課程目標(biāo)完成這個章節(jié)的學(xué)習(xí)，我們可以做到：掌握端口安全的基本原理掌握端口安全的配置端口安全的原理端口安全特性可以使受限特定MAC地址的主機(jī)流量通過該端口.當(dāng)接口上配置了安全的MAC地址后，定義之外的源MAC發(fā)送的數(shù)據(jù)包將被端口丟棄.PortsecurityisaMACaddresslockdownthatdisablestheportiftheMACaddressisnotvalid.NetworkAccessPortSecurity安全的MAC地址靜態(tài)安全的MAC地址:手工配置，存儲在MAC地址表內(nèi)并加入到交換機(jī)的配置文件中(running-config).動態(tài)安全的MAC地址:動態(tài)學(xué)習(xí)，只存儲在MAC地址表中，交換機(jī)重啟之后丟失.黏性(sticky)安全的MAC地址:可以動態(tài)學(xué)習(xí)，也可以手工配置，存儲在MAC地址表內(nèi)并加入到交換機(jī)的配置文件中(running-config)，如果配置被保存，即使交換機(jī)重啟也無需重新配置.安全違背Protect:當(dāng)安全的MAC地址的數(shù)量到達(dá)端口的限制值時，源地址為非法地址的數(shù)據(jù)包將被丟棄，交換機(jī)不會通告發(fā)生了安全違背.Restrict:當(dāng)安全的MAC地址的數(shù)量到達(dá)端口的限制值時，源地址為非法地址的數(shù)據(jù)包將被丟棄，交換機(jī)會通告發(fā)生了安全違背.交換機(jī)會發(fā)送SNMP的trap，并記錄日志(logging)，并且會增加懲罰計數(shù)器.Shutdown:在此模式下，安全違背會設(shè)置端口為err-disable狀態(tài)，并關(guān)閉交換機(jī)的LED燈.交換機(jī)也會發(fā)送SNMP的trap，并記錄日志(logging)，并且會增加懲罰計數(shù)器安全違背違背模式是否轉(zhuǎn)發(fā)非法流量是否發(fā)送SNMP的trap是否發(fā)送日志信息違背計數(shù)器是否增加是否關(guān)閉端口protectNoNoNoNoNorestrictNoYesYesYesNoshutdownNoYesYesYesYes端口安全的缺省值特性缺省設(shè)置端口安全關(guān)閉安全MAC地址的最大數(shù)量1個懲罰關(guān)閉黏性地址學(xué)習(xí)關(guān)閉端口安全老化時間(aging)關(guān)閉.老化時間(Agingtime)為0.當(dāng)端口安全開啟時,缺省類型是absolute.配置端口安全Switch(config-if)#switchportport-security開啟端口安全Switch(config-if)#switchportport-security[maximumvalue

[vlan{vlan-list

|

{access|voice}}]]設(shè)置端口最大安全MAC地址數(shù)目Switch(config-if)#switchportport-securityviolation{protect|restrict|shutdown}設(shè)置安全違背后的處理配置端口安全Switch(config-if)#switchportport-securitymac-addresssticky開啟黏性地址學(xué)習(xí)功能Switch(config-if)#switchportport-securitymac-addresssticky[mac-address

|vlan{vlan-id

|{access

|

voice}}]設(shè)置黏性的安全MAC地址Switch(config-if)#switchportport-security[mac-addressmac-address[vlan{vlan-id

|

{access|

voice}}]設(shè)置安全的MAC地址Switch(config-if)#switchportport-security

aging{static|time

time|type{absolute|inactivity}}

設(shè)置安全MAC地址超時時間端口安全配置實例Switch(config)#interfaceFastEthernet1/0/1Switch(config-if)#switchportaccessvlan21Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportvoicevlan22Switch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymaximum20Switch(config-if)#switchportport-securityviolationrestrictSwitch(config-if)#switchportport-securitymac-addressstickySwitch(config-if)#switchportport-securitymac-addresssticky0000.0000.0002Switch(config-if)#switchportport-securitymac-address0000.0000.0003Switch(config-if)#switchportport-securitymac-addresssticky0000.0000.0001vlanvoiceSwitch(config-if)#switchportport-securitymac-address0000.0000.0004vlanvoiceSwitch(config-if)#switchportport-securitymaximum10vlanaccessSwitch(config-if)#switchportport-securitymaximum10vlanvoice端口安全配置指南端口安全只能配置在訪問(access)接口、干道(trunk)接口和IEEE802.1Q的隧道(tunnel)接口上.不能配置在動態(tài)接口上.安全的接口不能是SPAN的目的接口.安全的接口不能屬于以太通道(EtherChannel)端口組.當(dāng)配置安全MAC地址的最大值時，若新的值比原來的大，新值會覆蓋原來的值；若新值比原來的小，而且端口上設(shè)置的安全的MAC地址大于新值，命令會被拒絕.交換機(jī)不支持針對黏性安全MAC地址的老化.以太通道ConfiguringLinkAggregationwithEtherChannel以太通道伴隨著對更高帶寬需求的不斷增長，管理員正在尋找增加兩臺設(shè)備之間可用帶寬的方法，雖然我們可以選擇更高帶寬的端口類型，但因為需要增加更多的成本，所以它并不總是可行的。通過將多個端口進(jìn)行綁定，EtherChannel充分利用現(xiàn)有端口的優(yōu)勢來增加可用帶寬.CiscoCatalyst交換機(jī)最多允許將8個端口綁定到一起。EtherChannel不支持對10Mbit/s端口進(jìn)行通道處理。以太通道將類似的鏈路進(jìn)行邏輯的聚合負(fù)載平衡看作是一個邏輯端口冗余性以太通道一個以太通道由若干個快速以太網(wǎng)或千兆以太網(wǎng)連接捆綁成一個單一邏輯接口動態(tài)的中繼協(xié)商協(xié)議PAgP思科私有協(xié)議LACP

