才能执行端口锁定命令。执行端口锁定命令之后,端口将关闭动态MAC 学习功能。
举例:锁定端口1。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security lock
switchport port-security timeout
命令:switchport port-security timeout
no switchport port-security timeout
功能:设置端口锁定的定时器;本命令的no 操作为恢复缺省值。
参数: 锁定时器时间间隔,取值范围为0~300s。
命令模式:端口配置模式
缺省情况:端口未打开端口锁定的定时器。
使用指南:端口锁定定时器功能是一种动态MAC 地址锁定功能,锁定定时器超时就执行MAC 地址锁定操作及将动态MAC 转换为安全MAC 地址的操作。端口必须先开启MAC 地址绑定功能后才能使用此命令。
举例:设置端口1 的锁定时器为30 秒。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)# switchport port-security timeout 30
switchport port-security mac-address
命令:switchport port-security mac-address
no switchport port-security mac-address
功能:添加静态安全MAC 地址;本命令的no 操作为删除静态安全MAC 地址。
命令模式:端口配置模式
参数:为添加/删除的MAC 地址。
使用指南:端口必须使能MAC 地址绑定功能之后才能添加端口静态安全MAC 地址。
举例:添加MAC 00-03-0F-FE-2E-D3 到端口1。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security mac-address 00-03-0F-FE-2E-D3
clear port-security dynamic
命令:clear port-security dynamic [address | interface ]
功能:清除指定端口的动态MAC 地址。
命令模式:特权配置模式
参数:为MAC 地址;为指定的端口号。
使用指南:必须在安全端口锁定之后之后才能执行指定端口的动态MAC 清除操作。如果不指定端口、MAC 地址,则清除所有锁定的安全端口的动态MAC;如果仅指定端口,不指定MAC 地址,则清除指定端口的所有动态MAC 地址。
举例:删除端口1 动态MAC。
Switch#clear port-security dynamic interface Ethernet 0/0/1
switchport port-security maximum
命令:switchport port-security maximum
no switchport port-security maximum
功能:设置端口最大安全MAC 地址数;本命令的no 操作为恢复最大安全地址数为1。
命令模式:端口配置模式
参数: 端口静态安全MAC 地址上限,取值范围1~128。
缺省情况:端口最大安全MAC 地址数为1。
使用指南:端口必须使能MAC 地址绑定功能之后才能设置端口安全MAC 地址上限。如果端口静态安全MAC 地址数大于设置的最大安全MAC 地址数,则设置失败;必须删除端口的静态安全MAC 地址,直到端口静态安全MAC 地址数不大于设置的最大安全MAC 地址数,设置才会成功。
举例:设置端口1 安全MAC 地址上限为4。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security maximum 4
switchport port-security violation
命令:switchport port-security violation {protect | shutdown}
no switchport port-security violation
功能:设置端口违背模式;本命令的no 操作为恢复违背模式为protect。
命令模式:端口配置模式
参数:protect 为保护模式;shutdown 为关闭模式。
缺省情况:端口违背模式为缺省为protect。
使用指南:端口必须使能MAC 地址绑定功能之后才能设置端口违背模式。如果端口违背模式设置为protect,那么当端口安全MAC 地址超过设置的端口安全MAC 上限的时候,端口仅仅关闭动态MAC 地址学习功能;如果端口违背模式设置为shutdown,那么当端口安全MAC地址超过设置的端口安全MAC上限的时候,端口将被关闭,用户可以通过no shutdown命令手工打开该端口。
举例:设置端口1 的违背模式为shutdown。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security violation shutdown
show port-security
命令:show port-security
功能:显示全局安全端口配置情况。
命令模式:特权配置模式
缺省情况:交换机不显示安全端口配置情况。
使用指南:本命令显示交换机当前已经配置为安全端口的端口信息。
举例:
Switch#show port-security
Security Port MaxSecurityAddr CurrentAddr Security Action
(count) (count)
-----------------------------------------------------------------
Ethernet0/0/3 1 1 Protect
Ethernet0/0/4 10 1 Protect
Ethernet0/0/5 1 0 Protect
