快好知 kuaihz

交换网络端口安全应用实例

网络拓扑结构

一、分析:

1-组成:2台二层交换机,1台物理层的HUB,6台PC机

2-构成:在该拓扑中没有划分VLAN信息,所有PC机都在一个VLAN1信息中;

3-配置:规划IP地址,192.168.10.0/24

4-主题:是局域网安全的配置

(1)配置特权密码;

(2)配置远程登录密码【①最安全的状态就是不连接外网;②不开启远程登录功能】;

(3)存在的问题:就是内部网络的安全

(4)关闭不必要的端口

(5)物理设备的安全

(6)交换机端口的接入安全

二、要求:

1-网络设备的基本配置——设备名;

2-每台网络设备的用户名和密码;

3-配置特权密码和远程登录密码【本地账号和密码进行登录】

4-配置设备的管理IP地址【一般情况下,在企业中都会存在一个专门用于管理的IP地址;在企业中也会有一个专门的网络管理服务器,负责对网络中的所有设备进行远程管理。】;

5-启用端口安全,配置端口安全

三、步骤:

1-配置网络设备的IP地址,子网掩码和网关;

说明:该网络中有存在网关么?【没有,因为我们的网络中没有三层的网络设备,所有可以先规划网关,先配置网关,但是在该网络中网关是没有任何作用的。】

【以PC0为例】

其它的PC机的配置,只是IP地址不同【在网络中不能存在两个完全一样的IP地址】,其他的子网掩码和网关都是不变的。

2-测验网络的连通性;

在没有划分VLAN的情况下【在同一个局域网范围内,所有PC机都能够相互访问】

3-网络设备的基本配置——设备名

说明:HUB属于非智能设备,是不能够对该设备进行配置的。

4-每台网络设备的用户名和密码

【①在网络的配置中,一般情况下,每台网络设备都有自己的设备名和密码,而且是不能够相同的;②在实际工作中,对于网络设备的配置要有相应的文档,在文档中必须要写明网络设备的具体配置和实训的功能;】

sw1(config)#username sw1 secret sw1

Sw2(config)#username sw2 secret sw2

【在实际工作中,设备名在规划的时候,要有一定的意义,要列表,说明每个字母的含义】

5-网络设备在企业中的命名规则

基本格式:公司简称+业务模块+位置+设备型号+编号

(1)公司简称:公司的首字母或特权的字母为主,必须能够代表公司的含义;

(2)业务模块:例如分为Data、Voice;或者按部门划分,如IT(网络管理)、HR(人事部)等等。之所以要把“业务模块”放在第二位,主要是为方便网管系统按照业务模块汇总数据,

(3)位置:广域网自然用城市缩写,局域网可以用楼层之类的。

(4)设备型号:路由器用R开头,交换机用S开头,如:R3845、S2950等等。

(5)编号:路由器可以用A、B……,交换机一般数量比较多可以用01、02、03……

(6)各模块之间可以用下划线或减号连接。

(7)举几个例子:PA_IDC_BJ_R7304_A;HW_IT_3F_S2950_0;

转载于:https://blog.51cto.com/baiyangwyp/128396

6-设置特权密码

sw1(config)#enable secret sw1

Sw2(config)#enable secret sw2

【secret】是加密的秘钥,加密后的密码在网络设备中的显示为【enable secret 5$1$mERr$PhR2dVbINCAD0O1hhjwx0.

7-设置远程登录密码

Sw1(config)#lin vty 0 4

Sw1(config-line)#login local //使用本地用户名和密码作为远程登录的方式

Sw2(config)#lin vty 0 4

Sw2(config-line)#login local //使用本地用户名和密码作为远程登录的方式

8-启动网络设备自带的加密命令

说明:在思科的网络设备中,系统自带了一个加密的口令,为未加密的信息进行加密;

sw1(config)#service password-encryption

Sw2(config)#service password-encryption

9-配置设备的管理IP地址

说明:在该网络中,我们没有规划专门的网络管理IP地址,所有使用网络设备的统一地址作为管理网段;

sw1(config)#int vlan 1

sw1(config-if)#ip add 192.168.10.200 255.255.255.0

sw1(config-if)#no shut

Sw2(config)#int vlan 1

Sw2(config-if)#ip add 192.168.10.201 255.255.255.0

Sw2(config-if)#no shut

10-关闭不必要的端口

sw1(config)#int range f0/4-24,g0/1-2

sw1(config-if-range)#shutdown

Sw2(config)#int range f0/5-24,g0/1-2

Sw2(config-if-range)#shutdown

11-测试:网络管理的可用性

12-端口安全的原理

(1)默认情况下:端口安全的功能是关闭的;

sw1(config-if)#switchport  port-security ?

