交换机端口安全

实验拓扑

基于端口安全的Jan16公司网络组建，Jan16公司开发部为重要部门，所有员工使用指定的计算机工作，为防止员工或访客使用个人电脑接入网络，将使用基于端口安全策略组建开发部网络。

1.基本配置

1.1配置主机PC

2.测试主机之间的连通性

测试PC1与PC2，PC3的连通性
PC>ping 192.168.10.2
PC>ping 192.168.10.3

ping 192.168.10.2

ping 192.168.10.3

试PC2与PC3的连通性
ping 192.168.10.3

ping 192.168.10.3

测试表明，PC1，PC2,PC3之间通信没有问题，且交换机学习到了对应的MAC地址。

3.查看MAC所在的交换机的端口

在交换机上使用命令display mac-address，查看交换机与计算机之间连接的端口，对应MAC地址。（学习MAC地址需要流量的触发，为了防止MAC地址老化，测试主机连通性之后300秒内查看MAC地址表）
system-view
[Huawei]sysname SW1
[SW1]
[SW1]display mac-address

system-view
sysname SW1
display mac-address

4.开启交换机端口安全

在交换机端口上打开端口安全功能，将MAC地址绑定到相对应接口中，并在vlan1上有效。（注意：PC的MAC地址需要四位一敲）
[SW1]interface Eth0/0/1
[SW1-Etherneto/0/1]port-security enable
[SW1-Etherneto/0/1]port-security mac-address sticky
[SW1-Etherneto/0/1]port-security mac-address sticky 5489-9890-1CA8 vlan 1
[SW1]interface Eth0/0/2
[SW1-Etherneto/0/2]port-security enable
[SW1-Etherneto/0/2]port-security mac-address sticky
[SW1-Etherneto/0/2]port-security mac-address sticky 5489-98B4-144E vlan 1
[SW1]interface Eth0/0/3
[SW1-Etherneto/0/3]port-security enable
[SW1-Etherneto/0/3]port-security mac-address sticky
[SW1-Etherneto/0/3]port-security mac-address sticky 5489-9837-5862 vlan 1
[SW1-Etherneto/0/3]quit

interface Eth0/0/1
port-security enable
port-security mac-address sticky
port-security mac-address sticky 5489-9890-1CA8  vlan 1
interface Eth0/0/2
port-security enable
port-security mac-address sticky
port-security mac-address sticky 5489-98B4-144E vlan 1
interface Eth0/0/3
port-security enable
port-security mac-address sticky
port-security mac-address sticky 5489-9837-5862 vlan 1
quit

5.验证现象

5.1在交换机上查看配置是否生效

换机上使用display mac-address命令，查看交换机与计算机之间连接的端口，类型是否变为sticky

display mac-address

5.2测试PC互通性
验证PC1是否与PC2,PC3互通

ping 192.168.10.2

ping 192.168.10.3

验证PC2是否与PC3互通

ping 192.168.10.3
实验现象表明，PC之间可以正常进行通信。

5.3更换计算机，测试互通性

新增一台设备PC4，并将PC4的IP地址配置为192.168.10.3/24。[如新增设备名为其他，如PC5,可鼠标移至PC5处，双击修改。]
新增设备的方法，鼠标点击左侧的终端处，点击PC。鼠标移动PC并放置在图中位置并右键选择“启动”启动设备即可。
删除连线的方法，鼠标移至菜单栏，点击红色的X按钮，移动至SW1与PC3的链路上，点击并确认删除。
新增连线的方法，鼠标点击左侧的设备连线[在终端右侧的闪电符号]，选择Auto，点击SW1与PC4即可连线成功。


新增PC4后，可以观察到PC3与PC4的IP地址相同，但是MAC地址不同，且PC4连接到交换机Eth0/0/3接口上。


使用PC1计算机ping PC4计算机

可以看出，在配置端口安全后，如果更换计算机，会由于MAC地址不同，计算机不能通信。

ping 192.168.10.3