-----------------------------------------------------------------
Total Addresses in System :2
Max Addresses limit in System :128
显示信息 解释
Security Port 配置为安全端口的端口名
MaxSecurityAddr 安全端口设置的最大安全MAC 地址数
CurrentAddr 安全端口当前安全MAC 地址数
Security Action 端口设置的违背模式
Total Addresses in System 系统中当前安全MAC 地址数
Max Addresses limit in System 系统中最大安全MAC 地址数
show port-security interface
命令:show port-security interface
功能:显示安全端口配置情况。
命令模式:特权配置模式
参数: 指定的显示端口。
缺省情况:交换机不显示安全端口配置情况。
使用指南:本命令显示交换机安全端口的详细配置信息。
举例:
Switch#show port-security interface ethernet 0/0/1
Port Security :Enabled
Port status :Security Up
Violation mode :Protect
Maximum MAC Addresses :1
Total MAC Addresses :1
Configured MAC Addresses :1
Lock Timer is ShutDown
Mac-Learning function is : Opened
显示信息解释
Port Security : 端口是否使能为安全端口
Port status : 端口安全状态
Violation mode : 端口设置的违背模式
Maximum MAC Addresses : 端口设置的安全MAC 地址上限
Total MAC Addresses : 端口当前安全MAC 地址数
Configured MAC Addresses : 端口静态配置的安全MAC 地址数
Lock Timer 端口是否开启锁定的定时器(定时器时间)
Mac-Learning function 端口MAC 地址学习功能是否打开
show port-security address
命令:show port-security address [interface ]
功能:显示端口安全MAC 地址。
命令模式:特权配置模式
参数: 指定的显示端口。
使用指南:本命令显示端口安全MAC 地址信息,如果不指定端口则显示所有端口安全MAC地址。显示内容举例如下:
Switch#show port-security address interface ethernet 0/0/1
Security Mac Address Table
------------------------------------------------------------------------
Vlan Mac Address Type Ports
1 0000.0000.1111 SecureConfigured Ethernet0/0/3
------------------------------------------------------------------------
Total Addresses :1
显示信息 解释
Vlan 安全MAC 地址的VLAN ID
Mac Address 安全MAC 地址
Type 安全MAC 地址类型
Ports 安全MAC 地址所属端口
Total Addresses 系统中当前安全MAC 地址数 

 ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

实验十八、交换机端口与MAC 绑定
一、 实验目的
1、了解什么是交换机的 MAC 绑定功能;
2、熟练掌握 MAC 与端口绑定的静态、动态方式。
二、 应用环境
1、当网络中某机器由于中毒进而引发大量的广播数据包在网络中洪泛时,网络管理员的唯一想法就是尽快地找到根源主机并把它从网络中暂时隔离开。当网络的布置很随意时,任何用户只要插上网线,在任何位置都能够上网,这虽然使正常情况下的大多数用户很满意,但一旦发生网络故障,网管人员却很难快速准确定位根源主机,就更谈不上将它隔离了。端口与地址绑定技术使主机必须与某一端口进行绑定,也就是说,特定主机只有在某个特定端口下发出数据帧,才能被交换机接收并传输到网络上,如果这台主机移动到其他位置,则无法实现正常的连网。这样做看起来似乎对用户苛刻了一些,而且对于有大量使用便携机的员工的园区网并不适用,但基于安全管理的角度考虑,它却起到了至关重要的作用。
2、为了安全和便于管理,需要将 MAC 地址与端口进行绑定,即,MAC 地址与端口绑定后,该MAC 地址的数据流只能从绑定端口进入,不能从其他端口进入。该端口可以允许其他MAC 地址的数据流通过。但是如果绑定方式采用动态lock 的方式会使该端口的地址学习功能关闭,因此在取消lock 之前,其他MAC 的主机也不能从这个端口进入。
三、 实验设备
1、DCS-3926S 交换机1 台
2、PC 机2 台
3、Console 线1 根
4、直通网线 2 根
四、 实验拓扑
五、 实验要求
1、交换机 IP 地址为192.168.1.11/24,PC1 的地址为192.168.1.101/24;PC2 的地址为
192.168.1.102/24。
2、在交换机上作 MAC 与端口绑定;
3、PC1 在不同的端口上ping 交换机的IP,检验理论是否和实验一致。
4、PC2 在不同的端口上ping 交换机的IP,检验理论是否和实验一致。
六、 实验步骤
第一步:得到PC1主机的mac地址
Microsoft Windows XP [版本 5.1.2600]
(C) 版权所有 1985-2001 Microsoft Corp.