IEEE802.3ad標(biāo)準(zhǔn)協(xié)議動態(tài)的中繼協(xié)商協(xié)議在CiscoCatalyst交換機(jī)之間，EtherChannel通常使用PAgP（PortAggregationProtocol端口匯聚協(xié)議）或LACP（LinkAggregationControlProtocol鏈路匯聚控制協(xié)議）。在Cisco交換機(jī)和其他授權(quán)廠商（例如Intel制造的網(wǎng)卡）之間，也可能使用PAgP協(xié)議，為連接Cisco交換機(jī)和其他支持802.3ad的非Cisco廠商的交換機(jī)或服務(wù)器，則可以使用LACP形成EtherChannel。PAgP是一個用于在檢查Channel兩端的參數(shù)的一致性以及在出現(xiàn)增加鏈路或鏈路失效時的重新適配的一個管理協(xié)議。Port-Channel接口Channel-group是配置層面上的一個物理端口組，配置到Channel-group里面的物理端口才可以參加鏈路匯聚，并成為Port-channel里的某個成員端口關(guān)于以太通道配置命令配置PAgPinterfaceport-channel{channel-group-number}

channel-protocolpagpchannel-group1mode{mode}驗證showinterfacesfastethernet0/1etherchannelshowetherchannel1port-channelshowetherchannel1summary配置2層以太通道Switch(config-if-range)#channel-protocol{pagp|lacp}指定channel-group的協(xié)商模式Switch(config)#interfacerangeinterfaceslot/port-port指定需要被綁定的接口Switch(config-if-range)#channel-groupnumbermode{active|on|auto|desirable|passive}指定通道協(xié)議：PAgP或LACPPAgP模式模式描述開啟(ON)這種模式會強(qiáng)制端口不使用PAgP而形成EtherChannel。在這種模式下，如果希望EtherChannel能夠正常地工作，那么就要求鏈路伙伴的EtherChannel都處于On模式。關(guān)閉(off)這種模式能夠防止端口形成EtherChannel。自動(Auto)這種模式將使得端口進(jìn)入被動協(xié)商狀態(tài)，如果端口接受到PAgP數(shù)據(jù)包，那么就將形成EtherChannel。雖然如此，但這種模式的端口將不會主動發(fā)起協(xié)商，Auto是默認(rèn)模式。企望(Desirable)這種模式將使得端口利用PAgP進(jìn)入形成EtherChannel的協(xié)商狀態(tài)。在配置Calalyst交換機(jī)形成EtherChannel的時候，推薦模式是Desirable。配置3層以太通道Switch(config)#interfaceport-channelport-channel-number創(chuàng)建一個通道接口Switch(config-if)#noswitchportSwitch(config-if)#ipaddressaddressmask指定以太通道為3層并分配IP地址和子網(wǎng)掩碼Switch(config-if)#noswitchportSwitch(config-if)#channel-groupnumbermode{auto|desirable|on}配置接口為3層，指定通道端口模式Switch(config)#interfaceinterfaceslot/port指定一個接口用以配置驗證以太通道Switch#showrunning-configinterfaceport-channelnum

顯示端口通道信息Switch#showruninterfaceport-channel1

Buildingconfiguration...Currentconfiguration:66bytes!interfacePort-channel1switchportmodedynamicdesirableendSwitch#showrunning-configinterfaceinterfacex/y

顯示接口信息Switch#showruninterfacegig0/9

Buildingconfiguration...Currentconfiguration:127bytes!interfaceGigabitEthernet0/9switchportmodedynamicdesirablechannel-group2modedesirablechannel-protocolpagpend驗證以太通道Switch#showinterfacesgigabitethernet0/9etherchannelPortstate=UpMstrIn-BndlChannelgroup=1Mode=Desirable-SlGcchange=0Port-channel=Po2GC=0x00020001Pseudoport-channel=Po1Portindex=0Load=0x00Flags:S-DeviceissendingSlowhello.C-DeviceisinConsistentstate.A-DeviceisinAutomode.P-Devicelearnsonphysicalport.d-PAgPisdown.Timers:H-Hellotimerisrunning.Q-Quittimerisrunning.S-Switchingtimerisrunning.I-Interfacetimerisrunning.Localinformation:HelloPartnerPAgPL