目前,在中小型企业网络中使用最多的设备就是交换机。安全方面,所涉及最多的就是交换机的端口安全,所以交换机端口安全是必然重要的。
端口安全分为以下两种,简单点的有mac与端口绑定实现端口安全,再深入一点油基于aaa的dot1x实现带有验证的安全
一:mac地址与端口绑定
进入端口模式下:
Switch(config-if)#switchport mode access //指定端口模式
Switch(config-if)#switchport port-security//开启端口安全
Switch(config-if)#switchport port-security maximum 5//允许交换机端口的最大并发连接数(5)
Switch(config-if)#switchport port-security violation ?(保护端口的三种违规模式)
protect Security violation protect mode//超过限定客户机的帧将会被丢弃
restrict Security violation restrict mode//超过限制将会通知管理员
shutdown Security violation shutdown mode //超过限制直接关闭接口(直到管理员手动开启)
Switch(config-if)#switchport port-security mac-address sticky //自动学习限定范围内连接上的mac地址并绑定
举例:
公司规定交换机的每个端口下接入的PC都不允许私自更换,并且自动绑定学习到PC的mac地址,如果有其他PC接到此端口,则立即关闭端口。可进行如下配置:
Switch(config-if)#switchport mode access
Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security maximum 1
Switch(config-if)#switchport port-security violation shutdown
Switch(config-if)#switchport port-security mac-address sticky
后记:
端口上不止可以用绑定mac地址来实现端口安全,也可以结合访问控制列表acl+mac来实现
二:dot1x:
802.1X身份验证协议最初使用于无线网络,后来才在普通交换机和路由器等网络设备上使用。它可基于端口来对用户身份进行认证,即当用户的数据流量企图通过配置过802.1X协议的端口时,必须进行身份的验证,合法则允许其访问网络。这样的做的好处就是可以对内网的用户进行认证,并且简化配置,在一定的程度上可以取代Windows 的AD。
配置802.1X身份验证协议,首先得全局启用AAA认证,这个和在网络边界上使用AAA认证没有太多的区别,只不过认证的协议是802.1X;其次则需要在相应的接口上启用802.1X身份验证。(建议在所有的端口上启用802.1X身份验证,并且使用radius服务器来管理用户名和密码)
下面的配置AAA认证所使用的为本地的用户名和密码。
3550-1(config)#aaa new-model /启用AAA认证。
3550-1(config)#aaa authentication dot1x default local /全局启用802.1X协议认证,并使用本地用户名与密码。
3550-1(config)#int range f0/1 -24
3550-1(config-if-range)#dot1x port-control auto /在所有的接口上启用802.1X身份验证。
后记:
通过MAC地址绑定虽然在一定程度上可保证内网安全,但效果并不是很好,建议使用802.1X身份验证协议。在可控性,可管理性上802.1X都是不错的选择。