网络拓扑结构
一、分析:
1-组成:2台二层交换机,1台物理层的HUB,6台PC机
2-构成:在该拓扑中没有划分VLAN信息,所有PC机都在一个VLAN1信息中;
3-配置:规划IP地址,192.168.10.0/24
4-主题:是局域网安全的配置
(1)配置特权密码;
(2)配置远程登录密码【①最安全的状态就是不连接外网;②不开启远程登录功能】;
(3)存在的问题:就是内部网络的安全;
(4)关闭不必要的端口;
(5)物理设备的安全;
二、要求:
1-网络设备的基本配置——设备名;
2-每台网络设备的用户名和密码;
3-配置特权密码和远程登录密码【本地账号和密码进行登录】
4-配置设备的管理IP地址【一般情况下,在企业中都会存在一个专门用于管理的IP地址;在企业中也会有一个专门的网络管理服务器,负责对网络中的所有设备进行远程管理。】;
三、步骤:
1-配置网络设备的IP地址,子网掩码和网关;
说明:该网络中有存在网关么?【没有,因为我们的网络中没有三层的网络设备,所有可以先规划网关,先配置网关,但是在该网络中网关是没有任何作用的。】
【以PC0为例】
其它的PC机的配置,只是IP地址不同【在网络中不能存在两个完全一样的IP地址】,其他的子网掩码和网关都是不变的。
2-测验网络的连通性;
在没有划分VLAN的情况下【在同一个局域网范围内,所有PC机都能够相互访问】
3-网络设备的基本配置——设备名
说明:HUB属于非智能设备,是不能够对该设备进行配置的。
4-每台网络设备的用户名和密码
【①在网络的配置中,一般情况下,每台网络设备都有自己的设备名和密码,而且是不能够相同的;②在实际工作中,对于网络设备的配置要有相应的文档,在文档中必须要写明网络设备的具体配置和实训的功能;】
sw1(config)#username sw1 secret sw1
Sw2(config)#username sw2 secret sw2
【在实际工作中,设备名在规划的时候,要有一定的意义,要列表,说明每个字母的含义】
5-网络设备在企业中的命名规则
基本格式:公司简称+业务模块+位置+设备型号+编号
(1)公司简称:公司的首字母或特权的字母为主,必须能够代表公司的含义;
(2)业务模块:例如分为Data、Voice;或者按部门划分,如IT(网络管理)、HR(人事部)等等。之所以要把“业务模块”放在第二位,主要是为方便网管系统按照业务模块汇总数据,
(3)位置:广域网自然用城市缩写,局域网可以用楼层之类的。
(4)设备型号:路由器用R开头,交换机用S开头,如:R3845、S2950等等。
(5)编号:路由器可以用A、B……,交换机一般数量比较多可以用01、02、03……
(6)各模块之间可以用下划线或减号连接。
(7)举几个例子:PA_IDC_BJ_R7304_A;HW_IT_3F_S2950_0;
转载于:https://blog.51cto.com/baiyangwyp/128396
6-设置特权密码
sw1(config)#enable secret sw1
Sw2(config)#enable secret sw2
【secret】是加密的秘钥,加密后的密码在网络设备中的显示为【enable secret 5$1$mERr$PhR2dVbINCAD0O1hhjwx0.
7-设置远程登录密码
Sw1(config)#lin vty 0 4
Sw1(config-line)#login local //使用本地用户名和密码作为远程登录的方式
Sw2(config)#lin vty 0 4
Sw2(config-line)#login local //使用本地用户名和密码作为远程登录的方式
8-启动网络设备自带的加密命令
说明:在思科的网络设备中,系统自带了一个加密的口令,为未加密的信息进行加密;
sw1(config)#service password-encryption
Sw2(config)#service password-encryption
9-配置设备的管理IP地址
说明:在该网络中,我们没有规划专门的网络管理IP地址,所有使用网络设备的统一地址作为管理网段;
sw1(config)#int vlan 1
sw1(config-if)#ip add 192.168.10.200 255.255.255.0
sw1(config-if)#no shut
Sw2(config)#int vlan 1
Sw2(config-if)#ip add 192.168.10.201 255.255.255.0
Sw2(config-if)#no shut
10-关闭不必要的端口
sw1(config)#int range f0/4-24,g0/1-2
sw1(config-if-range)#shutdown
Sw2(config)#int range f0/5-24,g0/1-2
Sw2(config-if-range)#shutdown
11-测试:网络管理的可用性
sw1(config-if)#switchport port-security ?