C:\>ipconfig/all
Windows IP Configuration
Host Name . . . . . . . . . . . . : xuxp
Primary Dns Suffix . . . . . . . : digitalchina.com
Node Type . . . . . . . . . . . . : Broadcast
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No
Ethernet adapter 本地连接:
Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Intel(R) PRO/100 VE Network Connecti
on
Physical Address. . . . . . . . . : 00-A0-D1-D1-07-FF
Dhcp Enabled. . . . . . . . . . . : Yes
Autoconfiguration Enabled . . . . : Yes
Autoconfiguration IP Address. . . : 169.254.27.232
Subnet Mask . . . . . . . . . . . : 255.255.0.0
Default Gateway . . . . . . . . . :
C:\>
我们得到了PC1主机的mac地址为:00-A0-D1-D1-07-FF。
第二步:交换机全部恢复出厂设置,配置交换机的IP地址
switch(Config)#interface vlan 1
switch(Config-If-Vlan1)#ip address 192.168.1.11 255.255.255.0
switch(Config-If-Vlan1)#no shut
switch(Config-If-Vlan1)#exit
switch(Config)#
第三步:使能端口的MAC地址绑定功能
switch(Config)#interface ethernet 0/0/1
switch(Config-Ethernet0/0/1)#switchport port-security
switch(Config-Ethernet0/0/1)#
第四步:添加端口静态安全MAC地址,缺省端口最大安全MAC地址数为1
switch(Config-Ethernet0/0/1)#switchport port-security mac-address
00-a0-d1-d1-07-ff
验证配置:
switch#show port-security
Security Port MaxSecurityAddr CurrentAddr Security Action
(count) (count)
---------------------------------------------------------------------------
Ethernet0/0/1 1 1 Protect
---------------------------------------------------------------------------
Max Addresses limit per port :128
Total Addresses in System :1
switch#
switch#show port-security address
Security Mac Address Table
---------------------------------------------------------------------------
Vlan Mac Address Type Ports
1 00-a0-d1-d1-07-ff SecurityConfigured Ethernet0/0/1
---------------------------------------------------------------------------
Total Addresses in System :1
Max Addresses limit in System :128
switch#
第五步:使用ping命令验证
PC 端口 Ping 结果 原因
PC1 0/0/1 192.168.1.11 通
PC1 0/0/7 192.168.1.11 不通
PC2 0/0/1 192.168.1.11 通
PC2 0/0/7 192.168.1.11 通
第六步:在一个以太口上静态捆绑多个MAC
Switch(Config-Ethernet0/0/1)#switchport port-security maximum 4
Switch(Config-Ethernet0/0/1)#switchport port-security mac-address
aa-aa-aa-aa-aa-aa
Switch(Config-Ethernet0/0/1)#switchport port-security mac-address
aa-aa-aa-bb-bb-bb
Switch(Config-Ethernet0/0/1)#switchport port-security mac-address
aa-aa-aa-cc-cc-cc
验证配置:
switch#show port-security
Security Port MaxSecurityAddr CurrentAddr Security Action
(count) (count)
---------------------------------------------------------------------------
Ethernet0/0/1 4 4 Protect