aging Port-security agingcommands

mac-address  Secure macaddress //MAC地址,即要将哪个终端设备的MAC地址绑定在该接口上;

maximum  Max secureaddresses  //规定该接口能够连接终端设备的最大数。

violation   Securityviolation mode  //规则:当该接口的设置超出或不符合设备的配置时,该设备采取的操作。

参数说明

参数

描述

port-security

接口安全开关,在配置好前期的设置后,在开启。

violation protect

发现违例,则丢弃违例的报文。

violation restrict

发现违例,则丢弃违例的报文并且发送trap。【一般用于实际工作】

violation shutdown

发现违例,则丢弃报文、发送Trap并且关闭接口。【一般用于测验】

缺省配置

接口的安全缺省是关闭的。

命令模式

接口配置模式

使用指导

利用端口安全这个特性,可以通过限制允许访问设备上某个接口的MAC地址以及IP(可选)来实现严格控制对该接口的输入。

当为安全端口(打开了端口安全功能的端口)配置了一些安全地址后,则除了源地址为这些安全地址的包外,这个端口将不转发其它任何报。

此外,还可以限制一个端口上能包含的安全地址最大个数,如果将最大个数设置为1并且为该端口配置一个安全地址,则连接到这个口的工作站(其地址为配置的安全M地址)将独享该端口的全部带宽。

配置举例

下面的例子是在接口Gigabitethernet 1/1 上打开端口安全功能,并设置违例处理为shutdown:

Ruijie(config)# interface gigabitethernet1/1

Ruijie(config-if)# switchport port-security

Ruijie(config-if)# switchport port-security violation shutdown

(2)switchportport-security aging

该命令为一个接口上的所有安全地址配置老化时间。打开这个功能,就需要设置安全地址的最大个数,这样,就可以让设备自动的增加和删除接口上的安全地址。使用该命令的no选项设置老化时间只应用于自动学习的地址,或者关闭老化功能。

switchport port-security aging {static | time time }

no switchport port-security aging {static | time}

参数说明

参数

描述

Static

表示老化时间将同时应用于手工配置的安全地址和自动学习的地址,否则只应用于自动学习的地址。

time time

表示这个端口安全地址的老化时间,范围是0-1440,单位是分钟。如果设置为0,则老化功能实际上被关闭。

缺省配置

不老化任何安全地址

命令模式

接口配置模式

使用指导

可以在接口配置模式下使用命令no switchport port-security aging time关闭一个接口的安全地址老化功能,使用命令no switchport port-security aging static来是老化时间仅应用于动态学习到的安全地址。

使用show port-security命令查看设置。

配置举例

Ruijie(config)# interface gigabitethernet1/1

Ruijie(config-if)# switchport port-security aging time8

Ruijie(config-if)# switchport port-security aging static

相关命令

命令

描述

show port-security

显示端口安全的设置信息和安全地址。

(3)switchportport-security maximum

设置端口最大安全地址个数,使用no选项可恢复缺省个数:

switchport port-security maximum value

[no] switchport port-security maximum

参数说明

参数

描述

value

安全地址个数1-128

缺省配置128:命令模式

接口模式

使用指导

安全地址个数包含静态配置和动态学习的安全地址个数的总和,缺省为128个,如果设置的安全地址个数小于当前已有的安全地址个数,将提示设置失败。

即:当该接口设置了最大安全地址个数之后,该接口连接的MAC地址数是有限的,不能超过设置的数量。

配置举例

例1:设置口10的端口安全地址个数为2:

Ruijie(config)#interg0/10

Ruijie(config-if)# switchport port-security maximum 2

(4)switchportport-security mac-address

接口模式下手工配置静态安全地址,使用no选项删除配置的地址:

[no] switchport port-security mac-addressmac-address[vlan vlan-id]

参数说明

参数

描述

mac-address

静态安全地址【指的是终端网络设备的MAC地址】

vlan-id

MAC地址的VID

注意:仅在TRUNK口下才支持设置vlan-id的设置

缺省配置

命令模式

接口模式

配置举例

例1:设置TRUNK接口10的静态安全地址00d0.f800.5555 VID=2:

Ruijie(config)#inter g0/10

Ruijie(config-if)# switchport port-security mac-address 00d0.f800.5555  vlan2

(5)show port-security

显示端口安全的设置信息和安全地址。

show port-security [address] [interfaceinterface-id][all]

参数说明

参数

描述

address

显示所有的安全地址,或者是指定接口的所有安全地址。

interfaceinterface-id

显示指定接口的端口安全设置信息。

all

显示所有接口的端口安全设置信息。

命令模式

特权模式

使用指导

如果使用该命令时不加参数,则显示所有接口的安全设置状态、违例处理等信息,同时显示所有安全地址表的信息。

配置举例

Ruijie# show port-security

Secure Port MaxSecureAddr(count) CurrentAddr(count) Security Action

-------- -------------- ----------- -----------

Gi1/1 128 1 Restrict

Gi1/2 128 0 Restrict

Gi1/3 8 1 Protect

(6)switchportprotected

该命令是将接口设为保护接口。使用该命令的no选项关闭保护接口。

switchport protected

no switchport protected

缺省配置

缺省关闭保护接口

命令模式

接口配置模式

使用指导

当将某些端口设为保护口之后,缺省情况下保护口和保护口之间不能进行二层交换可以进行3层路由,保护口与非保护口之间可以正常通讯。使用show interfaces switchport命令查看设置。

