CCNP学习之路之端口安全（port-security）

原创

liping198732 2013-04-07 10:38:44 博主文章分类：Cisco路由交换 ©著作权

文章标签 CCNP 端口安全 port-security 文章分类 网络安全

©著作权归作者所有：来自51CTO博客作者liping198732的原创作品，请联系作者获取转载授权，否则将追究法律责任

从基本原理上讲，Port Security特性记住的是连接到交换机端口的以太网MAC地址即网卡号，并只答应某个MAC地址通过本端口通信。假如任何其它MAC地址试图通过此端口通信，端口安全特性会阻止它。使用端口安全特性可以防止某些设备访问网络，并增强安全性。

配置端口安全是相对比较简单的。

编辑本段 动态绑定

最简单的形式，就是Port Security需要指向一个已经启用的端口并输入Port Security接口模式命令。

Switch)#config t

Switch(config)# int fa0/18

Switch(config-if)# switchport port-security

在此我们通过输入最基本的命令来配置端口安全，接受了只答应一个MAC地址的默认设置，这就决定了只有第一个设备的MAC地址可以与这个端口通信；假如另一MAC地址试图通过此端口通信，交换机会关闭此端口。下面谈一下如何可以改变此设置。

当然应该根据实际情况来配置端口安全。此例中，实际上用户还可以配置其它的端口安全命令：

switchport port-security maximum :可以使用这个选项答应多个MAC地址。例如，假如用户有一个12端口的集线器连接到交换机的此端口，就需要12个MAC：switchport port-security maximum 12 /答应此端口通过的最大MAC地址数目为12。

switchport port-security violation [protect|restrict|shutdown]:此命令告诉交换机当端口上MAC地址数超过了最大数量之后交换机应该怎么做，一共三个参数：protect，restrict和shutdown，默认是关闭端口(shutdown)。我们可以选择使用restrict来警告网络管理员，也可以选择protect来答应通过安全端口通信并丢弃来自其它MAC地址的数据包。

switchport port-security mac-address :使用此选项来手动定义答应使用此端口的MAC地址而不是由端口动态地定义MAC地址。

当然，你可以在一系列端口上配置端口安全。下面举一个例子：

Switch# config t

Switch(config)# int range fastEthernet 0/1 - 24

Switch(config-if)# switchport port-security

然而，假如在一个UPLINK端口上输入此命令，用户必须十分小心使用此选项，因为它指向不只一个设备，第二个设备一旦发送一个数据包，整个端口就会关闭，这样可就麻烦了。

一旦你配置了端口安全而此端口上的以太网设备又发出了数据，交换机会记录下MAC地址而且通过使用这个地址来保障端口安全。要查看交换机上端口安全状态，可以使用show port security address 和show port-security interface命令。举例说明如下：

Switch# show port-security address

Switch# show port-security interface fa0/18

Port Security : Enabled

Port Status : Secure-up

Violation Mode : Shutdown

Aging Time : 0 mins

Aging Type : Absolute

SecureStatic Address Aging : Disabled

Maximum MAC Addresses : 1

Total MAC Addresses : 1

Configured MAC Addresses : 0

Sticky MAC Addresses : 0

Last Source Address : 0004.00d5.285d

Security Violation Count : 0

另外，在锐捷的设备上，端口安全无法做在端口镜像的监控端口上。

粘滞安全MAC地址：可以将端口配置为动态获得MAC地址，然后将这些MAC地址保存到运行配置中。

粘滞安全MAC地址有以下特性。

当使用switchport port-security mac-address sticky接口配置命令在接口上启用粘滞获取时，接口将所有动态安全MAC地址（包括那些在启用粘滞获取之前动态获得的MAC地址）转换为粘滞安全MAC地址，并将所有粘滞安全MAC地址添加到运行配置。

如果使用no switchport port-security mac-address sticky接口配置命令禁用粘滞获取，则粘滞安全MAC地址仍作为地址表的一部分，但是已从运行配置中移除。已经被删除的地址可以作为动态地址被重新配置和添加到地址表。

如果使用switchport port-security mac-address sticky mac-address接口配置命令配置粘滞安全MAC地址时，这些地址将添加到地址表和运行配置中。 如果禁用端口安全性，则粘滞安全MAC地址仍保留在运行配置中。

如果将粘滞安全MAC地址保存在配置文件中，则当交换机重新启动或者接口关闭时，接口不需要重新获取这些地址。如果不保存粘滞安全地址，则它们将丢失。如果粘滞获取被禁用，粘滞安全MAC地址则被转换为动态安全地址，并被从运行配置中删除