---------------------------------------------------------------------------
Max Addresses limit per port :128
Total Addresses in System :4
switch#show port-security address
Security Mac Address Table
---------------------------------------------------------------------------
Vlan Mac Address Type Ports
1 00-a0-d1-d1-07-ff SecurityConfigured Ethernet0/0/1
1 aa-aa-aa-aa-aa-aa SecurityConfigured Ethernet0/0/1
1 aa-aa-aa-bb-bb-bb SecurityConfigured Ethernet0/0/1
1 aa-aa-aa-cc-cc-cc SecurityConfigured Ethernet0/0/1
---------------------------------------------------------------------------
Total Addresses in System :4
Max Addresses limit in System :128
switch#
上面使用的都是静态捆绑MAC的方法,下面介绍动态mac地址绑定的基本方法,首先清空刚才做过的捆绑。
第七步:清空端口与MAC绑定
switch(Config)#
switch(Config)#int ethernet 0/0/1
switch(Config-Ethernet0/0/1)#no switchport port-security
switch(Config-Ethernet0/0/1)#exit
switch(Config)#exit
验证配置:
switch#show port-security
Security Port MaxSecurityAddr CurrentAddr Security Action
(count) (count)
---------------------------------------------------------------------------
---------------------------------------------------------------------------
Max Addresses limit per port :128
Total Addresses in System :0
第八步:使能端口的MAC地址绑定功能,动态学习MAC并转换
switch(Config)#interface ethernet 0/0/1
switch(Config-Ethernet0/0/1)#switchport port-security
switch(Config-Ethernet0/0/1)#switchport port-security lock
switch(Config-Ethernet0/0/1)#switchport port-security convert
switch(Config-Ethernet0/0/1)#exit
验证配置:
switch#show port-security address
Security Mac Address Table
---------------------------------------------------------------------------
Vlan Mac Address Type Ports
1 00-a0-d1-d1-07-ff SecurityConfigured Ethernet0/0/1
---------------------------------------------------------------------------
Total Addresses in System :1
Max Addresses limit in System :128
switch#
第九步:使用ping命令验证
PC 端口 Ping 结果 原因
PC1 0/0/1 192.168.1.11 通
PC1 0/0/7 192.168.1.11 不通
PC2 0/0/1 192.168.1.11 不通
PC2 0/0/7 192.168.1.11 通
七、 注意事项和排错
1、如果出现端口无法配置MAC地址绑定功能的情况,请检查交换机的端口是否运行了Spanning-tree,802.1x,端口汇聚或者端口已经配置为Trunk端口。MAC绑定在端口
上与这些配置是互斥的,如果该端口要打开MAC地址绑定功能,就必须首先确认端
口下的上述功能已经被关闭。
2、当动态学习MAC时,无法执行“convert”命令时,请检查PC机网卡是否和该端口正确连接。
3、端口Lock之后,该端口MAC地址学习功能被关闭,不允许其他的MAC进入该端口。
八、 配置序列

九、 课后练习
1、使用三台 PC 测试端口与MAC 绑定功能。
2、实现多个端口统一绑定。
十、 相关配置命令详解
switchport port-security
命令:switchport port-security
no switchport port-security
功能:使能端口MAC 地址绑定功能;本命令的no 操作为关闭端口MAC 地址绑定功能。
命令模式:端口配置模式
缺省情况:交换机端口不打开MAC 地址绑定功能。
