端口安全技術(shù)白皮書

端口安全技術(shù)白皮書技術(shù)白皮書-端口安全技術(shù)白皮書-端口安全1端口安全PAGE1PAGE11端口安全關(guān)于本章介紹應(yīng)用介紹

端口安全（PortSecurity）功能將交換機接口學(xué)習(xí)到的MAC地址變?yōu)榘踩玀AC地址（包括安全動態(tài)MC和SckyMACACC原理描述端口學(xué)習(xí)安全MAC地址的方式安全MAC地址分為兩種：安全動態(tài)MAC與StickyMAC。二者定義及區(qū)別如下：MACStickyMACMACMAC地址不會被老化，設(shè)備重啟后安全動態(tài)MACStickyMACStickyMACMAC地址。StickyMACStickyMACMACMACMACMACMACMACStickyMAC功能，安全動態(tài)MACStickyMACMACStickyMACMACMAC安全MAC地址學(xué)習(xí)數(shù)限制缺省情況下，每個接口僅可以學(xué)習(xí)一個安全MAC地址，用戶可以配置接口學(xué)習(xí)安全MAC地址的最大數(shù)量限制。端口安全保護動作用戶可以配置端口安全的保護動作，當(dāng)端口學(xué)習(xí)到的安全MAC地址數(shù)量達到限制時，可以選擇采取以下某一種動作：protect：當(dāng)學(xué)習(xí)到的MACMAC表restrictMACMAC表shutdownMACShutdown缺省情況下，端口安全保護動作為restrict。手動指定安全MAC地址表項用戶可以通過命令port-securitymac-addresssticky手動配置sticky-mac表項。本文中的配置命令及配置文件均以S7700交換機舉例。安全動態(tài)MAC的配置在使用端口安全之前，請確保已完成以下任務(wù)：MACMUXVLANMAC802.1x關(guān)閉DHCPSnoopingMACGE1/0/1[Switch]interfacegigabitethernet1/0/1[Switch-GigabitEthernet1/0/1]port-securityenableMAC5shutdown。[Switch-GigabitEthernet1/0/1]port-securitymax-mac-num5[Switch-GigabitEthernet1/0/1]port-securityprotect-actionshutdowndisplaymac-addresssecurity命令查看安全動態(tài)MAC[Switch]mac-addresssecurityMACAddress VLAN/VSI Type0019-21db-25a31/- GE1/0/1 securityTotalitemsdisplayed=1StickyMAC的配置在使用端口安全之前，請確保已完成以下任務(wù)：MACMUXVLANMAC802.1x關(guān)閉DHCPSnoopingMACGE1/0/2StickyMAC[Switch]interfacegigabitethernet1/0/2[Switch-GigabitEthernet1/0/2]port-securityenable[Switch-GigabitEthernet1/0/2]port-securitymac-addressstickyMAC5shutdown。[Switch-GigabitEthernet1/0/2]port-securitymax-mac-num5[Switch-GigabitEthernet1/0/2]port-securityprotect-actionshutdownGE1/0/2MAC0001-0001-0001VLAN2的StickyMAC[Switch-GigabitEthernet1/0/2]port-securitymac-addresssticky0001-0001-0001vlan2displaymac-addressstickyStickyMAC[Switch]mac-addressstickyMACAddress VLAN/VSI Type0025-9eff-ffff1/-GE1/0/2sticky0001-0001-00012/-GE1/0/2stickyTotalitemsdisplayed=2應(yīng)用1.3.1端口安全典型組網(wǎng)應(yīng)用如1-1SwitchMAC使用自己帶來的PC圖1-1配置端口安全示例組網(wǎng)圖Switch的配置文件。#sysnameSwitch#vlanbatch#interfaceGigabitEthernet1/0/1portlink-typetrunkporttrunkallow-passvlan10port-securityena