網(wǎng)絡構(gòu)建實驗二 交換機端口隔離及端口安全

1、計算機網(wǎng)絡構(gòu)建實驗報告實驗組號： 課程： 班級： 實驗名稱：實驗二 交換機端口隔離及端口安全 姓 名_ 實 驗 日 期： 學 號_ 實驗報告日期： 同組人姓名_ 報 告 退 發(fā)： ( 訂正 、 重做 )同組人學號_ _ 教 師 審 批 簽 字：通過 不通過 實驗二 交換機端口隔離及端口安全背景描述：假設你所用的交換機是寬帶小區(qū)城域網(wǎng)中的1臺樓道交換機，住戶PC1連接在交換機的0/1口，住戶PC2連接在交換機的0/2口。住戶不希望他們之間能夠相互訪問，現(xiàn)要實現(xiàn)各家各戶的端口隔離。一、:實驗名稱:交換機端口隔離二、實驗目的:1. 熟練掌握網(wǎng)絡互聯(lián)設備-交換機的基本配置方法2. 理解和掌握Port

2、Vlan的配置方法三、實驗設備：每一實驗小組提供如下實驗設備 1、 實驗臺設備：計算機兩臺PC1和PC2（或者PC4和PC5）2、 實驗機柜設備： S2126(或者S3550)交換機一臺3、 實驗工具及附件：網(wǎng)線測試儀一臺 跳線若干 四、實驗原理及要求：1、Vlan(virual laocal area network,虛擬局域網(wǎng))，是指在一個物理網(wǎng)段內(nèi)，進行邏輯的劃分，劃分成若干個虛擬局域網(wǎng)。其最大的特性是不受物理位置的限制，可以進行靈活的劃分。VLAN 具備一個物理網(wǎng)段所具備的特性。相同的VLAN內(nèi)的主機可以相互直接訪問，不同的VLAN 間的主機之間互相訪問必須經(jīng)由路由設備進行轉(zhuǎn)發(fā)，廣播包

3、只可以在本VLAN內(nèi)進行傳播，不能傳輸?shù)狡渌鸙LAN中。2、PORT VLAN 是實現(xiàn)VLAN的方式之一，PORT VLAN是利用交換機的端口進行VLAN的劃分，一個普通端口只能屬于一個VLAN。3、交換機端口安全的基本概念§ 利用交換機的端口安全功能實現(xiàn)Ø 防止局域網(wǎng)大部分的內(nèi)部攻擊對用戶、網(wǎng)絡設備造成的破壞，如MAC地址攻擊、ARP攻擊、IP/MAC地址欺騙等。§ 交換機端口安全的基本功能Ø 限制交換機端口的最大連接數(shù)Ø 端口的安全地址綁定Ø 端口防ARP欺騙§ 安全違例產(chǎn)生于以下情況：Ø 如果一個端口被配置為

4、一個安全端口，當其安全地址的數(shù)目已經(jīng)達到允許的最大個數(shù)Ø 如果該端口收到一個源地址不屬于端口上的安全地址的包§ 當安全違例產(chǎn)生時，你可以選擇多種方式來處理違例：Ø Protect：當安全地址個數(shù)滿后，安全端口將丟棄未知名地址（不是該端口的安全地址中的任何一個）的包Ø Restrict：當違例產(chǎn)生時，將發(fā)送一個Trap通知Ø Shutdown：當違例產(chǎn)生時，將關閉端口并發(fā)送一個Trap通知五、實驗注意事項及要求： 1、 實驗中嚴禁在設備端口上隨意插拔線纜，如果確實需要應向老師說明征求許可。2、 以電子文檔形式提交實驗報告。3、 本次實驗結(jié)果保留：