使用指南:MAC 地址绑定功能与802.1x、Spanning Tree、端口汇聚功能存在互斥关系,因此如果要打开端口的MAC 地址绑定功能,就必须关闭端口上的802.1x、Spanning Tree、端口汇聚功能,且打开MAC 地址绑定功能的端口不能是Trunk 口。
举例:使能端口1 的MAC 地址绑定功能。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security
switchport port-security convert
命令:switchport port-security convert
功能:将端口学习到的动态MAC 地址转化为静态安全MAC 地址。
命令模式:端口配置模式
使用指南:必须在安全端口锁定之后才能执行端口动态MAC 地址转化命令。执行此命令之后,端口学习到的动态MAC 地址将转化为静态安全MAC 地址。该命令没有配置保留。
举例:将端口1 的MAC 地址转化为静态安全MAC 地址。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security convert
switchport port-security lock
命令:switchport port-security lock
no switchport port-security lock
功能:锁定端口。端口被锁定之后,端口的MAC地址学习功能将被关闭;本命令的no操作为恢复端口的MAC地址学习功能。
命令模式:端口配置模式
缺省情况:端口未锁定
使用指南:端口必须使能MAC 地址绑定功能之后才能执行端口锁定命令。执行端口锁定命令之后,端口将关闭动态MAC 学习功能。
举例:锁定端口1。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security lock
switchport port-security timeout
命令:switchport port-security timeout
no switchport port-security timeout
功能:设置端口锁定的定时器;本命令的no 操作为恢复缺省值。
参数: 锁定时器时间间隔,取值范围为0~300s。
命令模式:端口配置模式
缺省情况:端口未打开端口锁定的定时器。
使用指南:端口锁定定时器功能是一种动态MAC 地址锁定功能,锁定定时器超时就执行MAC 地址锁定操作及将动态MAC 转换为安全MAC 地址的操作。端口必须先开启MAC 地址绑定功能后才能使用此命令。
举例:设置端口1 的锁定时器为30 秒。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)# switchport port-security timeout 30
switchport port-security mac-address
命令:switchport port-security mac-address
no switchport port-security mac-address
功能:添加静态安全MAC 地址;本命令的no 操作为删除静态安全MAC 地址。
命令模式:端口配置模式参数:为添加/删除的MAC 地址。
使用指南:端口必须使能MAC 地址绑定功能之后才能添加端口静态安全MAC 地址。
举例:添加MAC 00-03-0F-FE-2E-D3 到端口1。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security mac-address 00-03-0F-FE-2E-D3
clear port-security dynamic
命令:clear port-security dynamic [address | interface ]
功能:清除指定端口的动态MAC 地址。
命令模式:特权配置模式
参数:为MAC 地址;为指定的端口号。
使用指南:必须在安全端口锁定之后之后才能执行指定端口的动态MAC 清除操作。如果不指定端口、MAC 地址,则清除所有锁定的安全端口的动态MAC;如果仅指定端口,不指定MAC 地址,则清除指定端口的所有动态MAC 地址。
举例:删除端口1 动态MAC。
Switch#clear port-security dynamic interface Ethernet 0/0/1
switchport port-security maximum
命令:switchport port-security maximum
no switchport port-security maximum
功能:设置端口最大安全MAC 地址数;本命令的no 操作为恢复最大安全地址数为1。
命令模式:端口配置模式
参数: 端口静态安全MAC 地址上限,取值范围1~128。
缺省情况:端口最大安全MAC 地址数为1。
使用指南:端口必须使能MAC 地址绑定功能之后才能设置端口安全MAC 地址上限。如果端口静态安全MAC 地址数大于设置的最大安全MAC 地址数,则设置失败;必须删除端口的静态安全MAC 地址,直到端口静态安全MAC 地址数不大于设置的最大安全MAC 地址数,设置才会成功。
举例:设置端口1 安全MAC 地址上限为4。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security maximum 4
switchport port-security violation
命令:switchport port-security violation {protect | shutdown}
no switchport port-security violation
功能:设置端口违背模式;本命令的no 操作为恢复违背模式为protect。
命令模式:端口配置模式
参数:protect 为保护模式;shutdown 为关闭模式。