aging Port-security agingcommands
mac-address Secure macaddress //MAC地址,即要将哪个终端设备的MAC地址绑定在该接口上;
maximum Max secureaddresses //规定该接口能够连接终端设备的最大数。
violation Securityviolation mode //规则:当该接口的设置超出或不符合设备的配置时,该设备采取的操作。
参数说明
参数
描述
port-security
接口安全开关,在配置好前期的设置后,在开启。
violation protect
发现违例,则丢弃违例的报文。
violation restrict
发现违例,则丢弃违例的报文并且发送trap。【一般用于实际工作】
violation shutdown
发现违例,则丢弃报文、发送Trap并且关闭接口。【一般用于测验】
缺省配置
接口的安全缺省是关闭的。
命令模式
接口配置模式
使用指导
利用端口安全这个特性,可以通过限制允许访问设备上某个接口的MAC地址以及IP(可选)来实现严格控制对该接口的输入。
当为安全端口(打开了端口安全功能的端口)配置了一些安全地址后,则除了源地址为这些安全地址的包外,这个端口将不转发其它任何报。
此外,还可以限制一个端口上能包含的安全地址最大个数,如果将最大个数设置为1并且为该端口配置一个安全地址,则连接到这个口的工作站(其地址为配置的安全M地址)将独享该端口的全部带宽。
配置举例
下面的例子是在接口Gigabitethernet 1/1 上打开端口安全功能,并设置违例处理为shutdown:
Ruijie(config)# interface gigabitethernet1/1
Ruijie(config-if)# switchport port-security
Ruijie(config-if)# switchport port-security violation shutdown
(2)switchportport-security aging
该命令为一个接口上的所有安全地址配置老化时间。打开这个功能,就需要设置安全地址的最大个数,这样,就可以让设备自动的增加和删除接口上的安全地址。使用该命令的no选项设置老化时间只应用于自动学习的地址,或者关闭老化功能。
switchport port-security aging {static | time time }
no switchport port-security aging {static | time}
参数说明
参数
描述
Static
表示老化时间将同时应用于手工配置的安全地址和自动学习的地址,否则只应用于自动学习的地址。
time time
表示这个端口上安全地址的老化时间,范围是0-1440,单位是分钟。如果设置为0,则老化功能实际上被关闭。
缺省配置
不老化任何安全地址
命令模式
接口配置模式
使用指导
可以在接口配置模式下使用命令no switchport port-security aging time关闭一个接口的安全地址老化功能,使用命令no switchport port-security aging static来是老化时间仅应用于动态学习到的安全地址。
使用show port-security命令查看设置。
配置举例
Ruijie(config)# interface gigabitethernet1/1
Ruijie(config-if)# switchport port-security aging time8
Ruijie(config-if)# switchport port-security aging static
相关命令
命令
描述
show port-security
(3)switchportport-security maximum
switchport port-security maximum value
[no] switchport port-security maximum
参数说明
参数
描述
value
安全地址个数1-128
缺省配置128:命令模式
接口模式
使用指导
安全地址个数包含静态配置和动态学习的安全地址个数的总和,缺省为128个,如果设置的安全地址个数小于当前已有的安全地址个数,将提示设置失败。
即:当该接口设置了最大安全地址个数之后,该接口连接的MAC地址数是有限的,不能超过设置的数量。
配置举例
Ruijie(config)#interg0/10
Ruijie(config-if)# switchport port-security maximum 2
(4)switchportport-security mac-address
接口模式下手工配置静态安全地址,使用no选项删除配置的地址:
[no] switchport port-security mac-addressmac-address[vlan vlan-id]
参数说明
参数
描述
mac-address
静态安全地址【指的是终端网络设备的MAC地址】
vlan-id
MAC地址的VID
注意:仅在TRUNK口下才支持设置vlan-id的设置
缺省配置
无
命令模式
接口模式
配置举例
例1:设置TRUNK接口10的静态安全地址00d0.f800.5555 VID=2:
Ruijie(config)#inter g0/10
Ruijie(config-if)# switchport port-security mac-address 00d0.f800.5555 vlan2
(5)show port-security
show port-security [address] [interfaceinterface-id][all]
参数说明
参数
描述
address
interfaceinterface-id
