Cisco2960交换机端口安全Port-Security

前两天机房一台Cisco2960的上联口经常down，当时让机房重启交换机也没用，后来让换了个口就恢复，但是过一段时间端口有会down，网上查了下可能是由于Cisco交换机的Port-Security导致端口down掉，后来去机房连接交换机查看了下，G17口显示err-disabled，为了确认是port-security的原因，我把它设置成恢复添加环路，30秒自动恢复，后来发先down后大概30秒G17就自动起来了

1 2 3 4 5 6 7

Switch#show interfaces status err-disabled  Port      Name               Status         Reason              Err-disabled Vlans Gi0/17                       err-disabled   loopback Switch#configure terminal  Switch(config)#errdisable recovery cause loopback   //err-disabled端口恢复添加环路这一项 Switch(config)#errdisable recovery interval 30    //配置超时时间30秒   Switch(config)#

如果没有配置超时恢复功能，或者想在超时之前使端口恢复正常，则需要在端口上shutdown和noshutdown，这样才能让端口恢复到forwarding正常状态。重新查看处于err-disabled状态的端口，没有发现处于此状态的端口，G17状态也恢复了

1 2 3 4 5

Switch(config) #interface gigabitEthernet 0/17 Switch(config- if ) #shutdown  Switch(config- if ) #no shutdown  Switch #show interfaces gigabitEthernet 0/17 GigabitEthernet0 /17  is down, line protocol is down (notconnect)

为了防止后面再次down，我将交换机上Port-Security功能直接关闭掉

1 2 3 4 5 6 7 8 9

Switch #configure terminal  Switch(config) #interface range gigabitEthernet 0/1 - 17 Switch(config- if -range) #switchport mode access  Switch(config- if -range) #no switchport port-security  Switch(config- if -range) #end Switch #wr Building configuration... [OK] Switch #

---

思科交换机端口安全(Port-Security)简介

---

防止MAC地址泛洪攻击，如果检测到非法流量（白名单地址满了），接口的安全缺省是关闭的。

开启端口安全功能

switchport port-security [violation {protect | restrict | shutdown}] 

参数说明

switchport port-security violation shutdown //违规后执行动作shutdown（err-disable),默认执行策略就是把端口err-disable掉

switchport port-security violation protect  //将违规的mac地址的流量丢弃，不记录

switchport port-security violation restrict //将违规的mac地址的流量丢弃，并向SNMP发送一个违规日志

eg:

单个端口操作

SW2(config)#int f0/2

SW2(config-if)#switchport port-security //开启端口安全

Command rejected: FastEthernet0/2 is a dynamic port  dynamic port不能启用Port Security，只有静态接入端口或中继端口才行。要将模式切换为access。动态端口是自动识别的，既可以为access，也可以为trunk，所以要设为access

SW2(config-if)#switchport mode access //开启端口安全前，端口模式必须为接入模式

SW2(config-if)#switchport port-security 

SW2(config-if)#switchport port-security violation shutdown 

SW2(config-if)#switchport port-security maximum 100 /允许此端口通过的最大MAC地址数目为100。默认最大允许的安全MAC地址数量1

SW2(config-if)#switchport port-security mac-address sticky/开启MAC白名单地址地址粘贴

SW2(config-if)#switchport port-security mac-address sticky 000C.8543.0A81 /粘贴MAC地址

Switch(config)#errdisable recovery cause psecure-violation /恢复，或者你可以手动的shut再no shut端口。

多端口操作

Switch(config)#interface range gigabitEthernet 0/3 - 6

Switch(config-if-range)#switchport mode access

SW2(config-if)#switchport port-security violation protect

SW2(config-if)#switchport port-security violation restrict

被惩罚后进入err-disable的恢复：

如果一个psec端口由于被惩罚进入了err-disable，可以使用如下方法来恢复接口的状态：

• 使用全局配置命令：err-disable recovery psecure-violation 

• 手工将特定的端口shutdown再noshutdown

关闭端口安全功能

SW2(config)#int f0/2

SW2(config-if)#no switchport port-security /关闭端口安全

Switch(config-if)#exit

Switch(config)#interface range gigabitEthernet 0/3 - 6

Switch(config-if-range)#no switchport port-security 

本文转自 justin_peng 51CTO博客，原文链接：http://blog.51cto.com/ityunwei2017/1733122，如需转载请自行联系原作者