最新要闻

广告

手机

iphone11大小尺寸是多少?苹果iPhone11和iPhone13的区别是什么?

iphone11大小尺寸是多少?苹果iPhone11和iPhone13的区别是什么?

警方通报辅警执法直播中被撞飞:犯罪嫌疑人已投案

警方通报辅警执法直播中被撞飞:犯罪嫌疑人已投案

家电

思科交换机的密码策略与端口安全设置

来源:博客园
#所有password用思科私有方式加密 系统密码作为可逆密文存储在配置中conf t service password-encryption

交换机的端口安全-port-security的概念

port-security的功能:

1. 通过对限制接口的最大mac数量从而限制接入的主机用户

2. 限定接口所连接的特定MAC,从而实现接入用户的限制


(相关资料图)

依据: 通过安全地址判断-security MAC address

port-security 安全地址 secure mac address

当我们将接口允许的MAC地址数量设置为1并且为接口设置一个安全地址,那么这个接口将只为该MAC所属的PC服务,也就是源为该MAC的数据帧能够进入该接口

惩罚激活模式 violation

当一个激活了Port-Security的接口上,MAC地址数量已经达到了配置的最大安全地址数量,并且又收到了一个新的数据帧,而这个数据帧的源MAC并不在这些安全地址中,那么启动惩罚措施当在一个Port-Security接口上配置了某个安全地址,而这个安全地址的MAC又企图在同VLAN的另一个Port-Security接口上接入时,启动惩罚措施

port-security 和sticky mac

通过接口动态学习的MAC地址构成的安全地址表项,在接口出现up/down后,将会丢失这些通过动态学习到的MAC构成的安全地址表项,但是所有的接口都用switchport port-security mac-address手工来配置,工作量又太大。因此这个sticky mac地址,可以让我们将这些动态学习到的MAC变成“粘滞状态”,可以简单的理解为,我先动态的学,学到之后我再将你粘起来,形成一条”静态“ (实际上是SecureSticky)的表项。在up/down现象出现后仍能保存。而在使用wr后,这些sticky安全地址将被写入start-up config,即使设备重启也不会被丢失

默认的port-security配置

port-security disable

默认的最大允许安全MAC地址数量 1

惩罚模式  shutdown (进入err-disable状态) #除了shutdown模式还有protect和restrict模式

port-security配置步骤

1. 进入接口激活port-security

2. 配置每个接口的安全地址(secure mac address)

3. 配置port-security惩罚机制 shutdown | protect | restrict

4. (选做) 配置安全地址老化时间

port-security配置

1. 激活port-security(access口)
1 Switch(config)#int f0/1 2 Switch(config-if)#switchport mode access 3 Switch(config-if)#switchport access vlan 10 4 % Access VLAN does not exist. Creating vlan 10 5 Switch(config-if)#exit 6 Switch(config)#vlan 10 7 Switch(config-vlan)#exit 8 Switch(config)#vlan 20 9 Switch(config-vlan)#exit10 Switch(config)#switch access vlan 10 11                 ^12 % Invalid input detected at "^" marker.13     14 Switch(config)#int f0/115 Switch(config-if)#switchport access vlan 1016 Switch(config-if)#switch port-security17 Switch(config-if)#do sh port-security int f0/1 #查看接口的port-security状态18 Port Security              : Enabled19 Port Status                : Secure-up  20 Violation Mode             : Shutdown    #违反策略的惩罚措施 21 Aging Time                 : 0 mins     22 Aging Type                 : Absolute23 SecureStatic Address Aging : Disabled24 Maximum MAC Addresses      : 1        #最大的安全地址个数 默认为125 Total MAC Addresses        : 026 Configured MAC Addresses   : 0        #手工静态配置的安全mac地址27 Sticky MAC Addresses       : 0        #sticky的安全地址28 Last Source Address:Vlan   : 0000.0000.0000:0 #最近的一个安全地址+vlan29 Security Violation Count   : 0        #接口历史上出现过的违例次数
2. port-security的惩罚措施
1 Switch(config-if)#int f0/12 Switch(config-if)#switchport port-security violation restrict

protect :仅丢弃非法数据帧

restrict 丢弃非法数据帧同时产生一个syslog消息

shutdown 端口设置成err-disable,接口不可用 同时产生要给syslog消息

3.配置port-security最大允许的安全地址数量
Switch(config-if)#switchport port-security ?  aging        Port-security aging commands  #老化时间  mac-address  Secure mac address        #安全mac地址  maximum      Max secure addresses       # 最大安全地址数量  violation    Security violation mode     #惩罚措施Switch(config-if)#switchport port-security maximum 1
4.配置port-security接口手工配置安全地址
1 Switch(config-if)#int f0/1 2 Switch(config-if)#switchport mode access 3 Switch(config-if)#switchport access vlan 10 4 Switch(config-if)#switc 5 Switch(config-if)#switchport port-se 6 Switch(config-if)#switchport port-security maxim 7 Switch(config-if)#switchport port-security maximum 2 8 Switch(config-if)#switchport prot 9 Switch(config-if)#switchport port10 Switch(config-if)#switchport port-security ?11   aging        Port-security aging commands12   mac-address  Secure mac address13   maximum      Max secure addresses14   violation    Security violation mode15   18 Switch(config-if)#switchport port-security mac-address xx
最大安全地址数设置为2,然后使用手工配置了一个安全地址,那么剩下1个,交换机可以通过动态学习的方式来构建安全地址。
5.port-security接口使用sticky mac地址
1 Switch(config-if)#int f0/12 Switch(config-if)#switchport mode access3 Switch(config-if)#switchport access vlan 104 Switch(config-if)#switchport port-security maximum 25 Switch(config-if)#switchport port-security mac-address sticky 

Switch(config-if)#do sh mac-address-table

Mac Address Table

-------------------------------------------

Vlan Mac Address Type Ports

---- ----------- -------- -----

10 0006.2ae9.575e STATIC Fa0/1

Switch(config-if)#switchport port-security mac-address sticky 0006.2ae9.575e

Found duplicate mac-address 0006.2ae9.575e.

关键词: 老化时间 思科交换机