第3章 交換機(jī)端口安全

第3章交換機(jī)端口安全2/5/20231網(wǎng)絡(luò)設(shè)備配置與管理學(xué)習(xí)任務(wù)掌握交換機(jī)交換的基本原理。主要是MAC地址在交換機(jī)交換數(shù)據(jù)信息中所起的作用。掌握交換機(jī)端口安全配置掌握MAC地址表建立過程熟練掌握思科交換機(jī)MAC地址表的管理的命令2/5/20232網(wǎng)絡(luò)設(shè)備配置與管理基本原理連接在交換機(jī)端口上的主機(jī)通過地址解析協(xié)議ARP相互查詢對方網(wǎng)卡的物理地址(又稱MAC地址，即MediaAccessC

ontrol地址)，以便進(jìn)行相互間的數(shù)據(jù)幀的傳輸。由于交換機(jī)在數(shù)據(jù)傳遞過程中不用檢查第三層(網(wǎng)絡(luò)層)的包頭信息，而是直接由第二層幀結(jié)構(gòu)中的MAC地址來決定數(shù)據(jù)的轉(zhuǎn)發(fā)目標(biāo)，因此，數(shù)據(jù)的交換過程幾乎沒有軟件的參與，從而大大提高了交換進(jìn)程的速率。2/5/20233網(wǎng)絡(luò)設(shè)備配置與管理基本原理在交換式網(wǎng)絡(luò)中，各主機(jī)的MAC地址是存儲(chǔ)在交換機(jī)的MAC地址表(也稱MAC地址數(shù)據(jù)庫)中的。交換機(jī)在工作過程中，會(huì)向MAC地址表不斷寫入新學(xué)到的MAC地址。一旦交換機(jī)掉電或重新上電后，其內(nèi)部的MAC地址表會(huì)被自動(dòng)清空或清空后又重新建立。2/5/20234網(wǎng)絡(luò)設(shè)備配置與管理MAC地址MAC地址是固化在網(wǎng)卡內(nèi)部用于唯一確定網(wǎng)卡身份的標(biāo)識(shí)，是網(wǎng)卡在生產(chǎn)時(shí)被永久寫入芯片的固定值。全球的網(wǎng)卡生產(chǎn)廠商按照買得的MAC地址范圍制造網(wǎng)卡，因此不會(huì)有兩塊相同MAC地址的網(wǎng)卡。這樣，MAC地址就可用做唯一標(biāo)識(shí)設(shè)備的地址。第二層交換過程通過使用MAC地址在低層實(shí)現(xiàn)通信尋的，即是說，網(wǎng)絡(luò)中的數(shù)據(jù)包最終是通過MAC地址找到目標(biāo)的。2/5/20235網(wǎng)絡(luò)設(shè)備配置與管理局域網(wǎng)的三種幀交換方式局域網(wǎng)交換機(jī)在傳送數(shù)據(jù)時(shí)，采用幀交換(FrameSwitching)，該技術(shù)包括三種主要的交換方式，即：存儲(chǔ)轉(zhuǎn)發(fā)(StoreandForward)伺機(jī)通過(CutThrough)自由分段(FragmentFree)。2/5/20236網(wǎng)絡(luò)設(shè)備配置與管理存儲(chǔ)轉(zhuǎn)發(fā)LANswitch復(fù)制整個(gè)幀到它的緩沖區(qū)里。然后計(jì)算CRC。幀的長短可能不一樣,所以延時(shí)根據(jù)幀的長短而變化。如果CRC不正確,幀將被丟棄;如果正確，LANswitch查找硬件目標(biāo)地址然后轉(zhuǎn)發(fā)它們。交換機(jī)需要解讀數(shù)據(jù)幀的目的地址與源地址，并在MAC地址列表中進(jìn)行適當(dāng)?shù)倪^濾。2/5/20237網(wǎng)絡(luò)設(shè)備配置與管理存儲(chǔ)轉(zhuǎn)發(fā)如果所接收到的數(shù)據(jù)幀存在錯(cuò)誤、太短(小于64B)或太長(大于l518B)，最終都會(huì)被拋棄。采用這種轉(zhuǎn)發(fā)方式的交換機(jī)在接收數(shù)據(jù)幀時(shí)延遲較大，且越大的數(shù)據(jù)幀延遲時(shí)間越長。2/5/20238網(wǎng)絡(luò)設(shè)備配置與管理伺機(jī)通過Cisco稱這種模式叫cut-through,fastforward或者realtime模式,使用這種模式的時(shí)候，LANswitch只讀取到幀的目標(biāo)地址為止,減少延時(shí),但是不適合于高偏向錯(cuò)誤率的網(wǎng)絡(luò)。在減少傳輸延遲的同時(shí)也削減了對數(shù)據(jù)幀的錯(cuò)誤檢測能力。2/5/20239網(wǎng)絡(luò)設(shè)備配置與管理自由分段fragmentfree(modifiedcut-through):和cut-through類似，但在轉(zhuǎn)發(fā)數(shù)據(jù)之前，過濾有包錯(cuò)誤的沖突分段(長度為64B)。這是因?yàn)橥ǔＵJ(rèn)為數(shù)據(jù)幀的錯(cuò)誤總是發(fā)生在剛開始的64B內(nèi)。該方式的錯(cuò)誤檢測級別要高于伺機(jī)通過交換方式。是Catalyst1900的默認(rèn)模式。2/5/202310網(wǎng)絡(luò)設(shè)備配置與管理學(xué)習(xí)情境2/5/202311網(wǎng)絡(luò)設(shè)備配置與管理端口安全配置任務(wù)計(jì)劃與設(shè)計(jì)設(shè)計(jì)局域網(wǎng)中的計(jì)算機(jī)配置192.168.1.0/30網(wǎng)段的地址。圖3-2標(biāo)出了每臺(tái)計(jì)算機(jī)的具體IP地址。交換機(jī)的名稱為switch1。設(shè)計(jì)交換機(jī)的Fa0/1端口只允許PC1通過。2/5/202312網(wǎng)絡(luò)設(shè)備配置與管理任務(wù)實(shí)施與驗(yàn)證2/5/202313網(wǎng)絡(luò)設(shè)備配置與管理2/5/202314網(wǎng)絡(luò)設(shè)備配置與管理2/5/202315網(wǎng)絡(luò)設(shè)備配置與管理配置交換機(jī)端口安全Switch1>enaSwitch1#conftSwitch1(config)#intf0/1Switch1(config-if)#shutdownSwitch1(config-if)#switchportmodeaccessSwitch1(config-if)#switchportport-securitySwitch1(config-if)#switchportport-securitymaximum1Switch1(config-if)#switchportport-securityviolationshutdownSwitch1(config-if)#switchportport-securitymac-address00D0.BC49.D378！設(shè)定PC1的安全MAC地址。Switch1(config-if)#noshut

2/5/202316網(wǎng)絡(luò)設(shè)備配置與管理查看交換機(jī)端口安全信息Switch1#showmac-address-table

MacAddressTable-------------------------------------------VlanMacAddressTypePorts---------------