5、是 否 4、 將交換機的配置文檔、驗證計算機的TCP/IP配置信息保存。5、 將交換機的配置信息以圖片的形式保存到實驗報告中。六、實驗用拓撲圖S2126(A)F0/1集成網(wǎng)卡（IP:192.168.10.1/24）Vlan 10Vlan 10S3550(B）F0/4F0/4F0/1PC1PC2集成網(wǎng)卡（IP:192.168.10.2/24）注意：實驗時按照拓撲圖進行網(wǎng)絡的連接，注意主機和交換機連接的端口七、實驗具體步驟及實驗結(jié)果記錄：步驟1、實現(xiàn)兩臺主機的互聯(lián)，確保在未劃分VLAN 前兩臺PC是可以通訊的（即F0/1和F0/2間是可以通訊的）。【實驗結(jié)果記錄】要求將PC1和pc2的IP設置和連

6、通性測試的結(jié)果記錄下來。步驟2、創(chuàng)建VLAN，隔離端口，實現(xiàn)同一VLAN內(nèi)主機的相互通訊。兩臺交換機同時配置，操作相同。1）、啟用“本地連接”網(wǎng)卡，打開設備配置界面，完成以下命令行操作：Ø SWITCHenable 14！進入特權模式Ø SWITCH # configure terminal !進入全局配置模式Ø SWITCH (config)#vlan 10 !創(chuàng)建vlan 10Ø SWITCH (config-vlan)#exit !退回到上一級操作模式Ø SWITCH (config)#vlan 20 !創(chuàng)建vlan 20Ø S

7、WITCH (config-vlan)#end !直接退回到特權模式Ø SWITCH #2）、驗證測試：Ø SWITCH #show vlan !查看已配置的VLAN信息注意：默認情況下，所有的接口都屬于VLAN 13） 將接口F0/1和F0/2分別分配到VLAN10和VLAN20。（注：該步驟兩個同學都要操作）Ø SWITCHenable 14！進入特權模式Ø SWITCH# configure terminal!進入全局配置模式Ø SWITCH（config）#interface fastethernet 0/1 !進入F0/1配置模式&#

8、216; SWITCH（config-if）#switchport access vlan 10 !將接口劃入vlan10Ø SWITCH（config-if）#exit !退回全局配置模式Ø SWITCH（config）#interface fastethernet 0/2 !進入F0/2配置模式Ø SWITCH（config-if）#switchport access vlan 20 !將接口劃入vlan10Ø SWITCH（config-if）#exit!退回全局配置模式ØØ4） 把交換機相連的端口(F0/4端口)定義為tag

9、vlan 模式。（注：該步驟兩個同學都要操作）Ø switch(config)#interface fastethernet 0/4 ！進入接口配置模式Ø switch(config-if)#switchport mode trunk ！將f0/4端口設為tag vlan模式。Ø switch(config-if)#end5） 驗證配置并記錄實驗結(jié)果：Ø SWITCH #show vlan !查看已配置的VLAN信息【實驗結(jié)果記錄】 6） 測試驗證，兩臺主機現(xiàn)在可以相互通訊，并記錄實驗結(jié)果?！緦嶒灲Y(jié)果記錄】步驟3、看交換機端口fastEthernet 0

10、/1的配置信息。Ø s2126-7-1#show interfaces fastEthernet 0/1 switchport參考信息Interface Switchport Mode Access Native Protected VLAN lists- - - - - - -Fa0/1 Enabled Access 10 1 Disabled All【實驗結(jié)果記錄】 步驟4、配置交換機連接計算機的F0/1端口，開啟端口安全功能，綁定MAC及IP地址。§ 下面的例子是配置接口fastethernet0/1上的端口安全功能，配置端口綁定地址，主機MAC為00d0.f800.

