3.1 交换机端口安全配置（课件）-高二《网络设备配置与管理项目式教程》同步精品课堂（电工版2023）

交换机端口安全配置 教学目标 能够执行限制交换机端口最大连接数的配置工作； 能够将主机MAC地址与交换机端口进行绑定； 能够将主机IP地址与交换机端口进行绑定； 能够描述网络安全隐患，能够规划网络安全解决方案； 能够描述交换机端口安全的基本工作原理； 培养网络管理员的责任心和信息安全意识。 工作任务 企业基于信息安全的考虑，希望加强网络管理，实行严格的网络接入控制。规定每个交换机端口只能接入一台主机，员工不能私自对网络扩展连接；每个工位接入网络的计算机固定，不能随意改变；接入网络的计算机需要登记，不能随意改变。作为网络管理员，请提出解决方案。 网络拓扑 交换机端口安全配置网络拓扑图 操作步骤（演示） 步骤1、配置交换机端口的最大连接数限制。 步骤2、查看接入网络计算机的MAC地址和IP地址。 步骤3、配置交换机端口的地址绑定。 步骤4、查看交换机的端口安全配置。 步骤5、测试交换机的端口安全配置。 操作要领 交换机端口安全只能在Access模式端口配置； 交换机出厂时默认关闭端口安全功能； 交换机端口最大连接数的取值范围是1~128， 默认值是128； 交换机默认的违例处理方式是保护protect）。 相关知识—常见的网络攻击 网络攻击手段多种多样，以上是最常见的几种 相关知识—攻击不可避免 攻击工具体系化 网络攻击原理日趋复杂，攻击操作却变得越来越简单 相关知识—额外的不安全因素 DMZ E-Mail File Transfer HTTP Intranet 企业网络 生产部 工程部 市场部 人事部 路由 Internet 中继 外部个体 外部/组织 内部个体 内部/组织 9 相关知识—现有网络安全体制 现有网络安全 防御体制 IDS/IPS 68% 杀毒软件 99% 防火墙 98% ACL 71% 相关知识—交换机端口安全 利用交换机端口安全功能实现 防止局域网大部分的内部攻击对用户、网络设备造成的破坏，如MAC地址攻击、ARP攻击、IP/MAC地址欺骗等。 交换机端口安全的基本功能 限制交换机端口的最大连接数； 端口的安全地址绑定。 相关知识—交换机端口安全 以下情况产生安全违例： 端口的连接数已经超过允许的最大连接数； 端口收到数据包源地址不属于端口上的安全地址。 产生违例时，可以选择下列方式处理： Protect： 违例产生时，丢弃数据帧； Restrict：违例产生时，丢弃数据帧并发送Trap通知； Shutdown：违例产生时，将关闭端口并发送Trap通知。 相关知识—配置安全端口 端口安全最大连接数配置 switchport port-security ！打开该接口的端口安全功能 switchport port-security maximum value ！设置接口上最大连接数，范围是1－128 switchport port-security violation {protect |restrict |shutdown} ！设置处理违例的方式 注意： 1、端口安全功能只能在access端口上配置。 2、端口因为违例而被关闭后，在全局配置模式下使用命令 errdisable recovery 来将接口从错误状态中恢复过来。 相关知识—配置安全端口 端口的安全地址绑定 switchport port-security ！打开该接口的端口安全功能 switchport port-security mac-address mac-address ip-address ip-address ！手工配置接口上的安全地址 注意： 1、端口安全功能只能在access端口上进行配置 2、端口的安全地址绑定方式有:单MAC、单IP、MAC+IP 相关知识—案例（一） 下面的例子是配置接口gigabitethernet1/3上的端口安全功能，设置最大地址个数为8，设置违例方式为protect Switch# configure terminal Switch(config)# interface gigabitethernet 1/3 Switch(config-if)# switchport mode access Switch(config-if)# switchport port-security Switch(config-if)# switchport port-security maximum 8 Switch(config-if)# switchport port-security violation protect Switch(