《一名网络工程师的自我修养》-交换机工作原理端口安全

交换机工作原理端口安全

交换机工作原理

1. 2层交换机只根据OSI数据链路层（第2层）MAC地址执行交换和过滤
2. 2层交换机建立了一个MAC地址表，它使用该表来作出转发决策
3. 2层交换机依靠路由器来传递各个IP子网之间的数据

MAC地址表项

PC1向PC2发起访问，LSW1检查MAC表项，发现MAC地址表不存在对于的MAC地址表项，则添加一个新表项数据。

以下是新添加的表项，将端口绑定在收到该数据的端口。

	LSW1	的	MAC地址表
VLAN	MAC地址	类型	端口
1	54-89-98-99-26-5E	Dynamic	E0/0/1

查询数据所要去目的MAC地址，发现无对应的MAC地址，则执行泛洪操作（除收到这个数据端口以外开启状态的端口发送）。 PC3收到后查看不是目的MAC地址并不是自己，则进行丢弃。而 LSW2收到后将会执行跟LSW1一样的操作（查询，泛洪），直到传递给PC2。

PC2收到数据后，需要进行回复。此时，源目MAC地址进行了对调。

以相同路径进行返回，到达LSW1时：

1. LSW1先查看源MAC地址，发现MAC地址表没有改表项，则将收到该数据的端口G0/0/1跟源MAC地址（此时是PC2的）进行绑定，并添加到表现中。
2. LSW1查看源MAC地址后，查询目的MAC地址是否在MAC地址表中，查询成功（刚开始访问时就已添加过）。则将数据发送到目的MAC地址所绑定的端口E0/0/1。
3. 成功通信。

	LSW1	的	MAC地址表
VLAN	MAC地址	类型	端口
1	54-89-98-99-26-5E	Dynamic	E0/0/1
1	54-89-98-76-2c-DE	Dyanmic	G0/0/1

在返回的路线中，各交换机执行已经是单播，不是泛洪了。（因为去往PC2的过程中已经添加了MAC表项）。若发现MAC地址与绑定端口有变动，则以更新表项，与最新的数据来源端口绑定。

端口安全

1.MAC地址泛洪攻击

PC2作为攻击者，伪造了很多的源MAC地址发起数据，根据交换机的工作原理则会持续添加MAC地址表项，将所能存储的表项填满。那么交换机无法在更新MAC地址表项。

如果这时，一台PC访问想要访问PC1。那么经过的交换机找不到目的MAC地址表项，则执行泛洪操作。则数据会被间接转发到攻击者的PC被其截获。

同时网络资源被损耗，拥堵，甚至因为泛洪而瘫痪。

端口安全原理

泛洪攻击的产生：一般由于终端（本例是PC2）发起，交换机会因为源MAC地址不同持续添加MAC表项。

所以在终端与交换机相连的端口进行配置，设置一个MAC地址上限。

2.端口安全-安全MAC地址

• 手动静态配置的MAC
• DHCP Snooping 学习到的MAC地址
• 没有达到最大安全MAC数量时，自动学习到的MAC（本次学习）

保护动作：

• protect：当学习到的MAC地址达到接口限制数时，接口丢弃源地址带MAC表以外的报文。
• restrict: 当学习到的MAC地址达到接口限制数时，接口丢弃源地址带MAC表以外的报文。并发出警告。
• shutdown: 当学习到的MAC地址达到接口限制数时，将接口 error down, 同时发出警告。

注意：默认情况下，接口关闭后不会自动恢复，只能有网络管理人员先执行 shutdown命令，在执行undo shutdown命令手动恢复，也可以在接口视图下执行restart 命令重启接口。

端口安全配置

VRP

Sever20作为服务器，MAC地址通常不会经常改变，所以我们可以将E0/0/1端口与Sever20的MAC地址进行静态绑定。

[S7] int e0/0/1	进入端口
[S7-e0/0/1] port-security enable	开启端口安全
[S7-e0/0/1] port-security protect-action shutdown	设置保护动作为关闭
[S7-e0/0/1] port-security mac-address sticky	开启MAC地址粘滞功能
[S7-e0/0/1] port-security mac-address sticky 5489-98A3-1993 vlan 1	将Sever20的MAC地址进行静态绑定，设为安全MAC地址允许访问。
[S7-e0/0/1] port-security max-mac-num 1	设置最大安全MAC地址数量（默认为1）

配置完成后，S7的地址为172.17.0.131 进行测试：

使用Sever20 访问 S7 时成功访问。

用E0/0/2端口连接PC3时，由于未对e/0/2口进行配置，所以PC3可以正常访问PC3

由于将E0/0/1口与sever20的MAC地址进行了绑定，所以如果将E0/0/1这根“线”连接到S7也同样无法访问。

如果保护动作为关闭，想要重新开启–上文的注意事项。

接入层的端口安全（同时对多个端口操作-端口组）

[S5] port-group 1	需要对所有的以太网接口配置端口安全,创建一个端口组编号为1
[S5-port-group-1]group-member e0/0/1 to e0/0/22	将e0/0/1到e0/0/22加入到端口组1
[S5-port-group-1] port-security enable	开启端口安全
[S5-port-group-1] port-security max-mac-num 1	最大安全数量设为1
[S5-port-group-1] port-security protec-action protection	动作为保护
[S5-port-group-1] port-security mac-address sticky	启用sticky功能：就是将学习到的MAC地址直接保存到配置文里。当然交换机自己也可以学习，只是不会自动保存到配置文件而已。

对接入层交换机S5配置完成后，e0/0/1端口pingS7成功，此时因为开启了stick功能，MAC地址已被记录。

这时你将e0/0/1这根线接到另一台PC3时，MAC地址发生了变化，而最大安全MAC地址数量为1，所以PC3将不能进行访问。

Cisco

将sever23设备MAC地址静态绑定在F0/2端口上

C:\ > ipconfig /all	查看sever23的MAC地址,
S7> en
S7# conf
S7(config)# int fa0/2
S7(config-if)# swithcport mode access	设置access
S7(config-if)# swithcport port-security	开启端口安全
S7(config-if)# swithcport port-security mac-address 0030.F2E0.2CED	绑定sever23的MAC地址
S7(config-if)# switch port-security maximum 5	设置安全MAC数量为5
S7(config-if)# swithcport port-security violation restrict	保护动作设置为限制

多个端口安全

S5（config)# int range f0/1-24	进入多个端口
S5（config-if-range)# switchport mode access	设置端口为access口
S5（config-if-range)# switchport port-security	开启端口安全功能
S5（config-if-range)# switchport port-security maximum 10	设置MAC地址数量最大为10
S5（config-if-range)# switchport port-security max-address sticky	启用sticky功能：就是将学习到的MAC地址直接保存到配置文里。当然交换机自己也可以学习，只是不会自动保存到配置文件而已。
S5（config-if-range)# switchport port-security violation protect	设置保护动作