11、073c(注：實驗中用交換機F0/1接口所連接計算機的MAC地址配置)，IP為192.168.10.1Ø SWITCH#configure terminalØ SWITCH (config)#interface fastethernet 0/1Ø SWITCH (config-if)#switchport mode accessØ SWITCH (config-if)#switchport port-security ！打開該接口的端口安全功能Ø SWITCH(config-if)#switchport port-security maximu

12、m 1！設置接口上安全地址的最大個數(shù)，范圍是1128，缺省值為128ØØ SWITCH(config-if)#switchportport-securitymac-address 00d0.f800.073c ip-address 192.168.10.1（或者：192.168.10.2） Ø S2126G-1-1 (config-if)# end【特別提醒】端口地址綁定配置中，MAC地址要使用集成網(wǎng)卡的地址，不要使用獨立網(wǎng)卡的地址，如果已經(jīng)綁定了其他的地址，可以先修改安全地址的最大數(shù)超過1個，再次綁定集成網(wǎng)卡的MAC地址，或者刪除綁定錯誤的MAC地址，重新配置M

13、AC地址的綁定。另外要注意MAC地址的使用格式，不要出錯。SWITCH# show port-security address【參考信息】Vlan Mac Address IP Address Type Port Remaining Age(mins)- - - - - -10 0016.76d6.d832 192.168.10.1 Configured Fa0/1 【實驗結(jié)果記錄】 § 查看所有接口的安全統(tǒng)計信息，包括最大安全地址數(shù)，當前安全地址數(shù)以及違例處理方式等Ø SWITCH#show port-security 【參考信息】Secure Port MaxSecur

14、eAddr(count) CurrentAddr(count) Security Action- - - -Fa0/1 1 1 Protect【實驗結(jié)果記錄】步驟5、測試計算機的連通性，兩臺交換機的端口地址綁定都正確的情況下，并不會影響網(wǎng)絡的連通性?！緦嶒灲Y(jié)果記錄】步驟6、將兩臺計算機的連接位置改變，PC1接S3550的F0/1接口，IP改為192.168.10.2/24，PC2接S2126的F0/1接口，IP地址改為：192.168.10.1/24,此時，交換機安全端口上連接的設備的MAC地址發(fā)生了改變，但IP地址沒有變，在這種情況下再測試兩臺計算機的連通性，應該是不通的。【實驗結(jié)果記錄1】

15、PC1和PC2的MAC地址及IP地址【實驗結(jié)果記錄2】連通性測試結(jié)果步驟7、再將兩臺計算機接回原來的位置，此時，交換機安全端口上連接的計算機的物理地址與綁定的地址是一致的，但主機IP地址與綁定的IP是不同的，再測試兩臺計算機還是不通的。【實驗結(jié)果記錄1】PC1和PC2的MAC地址及IP地址【實驗結(jié)果記錄2】連通性測試結(jié)果步驟8、只有將兩臺計算機的IP地址再改回原來值，即PC1:192.168.10.1/24 PC2:192.168.10.2/24,再測試兩臺計算機的連通性，發(fā)現(xiàn)現(xiàn)在可以聯(lián)通了?！緦嶒灲Y(jié)果記錄】步驟9、查看驗證交換機正在運行的配置 switchA#show running-con

16、fig【參考信息】System software version : 1.66(3) Build Sep 7 2006 RelBuilding configuration.Current configuration : 578 bytesversion 1.0hostname s2126-8-1vlan 1!vlan 10!vlan 20!enable secret level 1 5 'T>H.Y*T3UC,tZV4D+S(W54G1X)svenable secret level 14 5 'Ttj9=G13U7R:>H.4u_;C,t54U0<D+Sena

17、ble secret level 15 5 &x;C,tZur<D+S(wx=G1X)sp:>H.Y*T!interface fastEthernet 0/1 switchport access vlan 10 switchport port-security switchport port-security maximum 1 switchport port-security mac-address 0016.76d6.d832 ip-address 192.168.10.1!interface fastEthernet 0/2 switchport access vlan 20!interface fastEthernet 0/4 switchport mode trunk!end【實驗結(jié)果記錄】 【注意事項】1、 交換機所有端口在默認情況下屬于ACCESS端口，可直接將端口加入某一VLAN，利用SWITCHPORT MODE ACCESS/TRUNK命令可以更改端口的VL