华为交换机端口安全

端口安全简介

端口安全（Port Security）通过将接口学习到的动态MAC地址转换为安全MAC地址（包括安全动态MAC、安全静态MAC和Sticky MAC），阻止非法用户通过本接口和交换机通信，从而增强设备的安全性。

端口安全原理描述

安全MAC地址的分类

安全MAC地址分为：安全动态MAC、安全静态MAC与Sticky MAC。

MAC地址变化情况

当端口安全功能或者Sticky MAC功能使能/去使能时，接口上的MAC地址会变化或者被删除，详细情况请参见下表。

 超过安全MAC地址限制数后的动作

接口上安全MAC地址数达到限制后，如果收到源MAC地址不存在的报文，无论目的MAC地址是否存在，交换机即认为有非法用户攻击，就会根据配置的动作对接口做保护处理。缺省情况下，保护动作是丢弃该报文并上报告警。

告警信息可以通过执行display trapbuffer命令查看，也可以直接上报网管，通过网管查看。

配置静态MAC地址漂移检测功能后出现静态MAC地址漂移时的动作

安全MAC地址也属于静态MAC地址，接口上配置静态MAC地址漂移检测功能后，如果收到报文的源MAC地址已经存在在其他接口的静态MAC表中，交换机则认为存在静态MAC地址漂移，就会根据配置的动作对接口做保护处理。端口安全保护动作有restrict、protect和shutdown三种。

 告警信息可以通过执行display trapbuffer命令查看，也可以直接上报网管，通过网管查看。

拓扑 

 

配置步骤

S1配置 

S1 配置

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.	
[Huawei]sysname S1
[S1]undo info-center enable 
Info: Information center is disabled.
	
[S1]vlan 10	
[S1-vlan10]quit 

S1]interface Vlanif 10
[S1-Vlanif10]ip address 192.168.1.2 24	
[S1-Vlanif10]quit 

[S1]interface GigabitEthernet 0/0/1	
[S1-GigabitEthernet0/0/1]port link-type access 	
[S1-GigabitEthernet0/0/1]port default vlan 10	
[S1-GigabitEthernet0/0/1]port-security enable //使能接口Sticky MAC功能，同时配置MAC地址限制数为1。接口GE0/0/2和GE0/0/3的配置与接口GE0/0/1相同，不再赘述。	
[S1-GigabitEthernet0/0/1]port-security mac-address sticky  //绑定MAC地址 	
[S1-GigabitEthernet0/0/1]port-security max-mac-num 1  //配置MAC地址限制数为1	
[S1-GigabitEthernet0/0/1]quit 
	
[S1]interface GigabitEthernet 0/0/2	
[S1-GigabitEthernet0/0/2]port link-type access 	
[S1-GigabitEthernet0/0/2]port default vlan 10	
[S1-GigabitEthernet0/0/2]port-security enable 	
[S1-GigabitEthernet0/0/2]port-security mac-address sticky 	
[S1-GigabitEthernet0/0/2]port-security max-mac-num 1	
[S1-GigabitEthernet0/0/2]quit 
	
[S1]interface GigabitEthernet 0/0/3	
[S1-GigabitEthernet0/0/3]port link-type access 	
[S1-GigabitEthernet0/0/3]port default vlan 10	
[S1-GigabitEthernet0/0/3]port-security enable 	
[S1-GigabitEthernet0/0/3]port-security mac-address sticky 	
[S1-GigabitEthernet0/0/3]port-security max-mac-num 1
[S1-GigabitEthernet0/0/3]quit

[S1]interface GigabitEthernet 0/0/4	
[S1-GigabitEthernet0/0/4]port link-type access 	
[S1-GigabitEthernet0/0/4]port default vlan 10
[S1-GigabitEthernet0/0/4]quit 
 

 R1 配置

R1 配置

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.

[Huawei]dhcp enable 

[Huawei]interface GigabitEthernet 0/0/0	
[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.1 24	
[Huawei-GigabitEthernet0/0/0]dhcp select interface 	
[Huawei-GigabitEthernet0/0/0]dhcp server dns-list 8.8.8.8	
[Huawei-GigabitEthernet0/0/0]quit 

 PC1、PC2、PC3能正常获取IP地址

 把PC3换成非法PC后无法获取IP地址，非法用户通过本接口就无法和交换机通信