华为交换机-端口安全

华为交换机-端口安全

一、简介

1、概念

端口安全是指在网络设备中对物理端口和逻辑接口进行限制和保护，以防止未经授权的访问和攻击

2、作用

提供对网络物理接口的保护，防止未授权设备接入网络

限制设备连接数量，防止攻击者通过多重连接进行网络攻击

通过MAC地址绑定等功能，防止网络中的欺骗攻击和非法设备接入

增强网络安全性，保护网络免受未经授权的访问和攻击

二、优化与建议

1、物理端口

确保未使用的物理端口都被禁用，以减少潜在的安全风险

2、限制通信

通过配置访问控制列表（ACL）来限制不同VLAN之间的通信，从而实现网络隔离

3、限制MAC数量

配置每个端口可学习的MAC地址数量，以防范MAC泛洪攻击配置每个端口可学习的MAC地址数量，以防范MAC泛洪攻击

4、静态MAC绑定

将重要设备的MAC地址与端口进行绑定，防止未授权设备接入

5、审查策略

定期检查端口安全的配置和策略，确保符合最佳实践和安全政策

6、安全日志

配置记录端口安全事件，并设置端口异常状态的告警，以便及时响应安全事件

三、MAC绑定实验

1、实验拓扑图

2、交换机1

<Huawei>system-view
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname SW1
[SW1]interface Ethernet 0/0/1
[SW1-Ethernet0/0/1]port-security enable
[SW1-Ethernet0/0/1]port-security mac-address sticky
[SW1-Ethernet0/0/1]port-security mac-address sticky 5489-98DF-172E vlan 1
[SW1-Ethernet0/0/1]port-security max-mac-num 1
[SW1-Ethernet0/0/1]port-security protect-action shutdown

2、查询端口配置

[SW1-Ethernet0/0/1]dis this
#
interface Ethernet0/0/1
 port-security enable
 port-security protect-action shutdown
 port-security mac-address sticky
#
return

3、MAC地址绑定

[SW1-Ethernet0/0/1]dis mac-address
MAC address table of slot 0:
-------------------------------------------------------------------------------
MAC Address    VLAN/       PEVLAN CEVLAN Port            Type      LSP/LSR-ID  
               VSI/SI                                              MAC-Tunnel  
-------------------------------------------------------------------------------
5489-98df-172e 1           -      -      Eth0/0/1        sticky    -           
-------------------------------------------------------------------------------
Total matching items on slot 0 displayed = 1 

MAC address table of slot 0:
-------------------------------------------------------------------------------
MAC Address    VLAN/       PEVLAN CEVLAN Port            Type      LSP/LSR-ID  
               VSI/SI                                              MAC-Tunnel  
-------------------------------------------------------------------------------
5489-98a5-2e61 1           -      -      Eth0/0/2        dynamic   0/-         
-------------------------------------------------------------------------------
Total matching items on slot 0 displayed = 1 

4、实验结果

5、更换主机

更换主机试试ping 10.2

ping不通当PC3把ARP报文发给交换机转发时，交换机发现MAC地址不一样，直接关闭端口

6、主机截图