時(shí)間：2015-06-28 00:00:00 來源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(0)
目的：隔離同一交換機(jī)上屬于相同Vlan的端口之間的互訪。
實(shí)現(xiàn)：
1、Cisco29系列交換機(jī)可以做基于2層的端口安全，即mac地址與端口進(jìn)行綁定。
2、Cisco3550以上交換機(jī)均可做基于2層和3層的端口安全，即mac地址與端口綁定以及mac地址與ip地址綁定。
3、以cisco3550交換機(jī)為例
做mac地址與端口綁定的可以實(shí)現(xiàn)兩種應(yīng)用：
a、設(shè)定一端口只接受第一次連接該端口的計(jì)算機(jī)mac地址，當(dāng)該端口第一次獲得某計(jì)算機(jī)mac地址后，其他計(jì)算機(jī)接入到此端口所發(fā)送的數(shù)據(jù)包則認(rèn)為非法，做丟棄處理。
b、設(shè)定一端口只接受某一特定計(jì)算機(jī)mac地址，其他計(jì)算機(jī)均無法接入到此端口。
4、破解方法：網(wǎng)上前輩所講的破解方法有很多，主要是通過更改新接入計(jì)算機(jī)網(wǎng)卡的mac地址來實(shí)現(xiàn)，但本人認(rèn)為，此方法實(shí)際應(yīng)用中基本沒有什么作用，原因很簡單，如果不是網(wǎng)管，其他一般人員平時(shí)根本不可能去注意合法計(jì)算機(jī)的mac地址，一般情況也無法進(jìn)入合法計(jì)算機(jī)去獲得mac地址，除非其本身就是該局域網(wǎng)的用戶。
5、實(shí)現(xiàn)方法：
針對(duì)第3條的兩種應(yīng)用，分別不同的實(shí)現(xiàn)方法
a、接受第一次接入該端口計(jì)算機(jī)的mac地址：
Switch#config terminal
Switch(config)#interface interface-id 進(jìn)入需要配置的端口
Switch(config-if)#switchport mode access 設(shè)置為交換模式
Switch(config-if)#switchport port-security 打開端口安全模式
Switch(config-if)#switchport port-security violation {protect restrict shutdown }
//針對(duì)非法接入計(jì)算機(jī)，端口處理模式 {丟棄數(shù)據(jù)包，不發(fā)警告 丟棄數(shù)據(jù)包，在console發(fā)警告 關(guān)閉端口為err-disable狀態(tài)，
除非管理員手工激活，否則該端口失效。
b、接受某特定計(jì)算機(jī)mac地址：
Switch#config terminal
Switch(config)#interface interface-id
Switch(config-if)#switchport mode access
Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security violation {protect restrict shutdown }
//以上步驟與a同
Switch(config-if)#switchport port-security mac-address sticky
Switch(config-if)#switchport port-security aging static //打開靜態(tài)映射
Switch(config-if)#switchport port-security mac-address sticky XXXX.XXXX.XXXX
//為端口輸入特定的允許通過的mac地址
mac地址與ip地址綁定基本原理：
在交換機(jī)內(nèi)建立mac地址和ip地址對(duì)應(yīng)的映射表。端口獲得的ip和mac地址將匹配該表，不符合則丟棄該端口發(fā)送的數(shù)據(jù)包。
實(shí)現(xiàn)方法：
Switch#config terminal
Switch(config)#arp 1.1.1.1 0001.0001.1111 arpa
該配置的主要注意事項(xiàng)：需要將網(wǎng)段內(nèi)所有IP都建立MAC地址映射，沒有使用的IP地址可以與0000.0000.0000建立映射。
否則該綁定對(duì)于網(wǎng)段內(nèi)沒有建立映射的IP地址無效。
注意：保護(hù)端口只對(duì)同一VLAN內(nèi)的端口有效，對(duì)不同VLAN的端口無效。
因?yàn)橐话悴煌琕LAN訪問都做了路由，而相同VLAN內(nèi)的保護(hù)端口是不能訪問的了。
關(guān)鍵詞標(biāo)簽：CISCO 2950,3550交換機(jī)
相關(guān)閱讀
熱門文章
火絨安全軟件開啟懸浮窗的方法-怎么限制和設(shè)置軟件網(wǎng)速
火絨安全軟件怎么攔截廣告-火絨設(shè)置廣告攔截的方法
網(wǎng)絡(luò)安全管理軟件-PCHunter使用教程
騰訊QQ密碼防盜十大建議
人氣排行 火絨安全軟件開啟懸浮窗的方法-怎么限制和設(shè)置軟件網(wǎng)速 火絨安全軟件怎么攔截廣告-火絨設(shè)置廣告攔截的方法 網(wǎng)絡(luò)安全管理軟件-PCHunter使用教程 xp系統(tǒng)關(guān)閉445端口方法_ 教你如何關(guān)閉xp系統(tǒng)445端口 什么是IPS（入侵防御系統(tǒng)） 企業(yè)網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)方案 ARP協(xié)議的反向和代理 Windows Server 2008利用組策略的安全設(shè)置