缺省情况:端口违背模式为缺省为protect。
使用指南:端口必须使能MAC 地址绑定功能之后才能设置端口违背模式。如果端口违背模式设置为protect,那么当端口安全MAC 地址超过设置的端口安全MAC 上限的时候,端口仅仅关闭动态MAC 地址学习功能;如果端口违背模式设置为shutdown,那么当端口安全MAC地址超过设置的端口安全MAC上限的时候,端口将被关闭,用户可以通过no shutdown命令手工打开该端口。
举例:设置端口1 的违背模式为shutdown。
Switch(Config)#interface Ethernet 0/0/1
Switch(Config-Ethernet0/0/1)#switchport port-security violation shutdown
show port-security
命令:show port-security
功能:显示全局安全端口配置情况。
命令模式:特权配置模式
缺省情况:交换机不显示安全端口配置情况。
使用指南:本命令显示交换机当前已经配置为安全端口的端口信息。
举例:
Switch#show port-security
Security Port MaxSecurityAddr CurrentAddr Security Action
(count) (count)
-----------------------------------------------------------------
Ethernet0/0/3 1 1 Protect
Ethernet0/0/4 10 1 Protect
Ethernet0/0/5 1 0 Protect
-----------------------------------------------------------------
Total Addresses in System :2
Max Addresses limit in System :128
显示信息 解释
Security Port 配置为安全端口的端口名
MaxSecurityAddr 安全端口设置的最大安全MAC 地址数
CurrentAddr 安全端口当前安全MAC 地址数
Security Action 端口设置的违背模式
Total Addresses in System 系统中当前安全MAC 地址数
Max Addresses limit in System 系统中最大安全MAC 地址数
show port-security interface
命令:show port-security interface
功能:显示安全端口配置情况。
命令模式:特权配置模式
参数: 指定的显示端口。
缺省情况:交换机不显示安全端口配置情况。
使用指南:本命令显示交换机安全端口的详细配置信息。
举例:
Switch#show port-security interface ethernet 0/0/1
Port Security :Enabled
Port status :Security Up
Violation mode :Protect
Maximum MAC Addresses :1
Total MAC Addresses :1
Configured MAC Addresses :1
Lock Timer is ShutDown
Mac-Learning function is : Opened
显示信息解释
Port Security : 端口是否使能为安全端口
Port status : 端口安全状态
Violation mode : 端口设置的违背模式
Maximum MAC Addresses : 端口设置的安全MAC 地址上限
Total MAC Addresses : 端口当前安全MAC 地址数
Configured MAC Addresses : 端口静态配置的安全MAC 地址数
Lock Timer 端口是否开启锁定的定时器(定时器时间)
Mac-Learning function 端口MAC 地址学习功能是否打开
show port-security address
命令:show port-security address [interface ]
功能:显示端口安全MAC 地址。
命令模式:特权配置模式
参数: 指定的显示端口。
使用指南:本命令显示端口安全MAC 地址信息,如果不指定端口则显示所有端口安全MAC地址。显示内容举例如下:
Switch#show port-security address interface ethernet 0/0/1
Security Mac Address Table
------------------------------------------------------------------------
Vlan Mac Address Type Ports
1 0000.0000.1111 SecureConfigured Ethernet0/0/3
------------------------------------------------------------------------
Total Addresses :1
显示信息 解释
Vlan 安全MAC 地址的VLAN ID
Mac Address 安全MAC 地址
Type 安全MAC 地址类型
Ports 安全MAC 地址所属端口
Total Addresses 系统中当前安全MAC 地址数 


推荐阅读
  • 如何在服务器主机上实现文件共享的方法和工具
    本文介绍了在服务器主机上实现文件共享的方法和工具,包括Linux主机和Windows主机的文件传输方式,Web运维和FTP/SFTP客户端运维两种方式,以及使用WinSCP工具将文件上传至Linux云服务器的操作方法。此外,还介绍了在迁移过程中需要安装迁移Agent并输入目的端服务器所在华为云的AK/SK,以及主机迁移服务会收集的源端服务器信息。 ... [详细]
