交换安全——详述

一、端口安全技术
将 MAC 地址固定在该接口上，如果进入该接口的数据和绑定的 MAC 地址不符合就阻塞该
端口，这样可以防止 MAC 地址洪泛攻击和 MAC 中间人攻击
sw1(config)#mac-address-table static 00d0.d3bd.d001 vlan 1 int f0/1
静态安全 MAC 地址

sw1(config)#int f0/1
sw1(config-if)#shutdown
sw1(config-if)#switchport mode access
sw1(config-if)#switchport access vlan 1
sw1(config-if)#switchport port-security
sw1(config-if)#switchport port-security maximum 1
sw1(config-if)#switchport port-security violation shutdown
sw1(config-if)#switchport port-security mac-address 00d0.bab2.2611
sw1(config-if)#no shutdown

惩罚的分类：
protect：当计算机接入时，如果该端口的 MAC 地址条目超过最大的数量时，则这个新的计
算机将无法接入，而原有的计算机不受影响，交换机也不发送警告信息
Restrict：当新计算机接入时，如果该端口的 MAC 条目超过最大的数量时，则这个新的计算
机无法接入，并且交换机发送警告信息
Shutdown：当计算机接入时，如果该端口的 MAC 条目超过最大数量，则该端口将会被关闭，则这个新的计算机和原有的计算机都将无法加入网络，这时需要原有的计算机在交换机中的该端口下使用 shutdown 和 no shutdown 重新打开端口

二、粘滞安全 MAC 地址
静态安全 MAC 地址可以使得交换机的接口 f0/1 只能接入某一固定的计算机，然而需要使用switchport port-security mac-address 00d0.bab2.2611，这样可以一一查看出计算机的 MAC 地址，比较麻烦。
sw1(config)#mac-address-table static 00d0.d3bd.d001 vlan 1 int f0/1
静态安全 MAC 地址

sw1(config)#int f0/1
sw1(config-if)#shutdown
sw1(config-if)#switchport mode access
sw1(config-if)#switchport access vlan 1
sw1(config-if)#switchport port-security
sw1(config-if)#switchport port-security maximum 1
sw1(config-if)#switchport port-security violation shutdown
sw1(config-if)#switchport port-security mac-address 00d0.bab2.2611
sw1(config-if)#no shutdown
被惩罚的接口 show int XX 状态呈现 errdisable
sw1(config)#errdisable recovery cause psecure-violation
允许交换机自动恢复因端口安全而关闭的端口；
sw1(config)#errdisable recovery interval 60配置交换机 60s