以太网交换安全：端口安全

23zhgjx_ywz

于 2024-10-02 21:00:00 发布

阅读量549

点赞数 19

文章标签：安全网络 php

本文链接：https://blog.csdn.net/zhgjx_ywz/article/details/142684334

版权

一、端口安全的概述

以太网交换安全中的端口安全是一种重要的网络安全技术，通过限制接入设备和通信来增强网络的安全性。以下是对以太网交换安全中端口安全的详细介绍：

基本原理：端口安全通过记录连接到交换机端口的以太网MAC地址（网卡号），并只允许特定的MAC地址通过本端口通信来实现安全控制。当其他MAC地址尝试通过该端口时，会被阻止，从而防止非法设备的接入和数据包的传输。
主要功能：端口安全能够限制特定端口上可以学习和接受的MAC地址数量，超过这个数量后，新的MAC地址将无法通过该端口进行通信。当检测到非法MAC地址或未授权的设备试图通过端口时，端口安全机制会采取一系列保护措施，如丢弃非法报文、发送警告消息等。
应用场景：端口安全技术广泛应用于各种需要严格网络安全控制的场合，如企业网络、数据中心、教育机构等。在无线网络环境中，端口安全同样发挥着重要作用，通过与802.1X认证、MAC地址过滤等技术结合，确保无线网络的安全性。
配置方式：管理员可以通过静态绑定的方式，手动指定允许通过特定端口的MAC地址，这种方式适用于固定不变的网络环境。对于动态变化的网络环境，可以采用动态学习的方式，让交换机自动学习并记录通过端口的MAC地址。
违规动作：当端口接收到未经允许的MAC地址流量时，交换机会根据预先设置的策略执行相应的违规动作，如关闭端口、发送警告消息等。
安全优势：端口安全能够有效防止未经授权的设备接入网络，减少潜在的安全风险。通过对端口上的MAC地址进行严格控制，可以有效防止MAC地址泛洪攻击，保护网络的稳定性和可用性。
安全挑战：随着网络环境的不断变化和发展，端口安全策略可能需要不断调整和优化，以应对新的安全威胁和挑战。虽然端口安全能够提供一定程度的安全保障，但仍需与其他安全技术和管理措施相结合，形成多层次、全方位的安全防护体系。

二、安全MAC分为：

1、安全动态MAC地址：当使能端口安全但未使能Sticky MAC功能时，接口上学习到的动态MAC地址会被转换为安全动态MAC地址。在设备重启后，这些表项会丢失，需要重新学习。缺省情况下，这些地址不会被老化，除非配置了安全MAC的老化时间。安全动态MAC地址的老化类型分为绝对时间老化和相对时间老化。
2、安全静态MAC地址：当使能端口安全时，可以通过手工配置的方式设置静态MAC地址。这些地址不会因设备的老化或重启而失效，提供了更高的安全性和稳定性。
3、Sticky MAC地址：当使能端口安全后又同时使能Sticky MAC功能时，接口上的安全动态MAC地址表项将转化为Sticky MAC地址。这些地址也不会因设备的老化或重启而失效，同样提供了高度的安全性和稳定性。

三、实验拓扑

实验目的：
掌握交换机端口安全的基本配置
实验步骤：
1. 配置S1的G0/0/1口的端口安全
2. 使用PC1、PC2访问PC4，查看S1的mac地址表
3. 在S2设备上接入一台非法设备，尝试访问PC4
4. 配置S1的G0/0/2口为安全静态mac
5. 配置S1的G0/0/3口为sticky mac

（1）配置G0/0/1的端口安全，设置它的MAC地址最大学习数量为2

<LSW1>system-view
[LSW1]undo info-center enable
[LSW1]sysname LSW1
[LSW1]interface g0/0/1
[LSW1-GigabitEthernet0/0/1]port-security enable
[LSW1-GigabitEthernet0/0/1]port-security max-mac-num 2
[LSW1-GigabitEthernet0/0/1]port-security protect-action restrict
（2）使用PC1、PC2访问PC4，查看S1的mac地址表

（3）在S2设备上接入一台非法设备，尝试访问PC4

（4）配置S1的G0/0/2口为安全静态mac

<LSW1>system-view
[LSW1]interface g0/0/2
[LSW1-GigabitEthernet0/0/2]port-security enable
[LSW1-GigabitEthernet0/0/2]port-security max-mac-num 1
[LSW1-GigabitEthernet0/0/2]port-security mac-address sticky
[LSW1-GigabitEthernet0/0/2]port-security mac-address sticky 5489-9809-5783 vlan
1
[LSW1-GigabitEthernet0/0/2]quit

查看：

[LSW1]dis mac-add
MAC address table of slot 0:
-------------------------------------------------------------------------------
MAC Address VLAN/ PEVLAN CEVLAN Port Type LSP/LSR-ID
VSI/SI MAC-Tunnel
-------------------------------------------------------------------------------
5489-9803-6228 1 - - GE0/0/1 security -
5489-9809-5783 1 - - GE0/0/2 sticky -
5489-982b-2f53 1 - - GE0/0/1 security -
-------------------------------------------------------------------------------
Total matching items on slot 0 displayed = 3

5. 配置S1的G0/0/3口为sticky mac

[LSW1]interface g0/0/3
[LSW1-GigabitEthernet0/0/3]port-security enable
[LSW1-GigabitEthernet0/0/3]port-security mac-address sticky
[LSW1-GigabitEthernet0/0/3]port-security max-mac-num 1
[LSW1-GigabitEthernet0/0/3]quit

[LSW1]dis mac-add
MAC address table of slot 0:
-------------------------------------------------------------------------------
MAC Address VLAN/ PEVLAN CEVLAN Port Type LSP/LSR-ID
VSI/SI MAC-Tunnel
-------------------------------------------------------------------------------
5489-9803-6228 1 - - GE0/0/1 security -
5489-9809-5783 1 - - GE0/0/2 sticky -
5489-982b-2f53 1 - - GE0/0/1 security -
5489-98fd-042c 1 - - GE0/0/3 sticky -
-------------------------------------------------------------------------------
Total matching items on slot 0 displayed = 4

总结：

端口安全作为一种重要的网络安全技术手段在保护网络免受未经授权访问和潜在安全威胁方面发挥着关键作用。