實驗18 交換機的端口安全

【實驗名稱】

交換機的端口安全配置

【實驗目的】

掌握交換機的端口安全功能，控制用戶的安全接入

【背景描述】

你是一個公司的網(wǎng)絡管理員，公司要求對網(wǎng)絡進行嚴格控制。為了防止公司內(nèi)部用戶的

IP 地址沖突，防止公司內(nèi)部的網(wǎng)絡***和破壞行為。為每一位員工分配了固定的 IP 地址，

并且限制只允許公司員工主機可以使用網(wǎng)絡，不得隨意連接其他主機。例如：某員工分配的

IP地址是172.16.1.55/24，主機MAC地址是00-06-1B-DE-13-B4，該主機連接在1臺2126G

上邊。

【需求分析】

針對交換機的所有端口，配置最大連接數(shù)為 1，針對 PC1 主機的接口進行 IP＋MAC 地

址綁定。

【實驗拓撲】

【預備知識】

路由器基本配置知識、端口安全知識

【實驗設備】

交換機 1 臺

PC 1 臺

直連網(wǎng)線 1 條

【實驗原理】

交換機端口安全功能，是指針對交換機的端口進行安全屬性的配置，從而控制用戶的安

全接入。交換機端口安全主要有兩種類項：一是限制交換機端口的最大連接數(shù)，二是針對交

換機端口進行 MAC 地址、IP 地址的綁定。

限制交換機端口的最大連接數(shù)可以控制交換機端口下連的主機數(shù)，并防止用戶進行惡意

的 ARP 欺騙。

交換機端口的地址綁定，可以針對 IP 地址、MAC 地址、IP＋MAC 進行靈活的綁定。

可以實現(xiàn)對用戶進行嚴格的控制。保證用戶的安全接入和防止常見的內(nèi)網(wǎng)的網(wǎng)絡***。如

ARP 欺騙、IP、MAC 地址欺騙，IP 地址***等。

配置了交換機的端口安全功能后，當實際應用超出配置的要求，將產(chǎn)生一個安全違例，

產(chǎn)生安全違例的處理方式有 3 種：

1、protect 當安全地址個數(shù)滿后，安全端口將丟棄未知名地址（不是該端口的安全

地址中的任何一個）的包。

2、restrict 當違例產(chǎn)生時，將發(fā)送一個 Trap 通知。

3、shutdown 當違例產(chǎn)生時，將關閉端口并發(fā)送一個 Trap 通知。

    當端口因為違例而被關閉后，在全局配置模式下使用命令 errdisable recovery 來將

接口從錯誤狀態(tài)中恢復過來。

【實驗步驟】

步驟1 配置交換機端口的最大連接數(shù)限制

步驟2 驗證交換機端口的最大連接數(shù)限制

步驟3 配置交換機端口的MAC與IP地址綁定

配置交換機端口的地址綁定。

步驟4 查看地址安全綁定配置

步驟5 配置交換機端口的IP地址綁定。