  • ejava,刘聪dejava
    本文目录一览:1、什么是Java?2、java ... [详细]
  • 提示信息_局域网内互发提示信息
    本文由编程笔记#小编为大家整理,主要介绍了局域网内互发提示信息相关的知识,希望对你有一定的参考价值。【局域网内互发提示信息】准备工作:1.rege ... [详细]
  • 搭建Windows Server 2012 R2 IIS8.5+PHP(FastCGI)+MySQL环境的详细步骤
    本文详细介绍了搭建Windows Server 2012 R2 IIS8.5+PHP(FastCGI)+MySQL环境的步骤,包括环境说明、相关软件下载的地址以及所需的插件下载地址。 ... [详细]
  • Java序列化对象传给PHP的方法及原理解析
    本文介绍了Java序列化对象传给PHP的方法及原理,包括Java对象传递的方式、序列化的方式、PHP中的序列化用法介绍、Java是否能反序列化PHP的数据、Java序列化的原理以及解决Java序列化中的问题。同时还解释了序列化的概念和作用,以及代码执行序列化所需要的权限。最后指出,序列化会将对象实例的所有字段都进行序列化,使得数据能够被表示为实例的序列化数据,但只有能够解释该格式的代码才能够确定数据的内容。 ... [详细]
  • 本文介绍了C#中生成随机数的三种方法,并分析了其中存在的问题。首先介绍了使用Random类生成随机数的默认方法,但在高并发情况下可能会出现重复的情况。接着通过循环生成了一系列随机数,进一步突显了这个问题。文章指出,随机数生成在任何编程语言中都是必备的功能,但Random类生成的随机数并不可靠。最后,提出了需要寻找其他可靠的随机数生成方法的建议。 ... [详细]
  • Metasploit攻击渗透实践
    本文介绍了Metasploit攻击渗透实践的内容和要求,包括主动攻击、针对浏览器和客户端的攻击,以及成功应用辅助模块的实践过程。其中涉及使用Hydra在不知道密码的情况下攻击metsploit2靶机获取密码,以及攻击浏览器中的tomcat服务的具体步骤。同时还讲解了爆破密码的方法和设置攻击目标主机的相关参数。 ... [详细]
  • C++字符字符串处理及字符集编码方案
    本文介绍了C++中字符字符串处理的问题,并详细解释了字符集编码方案,包括UNICODE、Windows apps采用的UTF-16编码、ASCII、SBCS和DBCS编码方案。同时说明了ANSI C标准和Windows中的字符/字符串数据类型实现。文章还提到了在编译时需要定义UNICODE宏以支持unicode编码,否则将使用windows code page编译。最后,给出了相关的头文件和数据类型定义。 ... [详细]
  • 怎么在PHP项目中实现一个HTTP断点续传功能发布时间:2021-01-1916:26:06来源:亿速云阅读:96作者:Le ... [详细]
  • 本文介绍了使用cacti监控mssql 2005运行资源情况的操作步骤,包括安装必要的工具和驱动,测试mssql的连接,配置监控脚本等。通过php连接mssql来获取SQL 2005性能计算器的值,实现对mssql的监控。详细的操作步骤和代码请参考附件。 ... [详细]
  • EzPP 0.2发布,新增YAML布局渲染功能
    EzPP发布了0.2.1版本,新增了YAML布局渲染功能,可以将YAML文件渲染为图片,并且可以复用YAML作为模版,通过传递不同参数生成不同的图片。这个功能可以用于绘制Logo、封面或其他图片,让用户不需要安装或卸载Photoshop。文章还提供了一个入门例子,介绍了使用ezpp的基本渲染方法,以及如何使用canvas、text类元素、自定义字体等。 ... [详细]
  • 超级简单加解密工具的方案和功能
    本文介绍了一个超级简单的加解密工具的方案和功能。该工具可以读取文件头,并根据特定长度进行加密,加密后将加密部分写入源文件。同时,该工具也支持解密操作。加密和解密过程是可逆的。本文还提到了一些相关的功能和使用方法,并给出了Python代码示例。 ... [详细]
  • Python中sys模块的功能及用法详解
    本文详细介绍了Python中sys模块的功能及用法,包括对解释器参数和功能的访问、命令行参数列表、字节顺序指示符、编译模块名称等。同时还介绍了sys模块中的新功能和call_tracing函数的用法。推荐学习《Python教程》以深入了解。 ... [详细]
  • 原因:在vm上装7.9到sp3,打补丁到1644,再往后别打了,就打就打不开终端了,这个是java安全问题,以下只是终端的一些命令,记录一下:在系统下查看当前的串口:lsdev-C ... [详细]
  • 如何在服务器screate.aspx文件执行_如何在windows环境下,用Goland IDE编译go的linux可执行文件...
    欢迎关注我的头条号:Wooola,专注于Java、Golang、微服务架构,致力于每天分享原创文章、快乐编码和开源技术。前言最近楼主做了一 ... [详细]
author-avatar
工程技术公司团委
这个家伙很懒,什么也没留下!
PHP1.CN | 中国最专业的PHP中文社区 | DevBox开发工具箱 | json解析格式化 |PHP资讯 | PHP教程 | 数据库技术 | 服务器技术 | 前端开发技术 | PHP框架 | 开发工具 | 在线工具
Copyright © 1998 - 2020 PHP1.CN. All Rights Reserved | 京公网安备 11010802041100号 | 京ICP备19059560号-4 | PHP1.CN 第一PHP社区 版权所有