目前，在中小型企业网络中使用最多的设备就是交换机。安全方面，所涉及最多的就是交换机的端口安全，所以交换机端口安全是必然重要的。


端口安全分为以下两种，简单点的有mac与端口绑定实现端口安全，再深入一点油基于aaa的dot1x实现带有验证的安全


一：mac地址与端口绑定

进入端口模式下：

Switch(config-if)#switchport mode access //指定端口模式

Switch(config-if)#switchport port-security//开启端口安全

Switch(config-if)#switchport port-security maximum 5//允许交换机端口的最大并发连接数(5)

Switch(config-if)#switchport port-security violation ?(保护端口的三种违规模式）

 protect   Security violation protect mode//超过限定客户机的帧将会被丢弃

 restrict  Security violation restrict mode//超过限制将会通知管理员

 shutdown  Security violation shutdown mode //超过限制直接关闭接口（直到管理员手动开启）

Switch(config-if)#switchport port-security mac-address sticky //自动学习限定范围内连接上的mac地址并绑定


举例：

公司规定交换机的每个端口下接入的PC都不允许私自更换，并且自动绑定学习到PC的mac地址，如果有其他PC接到此端口，则立即关闭端口。可进行如下配置：


Switch(config-if)#switchport mode access

Switch(config-if)#switchport port-security

Switch(config-if)#switchport port-security maximum 1

Switch(config-if)#switchport port-security violation shutdown

Switch(config-if)#switchport port-security mac-address sticky


后记：

端口上不止可以用绑定mac地址来实现端口安全，也可以结合访问控制列表acl+mac来实现




二：dot1x：

802.1X身份验证协议最初使用于无线网络，后来才在普通交换机和路由器等网络设备上使用。它可基于端口来对用户身份进行认证，即当用户的数据流量企图通过配置过802.1X协议的端口时，必须进行身份的验证，合法则允许其访问网络。这样的做的好处就是可以对内网的用户进行认证，并且简化配置，在一定的程度上可以取代Windows 的AD。

配置802.1X身份验证协议，首先得全局启用AAA认证，这个和在网络边界上使用AAA认证没有太多的区别，只不过认证的协议是802.1X；其次则需要在相应的接口上启用802.1X身份验证。（建议在所有的端口上启用802.1X身份验证，并且使用radius服务器来管理用户名和密码）

下面的配置AAA认证所使用的为本地的用户名和密码。

3550-1(config)#aaa new-model /启用AAA认证。

3550-1(config)#aaa authentication dot1x default local /全局启用802.1X协议认证，并使用本地用户名与密码。

3550-1(config)#int range f0/1 -24

3550-1(config-if-range)#dot1x port-control auto /在所有的接口上启用802.1X身份验证。


后记：

通过MAC地址绑定虽然在一定程度上可保证内网安全，但效果并不是很好，建议使用802.1X身份验证协议。在可控性，可管理性上802.1X都是不错的选择。