采用端口隔离功能,可以实现同一VLAN内端口之间的隔离
端口隔离 可以二层隔离 也可以三层隔离
[Huawei]port-isolate mode ?
all All
l2 L2 only
缺省情况下,端口隔离模式为二层隔离三层互通。
如果用户希望同一VLAN不同端口下用户彻底无法通信,则可以将隔离模式配置为二层三层均隔离即可。
S1720GFR、S1720GW-E、S1720GWR-E、S1720X-E、S2750、S5700LI、S5720LI、S5720S-LI、S5710-X-LI、S5700S-LI、S6720LI、S6720S-LI仅支持二层隔离三层互通。
[Huawei-GigabitEthernet0/0/2]port-isolate enable group 1 //将当前端口加入到端口隔离组1中
[Huawei-GigabitEthernet0/0/2]port-isolate enable group ?
INTEGER<1-64> Port isolate group-id //华为交换机默认最多支持64个端口隔离组
同一个端口隔离组中的PC机不能通信(二层不通信或二层三层都不通信)
配置注意事项:
S系列交换机均支持配置二层隔离三层互通模式。
S系列框式交换机均支持二层三层都隔离模式,S系列盒式交换机仅V100R006C05版本仅S2700SI、S2700EI不支持二层三层都隔离模式,V100R002及后续版本S1720、S2720、S2750EI、S5700LI、S5700S-LI不支持二层三层都隔离模式。
如果不是特殊情况要求,建议用户不要将上行口和下行口加入到同一端口隔离组中,否则上行口和下行口之间不能相互通信。
端口安全
现网中有非法用户对接入设备、汇聚交换机、核心交换机进行一个非法的操作
如何去防止非法用户对接入设备或汇聚设备进行非法***
限制MAC地址的学习 并不是禁止学习(真正的禁学习 配置交换机接口的学习MAC地址上限)
接入层交换机的每个接口都开启端口安全功能,并绑定接入用户的MAC地址与VLAN信息,当有非法用户通过已配置端口安全的接口接入网络时,交换机会查找对应的MAC地址表,发现非法用户的MAC地址与表中的不符,将数据包丢弃。
汇聚层交换机开启端口安全功能,并设置每个接口可学习到的最大MAC地址数,当学习到的MAC地址数达到上限时,其他的MAC地址的数据包将被丢弃。
一台交换机上分别接入了PC1 PC2 PC3三台主机 PC1和PC2通信 PC1和PC3通信
Total matching items on slot 0 displayed = 3
1.安全动态MAC地址
[Huawei-Ethernet0/0/1]port-security enable //开启端口安全功能 MAC地址不老化 交换机仍然可以学习非法用户的MAC地址
一台交换机上分别接入了PC1 PC2 PC3三台主机 开启端口安全 PC1和PC3通信
Total matching items on slot 0 displayed = 2
Total matching items on slot 0 displayed = 1
过了五分钟 MAC地址表的变化 dynamic 学习到的表项没有了
Total matching items on slot 0 displayed = 2
断开e0/0/3接口的连接(MAC地址表没有 重启设备MAC地址表也没有):
Total matching items on slot 0 displayed = 1
交换机上接入了非法用记PC4 (5489-9859-09a1) 依然可以学到
Total matching items on slot 0 displayed = 2
2.Sticky MAC地址
[Huawei-Ethernet0/0/3]port-security mac-address sticky //配置接口的端口安全 sticky mac方式
一台交换机上分别接入了PC1 PC2 PC3三台主机 PC1和PC2通信 PC1和PC3通信
Total matching items on slot 0 displayed = 3
Total matching items on slot 0 displayed = 3
接口3上接入了非法用户PC4(5489-9859-09a1)
Total matching items on slot 0 displayed = 3
3.安全静态MAC地址(学习MAC地址上限默认是1 )
[Huawei-Ethernet0/0/1]port-security mac-address sticky 5489-98d5-5aa8 vlan 10
Error: Security MAC number or Sticky MAC number reach the upper limit. //MAC地址表学习的数目达到上限
配置下面这个命令之前一定要这个接口上没有MAC地址表项 如果有,则提示上面错误
[Huawei-Ethernet0/0/1]port-security mac-address sticky
[Huawei-Ethernet0/0/1]port-security mac-address sticky 5489-98d5-5aa8 vlan 10 //配置端口安全 静态绑定
无论配置上面这三个端口安全中的哪一种 如果有非法用户接入 不会提示
[Huawei-Ethernet0/0/3]port-security protect-action ? //配置端口安全学习MAC地址后达到上限 告警
protect Discard packets //只丢弃源MAC地址不存在的报文,不上报告警。
restrict Discard packets and warning // 丢弃源MAC地址不存在的报文并上报告警。推荐使用restrict动作。
shutdown Shutdown //接口状态被置为error-down,并上报告警。默认情况下,接口关闭后不会自动恢复,只能由网络管理人员在接口视图下使用restart命令重启接口进行恢复。
[Huawei-GigabitEthernet0/0/1]port-security enable
[Huawei-GigabitEthernet0/0/1]port-security max-mac-num 3 //配置当前接口学习MAC地址数目上限为3
转载于:https://blog.51cto.com/6306952/2287414