利用二层交换机的“端口安全解”决局…

利用二层交换机的“端口安全解”决局域网中用户私自添加上网设备的方法

       由于局域网中，特别是在宿舍区，员工私自添加无线路由器、交换机等网络设备以提供更多的接口，支持更多的上网设备。这种行为使网络管理变得更加困难，使网络变得极其不稳定。

   幸运的是，现在大部分二层交换机都具备“端口安全”的功能，利用该功能可以将用户的上网设备MAC地址和交换机的端口绑定在一起，每个端口可以绑定多个MAC地址，这样即可以保证员工的基本上王需求，在员工需要添加上网设备时，必须通过管理员的配置才能使用新设备上网。这无疑大大的加强了管理员对网络的控制能力，为网络排错减轻了工作难度。

端口安全的配制方法：

一、        配置交换机的IP地址

将计算机直连到交换机CONCEL端口上，利用Windows XP的“超级终端”软件登录到交换机的CLI配置界面，配置交换机的管理ip地址（VLAN 1的IP）为 192.168.0.254，并且配置特权模式密码、VTY登录密码、启用VTY线路等

配置远程登录命令如下：

Switch>enable

Switch#config t

Switch(config)#line vty 0 4

Switch(config-line)#password 123456

Switch(config-line)#login

Switch(config-line)#exit

Switch(config)#enable password 654321

Switch(config)#int vlan 1

Switch(config-if)#ip add 192.168.0.254 255.255.255.0

Switch(config-if)#no shutdown

二、         配置交换机的端口安全（由于不知道交换机型号，所以使用思科交换机的配置命令演示该配置过程，“//”后边文字是对该条命令的解释）

（1）、将计算机连接到交换机上任意一个端口上，在DOS界面下，使用“telnet 192.168. 0.254”命令登录进入交换机（如图所示）

Switch#config t                   //进入全局配置模式

Switch(config)#int range f0/1-24      //进入端口1到24的配置模式

 

Switch(config –rangr-if)#switchport port-security           //启用交换机端口安全功能

 

Switch(config –rangr-if)#switchport port-security maxmum 3    //设置该端口最多绑定3个MAC地址

 

Switch(config –rangr-if)#switchport port-security mac-address stick   //设置MAC配置模式为粘贴模式（即自动绑定前三个连接端口的MAC地址）

 

Switch(config –rangr-if)#switchport port-security violation shutdown    //设置违反处理办法。如果违法规定，私接其他设备，则关闭该端口

 

通过对各个交换机的端口配置，即可有效地杜绝原公司自连接其他网络设备。如果员工一旦违反规定，交换机会自动关闭该端口，阻止该员工上网。如果员工需要上网的话，需要请管理员重新打开该端口。