配置举例

Ruijie(config)# interface gigabitethernet 1/1

Ruijie(config-if)# switchport protected

相关命令

show intrfaces switchport  查看接口设置和统计信息。

13-配置静态端口安全

(1)查看PC0机的MAC地址

(2)配置端口安全

sw1(config)#int f0/2  //进入接口

sw1(config-if)#switchport port-security maximum 1 //设置端口的最大连接数是1

sw1(config-if)#switchport port-security mac-address0090.0C3A.959E //绑定允许通过该端口的终端网络设备

sw1(config-if)#switchport port-security violationshutdown //规划当该设备的接口不满足配置要求时,采取的措施;关闭并发送标识;

sw1(config-if)#switchport port-security  //启动端口安全

注意:当在配置网络端口安全时,提示如下信息,如何解决

sw1(config-if)#switchport port-security

Command rejected: FastEthernet0/2 is a dynamic port.

提示:该接口是一个动态接口,不能配置用于配置端口安全

解决办法:将该接口的工作模式设置成【access】模式

sw1(config-if)#switchport mode access

(3)查看端口安全的配置

sw1#show running-config

(4)查看端口安全的信息

(5)查看端口安全的地址

(6)验证端口安全

现象:PC0无法PING通PC1,且F0/2接口出现了关闭的现象;

原因:F0/2端口启动了端口安全的功能,且该端口允许通过的最大地址数是1,但是在该接口上目前存在两个MAC地址,一个是PC0的MAC地址,另一个是接口F0/2本身的地址;

解决:将接口的最大连接数设置为【2】

第一步:利用命令关闭该接口

sw1(config)#int f0/2

sw1(config-if)#shutdown

第二步:利用命令打开该接口

sw1(config)#int f0/2

sw1(config-if)#no shutdown

第三步:改变该接口的最大连接数

sw1(config)#int f0/2

sw1(config-if)#switchport port-security maximum 2

第四步:测试端口安全情况

C:>PING 192.168.10.2

Reply from 192.168.10.2: bytes=32 time=1ms TTL=128

Reply from 192.168.10.2: bytes=32 time<1ms TTL=128

Reply from 192.168.10.2: bytes=32 time=1ms TTL=128

Reply from 192.168.10.2: bytes=32 time<1ms TTL=128

第五步:查看端口安全信息

说明:

【0090.0C3A.959E】是设备PC0的MAC地址;

【0006.2AAB.2394】是设备SW1的接口F0/2的地址;

14-配置动态端口安全

(1)配置端口安全

sw1(config)#int f0/3

sw1(config-if)#switchport mode access //设置接口的工作模式

sw1(config-if)#switchport port-security maximum 2 //配置接口最大的连接数

sw1(config-if)#switchport port-security violationshutdown  //设置接口错误的处理方法

sw1(config-if)#switchport port-security  //启动端口安全

(2)查看端口安全的配置情况

sw1#show running-config

......

interface FastEthernet0/3

switchport mode access

switchport port-security

switchport port-security maximum 2

.....

(3)测验网络安全配置

C:>ping 192.168.10.3

Reply from 192.168.10.3: bytes=32 time=2ms TTL=128

Reply from 192.168.10.3: bytes=32 time=1ms TTL=128

Reply from 192.168.10.3: bytes=32 time<1ms TTL=128

Reply from 192.168.10.3: bytes=32 time=1ms TTL=128

(4)查看网络安全信息

(5)查看动态端口安全

(6)查看端口安全配置情况

15、思考题

在拓扑图中,交换机SW2的F0/4接口上,应该配置的最小连接数是多少,才能够满足设置的要求?

本站资源来自互联网,仅供学习,如有侵权,请通知删除,敬请谅解!
搜索建议:交换网络端口安全应用实例  端口  端口词条  实例  实例词条  交换  交换词条  应用  应用词条  安全  安全词条  
综合

 手机五款黑科技式APP 不用不知...

一、Keep一款真人健身指导APP,它的语音功能不是机械式的,而是完成真人的,被指导的时候听起来非常地舒适。它可以根据你的健身要求来制定健身计划,各种健身方式让...(展开)

综合数码问答

 如何清除木马病毒

木马病毒是一种恶意程序,它会隐藏在无害文件中并伺机入侵系统。这些文件通常来自垃圾邮件或骗子邮件,或者是由于点击未知网络链接而引入。木马病毒会扰乱您的生活,好在它...(展开)