all
命令模式
特权模式
使用指导
如果使用该命令时不加参数,则显示所有接口的安全设置状态、违例处理等信息,同时显示所有安全地址表的信息。
配置举例
Ruijie# show port-security
Secure Port MaxSecureAddr(count) CurrentAddr(count) Security Action
-------- -------------- ----------- -----------
Gi1/1 128 1 Restrict
Gi1/2 128 0 Restrict
Gi1/3 8 1 Protect
(6)switchportprotected
该命令是将接口设为保护接口。使用该命令的no选项关闭保护接口。
switchport protected
no switchport protected
缺省配置
缺省关闭保护接口
命令模式
接口配置模式
使用指导
当将某些端口设为保护口之后,缺省情况下保护口和保护口之间不能进行二层交换可以进行3层路由,保护口与非保护口之间可以正常通讯。使用show interfaces switchport命令查看设置。
配置举例
Ruijie(config)# interface gigabitethernet 1/1
Ruijie(config-if)# switchport protected
相关命令
show intrfaces switchport 查看接口设置和统计信息。
(1)查看PC0机的MAC地址
sw1(config)#int f0/2 //进入接口
sw1(config-if)#switchport port-security maximum 1 //设置端口的最大连接数是1
sw1(config-if)#switchport port-security mac-address0090.0C3A.959E //绑定允许通过该端口的终端网络设备
sw1(config-if)#switchport port-security violationshutdown //规划当该设备的接口不满足配置要求时,采取的措施;关闭并发送标识;
sw1(config-if)#switchport port-security //启动端口安全
sw1(config-if)#switchport port-security
Command rejected: FastEthernet0/2 is a dynamic port.
解决办法:将该接口的工作模式设置成【access】模式
sw1(config-if)#switchport mode access
sw1#show running-config
现象:PC0无法PING通PC1,且F0/2接口出现了关闭的现象;
原因:F0/2端口启动了端口安全的功能,且该端口允许通过的最大地址数是1,但是在该接口上目前存在两个MAC地址,一个是PC0的MAC地址,另一个是接口F0/2本身的地址;
解决:将接口的最大连接数设置为【2】
第一步:利用命令关闭该接口
sw1(config)#int f0/2
sw1(config-if)#shutdown
第二步:利用命令打开该接口
sw1(config)#int f0/2
sw1(config-if)#no shutdown
第三步:改变该接口的最大连接数
sw1(config)#int f0/2
sw1(config-if)#switchport port-security maximum 2
C:>PING 192.168.10.2
Reply from 192.168.10.2: bytes=32 time=1ms TTL=128
Reply from 192.168.10.2: bytes=32 time<1ms TTL=128
Reply from 192.168.10.2: bytes=32 time=1ms TTL=128
Reply from 192.168.10.2: bytes=32 time<1ms TTL=128
说明:
【0090.0C3A.959E】是设备PC0的MAC地址;
【0006.2AAB.2394】是设备SW1的接口F0/2的地址;
sw1(config)#int f0/3
sw1(config-if)#switchport mode access //设置接口的工作模式
sw1(config-if)#switchport port-security maximum 2 //配置接口最大的连接数
sw1(config-if)#switchport port-security violationshutdown //设置接口错误的处理方法
sw1(config-if)#switchport port-security //启动端口安全
sw1#show running-config
......
interface FastEthernet0/3
switchport mode access
switchport port-security
switchport port-security maximum 2
.....
(3)测验网络安全配置
C:>ping 192.168.10.3
Reply from 192.168.10.3: bytes=32 time=2ms TTL=128
Reply from 192.168.10.3: bytes=32 time=1ms TTL=128
Reply from 192.168.10.3: bytes=32 time<1ms TTL=128
Reply from 192.168.10.3: bytes=32 time=1ms TTL=128
(4)查看网络安全信息
15、思考题
在拓扑图中,交换机SW2的F0/4接口上,应该配置的最小连接数是多少,才能够满足设置的要求?