高二下电子工业出版社网络设备安装与调试（锐捷版）课件项目6 配置网络安全技术

项目6：配置网络安全技术 《网络设备安装与调试》 1 一期建设完成的北京延庆某中心小学校园网采用三层架构部署，使用高性能的交换机连接，保障网络的稳定性，实现校园网的高速传输。 为保障中心小学校园网在使用的过程中，需要校园网的接入设备上实施接入端口安全防范；在核心网络中实施访问控制安全，避免遭受网络安全事件发生，如图6-1-1所示。 项目背景 目录 Contents 任务1：配置网络设备登录安全。 任务2：配置交换机端口安全。 任务3：配置编号访问控制列表安全 任务4：配置名称访问控制列表安全 任务1 配置网络设备登录安全 6.1.1 配置交换机控制台密码 交换机和路由器设备默认没有控制台密码，用户可以直接登录，可通过以下方式给交换机设置密码。设置了密码后，用户登录交换机时，需要先输入密码才能进入用户模式。一般还会设置特权密码，这样用户从用户模式到特权模式时还需要输入密码。 6.1.2 配置路由器控制台密码 1．设置路由器控制台密码 目前，锐捷路由器及交换机设备使用的操作系统都是RGOS。因此，路由器设置控制台密码的方法与交换机基本一致，即在控制台模式下配置密码。 2．设置控制台超时时间 管理员配置设备时，如果已经登录到设备上，若管理员离开计算机后有外人靠近计算机对网络设备进行配置，则可能会出现问题。 因此网络中的用户需要给控制台设置超时时间，也就是说，在一段时间没有配置网络设备的会自动退出，如果需要配置，则需再次输入密码。 【综合实训1】：配置控制台密码 【综合实训1】：配置控制台密码 【综合实训1】：配置控制台密码 目录 Contents 任务1：配置网络设备登录安全。 任务2：配置交换机端口安全。 任务3：配置编号访问控制列表安全 任务4：配置名称访问控制列表安全 任务2 配置交换机端口安全 6.2.1 配置交换机端口安全 1．端口安全 网络中的交换机有端口安全功能，利用端口安全这个特性，可以实现网络接入安全，可以通过限制允许访问交换机上某个端口的MAC地址，以及IP地址（可选），来实现严格控制对该端口的输入。 当为安全端口打开了端口安全功能，并配置了一些安全地址后，除了源地址为这些安全地址的包外，这个端口将不转发其它任何包。 6.2.1 配置交换机端口安全 如果一个端口被配置为安全端口，当其安全地址的数目已经达到允许的最大个数后，当该端口收到一个源地址，不属于端口上的安全地址的包时，一个安全违例将产生。 当安全违例产生时，可以选择多种方式来处理违例，如丢弃接收到的数据包、发送违例通知或关闭相应端口等。 当设置了安全端口上安全地址的最大个数后，可以使用下面几种方式加满端口上的安全地址。 使用接口配置模式下的命令“switchport port-security mac-address mac-address [ip-address ip-address]”，来手工配置端口的所有安全地址。 6.2.1 配置交换机端口安全 2．端口安全违例 端口安全主要有以下两种作用。 Ø 限制交换机端口能接入的最大主机数。 Ø 根据需要针对端口绑定用户地址。 当用户发出不符合交换机端口安全的数据时，交换机会进行违例处理，方法如下。 Ø Protect：当安全地址个数满后，安全端口将丢弃所有新接入的用户数据流。该处理模式为默认的对违例的处理模式。 Ø Restrict：当违例产生时，将发送一个Trap通知。 Ø Shutdown：当违例产生时，将关闭端口并发送一个Trap通知。 6.2.1 配置交换机端口安全 3．配置端口安全 （1）开启端口安全。 Switch(config-if-FastEthernet 0/1)#switchport port-security （2）配置安全策略。其中一个方式是配置最大安全地址数。 Switch(config-if-FastEthernet 0/1)#switchport port-security maximum number 一个千兆接口上最多支持120个同时申明IP地址和MAC地址的安全地址。 （3）绑定用户信息。 针对端口进行MAC地址绑定（只绑定并检查二层源MAC）： Switch(config-if-FastEthernet 0/1)#switchport port-security mac-address mac-address vlan vlan-id 6.2.1 配置交换机端口安全 3．配置端口安全 针对端口绑定IP（只绑定并检查源IP）： Switch(config-if-FastEthernet 0/1)#switchport port-security binding ip-address 针对端口绑定IP+MAC（绑定并检查源MAC和源IP）： S