端口安全技术

背景

1. 企业要求接入层交换机上每个连接终端设备的接口均只允许一台pc接入网络（限制MAC地址接入数量）。如果有员工试图在某个接口下级联一台交换机或者路由器，那么这种行为应该被发现或者禁止。
2. 另一些企业还可能会要求只有MAC地址为可信任的终端发送的数据帧才允许被交换机转发到上层网络，员工不能私自更换位置（变更交换机的接入端口）。
3. 通过交换机的端口安全（port security）特性可以解决这些问题。

端口安全概述

1. 通过在交换机的特定接口上部署端口安全，可以限定接口的MAC地址学习数量，并且配置出现越限时的惩罚措施。
2. 端口安全通过将接口学习到的动态MAC地址转换为安全MAC地址（包括安全动态MAC，安全静态MAC和sticky MAC），阻止非法用户通过接口和交换机通信，从而增强设备的安全性。

端口安全技术原理

端口安全配置命令

1、使能端口安全功能

接口模式下：port-security enable//缺省情况下，未使能端口安全功能

2、配置端口安全动态MAC学习限制数量

接口模式下：port-security max-max-num max-number //缺省情况下，接口学习的安全MAC地址限制数量为1

3、手工配置安全静态MAC地址表项

接口模式下：port-security mac-address mac-address vlan vlan-id

4、配置端口安全保护动作

端口模式下：port-security protect-action {protect|restrict|shutdown} //缺省情况下，端口安全保护动作为restrict

5、配接口学习到的安全动态MAC地址的老化时间

接口模式下：port-security aging-time time [type{absolute|inactivity}] //缺省情况下，接口学习的安全动态MAC地址不老化

6、使能接口Sticky MAC功能

接口模式下：port-security mac-address sticky //缺省情况下，接口未使能sticky MAC功能

7、配置接口Sticky MAC学习限制数量

接口模式下：port-security max-mac-num max-number //缺省数量为1

8、手工配置一条sticky-mac表项

接口模式下：port-security mac-address sticky mac-address vlan vlan-id

配置实例

[sw1]display current-configuration  

#

sysname sw1

#

vlan batch 10 20

#

cluster enable

ntdp enable

ndp enable

#

drop illegal-mac alarm

#

dhcp enable

#

diffserv domain default

#

drop-profile default

#

ip pool dhcpvlan10

gateway-list 10.1.1.1

network 10.1.1.0 mask 255.255.255.0

dns-list 8.8.8.8

#

aaa

authentication-scheme default

authorization-scheme default

accounting-scheme default

domain default

domain default_admin

local-user admin password simple admin

local-user admin service-type http

#

interface Vlanif1

#

interface Vlanif10

ip address 10.1.1.1 255.255.255.0

dhcp select global

#

interface MEth0/0/1

#

interface GigabitEthernet0/0/1

port link-type access

port default vlan 10

port-security enable

port-security protect-action shutdown

port-security max-mac-num 5

#

interface GigabitEthernet0/0/2

port link-type access

port default vlan 10

#

interface GigabitEthernet0/0/3

port link-type access

port default vlan 10

#

interface GigabitEthernet0/0/4

#

interface GigabitEthernet0/0/5

#

interface GigabitEthernet0/0/6

#

interface GigabitEthernet0/0/7

#

interface GigabitEthernet0/0/8

#

interface GigabitEthernet0/0/9

#

interface GigabitEthernet0/0/10

#

interface GigabitEthernet0/0/11

#

interface GigabitEthernet0/0/12

#

interface GigabitEthernet0/0/13

#

interface GigabitEthernet0/0/14

#

interface GigabitEthernet0/0/15

#

interface GigabitEthernet0/0/16

#

interface GigabitEthernet0/0/17

#

interface GigabitEthernet0/0/18

#

interface GigabitEthernet0/0/19

#

interface GigabitEthernet0/0/20

#

interface GigabitEthernet0/0/21

#

interface GigabitEthernet0/0/22

#

interface GigabitEthernet0/0/23

#

interface GigabitEthernet0/0/24

#

interface NULL0

#

user-interface con 0

idle-timeout 0 0

user-interface vty 0 4

#

return

[sw1]