端口安全配置步骤及说明

       借助安全端口，可以只允许指定的MAC地址或指定数量的MAC地址访问某个端口，从而避免未经授权的计算机接入网络，或限制某个端口所连接的计算机数量，从而确保网络接入的安全。
当配置端口安全时，应当注意以下问题：
1、安全端口不能是Trunk端口。
2、安全端口不能是Switch Port Analyzer (SPAN)的目的端口。
3、安全端口不能是属于EtherChannel的端口。
4、安全端口不能是private-VLAN端口。
一．配置安全端口
第一步：进入全局配置模式。
Switch# configure terminal
第二步：指定欲配置端口安全的接口。
Switch(config)# interface interface_id
第三步：将接口设置为访问模式。
Switch(config-if)# switchport mode access
第四步：在接口启用端口安全。
Switch(config-if)# switchport port-security
第五步：（可选）在接口设置安全MAC地址的最大数量，以限制该端口所连接的计算机数量。取值范围为1～3 072，默认值是1。
Switch(config-if)# switchport port-security maximum value
第六步：（可选）设置违例发生后的处理模式。当安全违例事件发生时，将端口置于restrict或shutdown模式。选择restrict模式时，当非法MAC地址或太多MAC连接至该接口时，将丢弃数据包，并向网管计算机发送SNMP陷阱通知。选择shutdown模式时，发生安全错误的端口将被置于error-disable状态，除非网络管理员使用no shutdown命令手工激活，否则该端口失效。
Switch(config-if)# switchport port-security violation {restrict | shutdown}
第七步：设置坏包速率限制。
Switch(config-if)# switchport port-security limit rate invalid-source-mac
第八步：（可选）为该接口指定安全MAC地址。也可以使用该命令指定最大安全MAC 地址数。如果指定的MAC地址数量少于安全地址的最大数量，动态学习的MAC地址将被保留。
Switch(config-if)# switchport port-security mac-address mac_address
第九步：在端口启动sticky learning。
Switch(config-if)# switchport port-security mac-address sticky
第十步：返回特权EXEC模式。
Switch(config-if)# end
第十一步：查看并校验配置。
Switch# show port-security address interface interface_id
Switch# show port-security address
第十二步：保存当前配置。
Switch# copy running-config startup-config

【注意】  使用no switchport port-security mac-address mac_address命令，可以从地址表中删除MAC地址。

二、设置端口安全老化
       当为端口指定最大MAC地址数时，为了保障该端口能够得以充分利用，可以采用设置端口安全老化时间和模式的方式，使系统能够自动删除长时间未连接的MAC地址，从而不必手动删除，减少网络维护的工作量。
第一步：进入全局配置模式。
Switch# configure terminal
第二步：指定欲配置端口安全老化的接口。
Switch(config)# interface interface_id
第三步：为安全端口设置老化时间和老化类型。老化时间的取值范围为0 ~ 1440分钟。采用absolute模式时，一旦到达指定的老化时间，那么，即将从安全地址列表中移除。采用inactivity时，即使到达指定的老化时间，如果没有其他数据通信，那么，MAC地址仍然被保留在安全地址列表中。
Switch(config-if)# switchport port-security  [ aging time aging_time | type {absolute | inactivity} ]
第四步：返回特权EXEC模式。
Switch(config-if)# end
第五步：查看并校验配置。
Switch# show port security [interface interface_id] [address]
第六步：保存当前配置。
Switch# copy running-config startup-config

设置端口允许的最大安全MAC地址数量后，可采取如下方式将安全MAC地址加入到MAC地址表中：

手工配置所有的地址（switchport port-security mac-address 0008.eeee.eeee）；
允许端口动态配置所有地址（switchport port-security mac-address sticky）；
配置一定数量的MAC地址，并允许动态地配置余下的地址。

可对接口启用粘性学习（sticky learning），使其将动态MAC地址转换为粘性安全MAC地址并将其加入到运行配置中。要启用粘性学习，可使用接口配置命令switchport port-security mac-address sticky。配置该命令后，接口将把所有的动态安全MAC地址（包括启用粘性学习前动态获悉的安全MAC地址）转换为粘性安全MAC地址。

转载于:https://www.cnblogs.com/yitongtianxia59/archive/2009/08/19/1549878.html