端口安全的场景、解决方案、类型、超出mac地址后的限制以及示例

应用场景

        用在接入层设备，通过配置端口安全可以防止仿冒用户从其他端口攻击。

        应用在汇聚层设备，通过配置端口安全可以控制接入用户的数量。 

解决方案

        接入层交换机的每个接口都开启端口安全功能，并绑定接入用户的MAC地址与VLAN信息，当有非法用户通过已配置端口安全的接口接入网络时，交换机会查找对应的MAC地址表，发现非法用户的MAC地址与表中的不符，将数据包丢弃。

        汇聚层交换机开启端口安全功能，并设置每个接口可学习到的最大MAC地址数，当学习到的MAC地址数达到上限时，其他的MAC地址的数据包将被丢弃。

端口安全类型

        端口安全（Port Security）通过将接口学习到的动态MAC地址转换为安全MAC地址（包括安全动态MAC、安全静态MAC和Sticky MAC）阻止非法用户通过本接口和交换机通信，从而增强设备的安全性。

超过mac地址后的限制动作

        接口上安全MAC地址数达到限制后，如果收到源MAC地址不存在的报文，端口安全则认为有非法用户攻击，就会根据配置的动作对接口做保护处理。缺省情况下，保护动作是restrict。

示例

安全动态mac地址学习功能

[Huawei] interface GigabitEthernet0/0/1
 port-security enable //开启安全
 port-security max-mac-num 2 //最多为2个mac地址学习
 port-security protect-action restrict //丢包带警告
 port-security aging-time 1 //mac地址的老化时间配置一分钟，这个看情况要不要配

动态sticky绑定客户端的mac

interface GigabitEthernet0/0/2
 port-security enable
 port-security protect-action protect
 port-security mac-address sticky
 port-security max-mac-num 1

手工静态sticky绑定客户端的mac

interface GigabitEthernet0/0/3
 port-security enable
 port-security protect-action shutdown
 port-security max-mac-num 2
 port-security mac-address sticky
 port-security mac-address sticky 5489-98CE-1A06 vlan 10