端口安全简介
端口安全(Port Security)通过将接口学习到的动态MAC地址转换为安全MAC地址(包括安全动态MAC、安全静态MAC和Sticky MAC),阻止非法用户通过本接口和交换机通信,从而增强设备的安全性。
MAC地址变化情况
当端口安全功能或者Sticky MAC功能使能/去使能时,接口上的MAC地址会变化或者被删除,详细情况请参见下表。
超过安全MAC地址限制数后的动作
接口上安全MAC地址数达到限制后,如果收到源MAC地址不存在的报文,无论目的MAC地址是否存在,交换机即认为有非法用户攻击,就会根据配置的动作对接口做保护处理。缺省情况下,保护动作是丢弃该报文并上报告警。
告警信息可以通过执行display trapbuffer命令查看,也可以直接上报网管,通过网管查看。
配置静态MAC地址漂移检测功能后出现静态MAC地址漂移时的动作
安全MAC地址也属于静态MAC地址,接口上配置静态MAC地址漂移检测功能后,如果收到报文的源MAC地址已经存在在其他接口的静态MAC表中,交换机则认为存在静态MAC地址漂移,就会根据配置的动作对接口做保护处理。端口安全保护动作有restrict、protect和shutdown三种。
告警信息可以通过执行display trapbuffer命令查看,也可以直接上报网管,通过网管查看。
拓扑图
SW1 基本配置
<Huawei>system-view
[Huawei]vlan 10
[Huawei-vlan10]q
接口加入VLAN10
[Huawei-Ethernet0/0/1]port link-type access
[Huawei-Ethernet0/0/1]port default vlan 10
[Huawei-Ethernet0/0/1]q
[Huawei]interface Ethernet 0/0/2
[Huawei-Ethernet0/0/2]port link-type access
[Huawei-Ethernet0/0/2]port default vlan 10
[Huawei-Ethernet0/0/2]q
[Huawei]interface Ethernet 0/0/3
[Huawei-Ethernet0/0/3]port link-type access
[Huawei-Ethernet0/0/3]port default vlan 10
[Huawei-Ethernet0/0/3]q
配置GE0/0/1接口的端口安全功能。
# 使能接口Sticky MAC功能,同时配置MAC地址限制数
Huawei]interface Ethernet 0/0/1
[Huawei-Ethernet0/0/1]port-security enable
[Huawei-Ethernet0/0/1]port-security mac-address sticky
[Huawei-Ethernet0/0/1]port-security max-mac-num 1
[Huawei]interface Ethernet 0/0/2
[Huawei-Ethernet0/0/2]port-security enable
[Huawei-Ethernet0/0/2]port-security mac-address sticky
[Huawei-Ethernet0/0/2]port-security max-mac-num 1
[Huawei-Ethernet0/0/2]q
[Huawei]interface Ethernet 0/0/3
[Huawei-Ethernet0/0/3]port-security enable
[Huawei-Ethernet0/0/3]port-security mac-address sticky
[Huawei-Ethernet0/0/3]port-security max-mac-num 1
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
SW1 配置dhcp
interface Vlanif 10
ip address 192.168.1.254 255.255.255.0
dhcp select interface
dhcp server dns-list 8.8.8.8
PC1 已经拿到 IP
同样的端口 换了一台PC 就拿不到 IP了