思科交换机上实现MAC地址与IP地址绑定

思科交换机上实现 MAC 地址与 IP 地址绑定

 

    针对于目前 arp 病毒肆虐，利用 arp 协议进行欺骗的网络问题也日渐严重。在防范过程中除了 VLAN 的划分来抑制问题的扩散，还需要将 IP 地址与 MAC 地址绑定来配合达到最佳的防范结果。

    在思科的交换机上简单实现是使用端口来帮定 MAC 地址。

 

实现如下：

3550#config terminal

// 进入通用配置模式
3550(config)# Interface fastethernet 0/1

// 进入需要配置的具体端口配置模式
3550(config-if)#3550port port-secruity

// 启用端口安全模式
3550(config-if )3550port port-security mac-address < 主机的 MAC 地址 >
// 配置该端口要绑定的主机的 MAC 地址

    这个配置只可以一个端口绑定一个 MAC 地址，呵呵，我想没有人会用 3550 这样的交换机一个口只接一台主机吧。那么要绑定多个 IP 地址与 MAC 地址应该如何处理呢？

 

    我们可以看看下面的配置：

 

1．  先建立两个访问控制列表，一个是关于 MAC 地址的，一个是关于 IP 地址的。

3550(config)#mac access-list extended mac-vfast
// 配置一个命名的 MAC 地址访问控制列表 , 命名为 mac-vfast
3550(config)#permit host 0017.31db.f666 any
// 源 MAC 地址为 0017.31db.f666 的主机可以访问任意主机
3550(config)#permit any host 0017.31db.f666
// 所有主机可以访问目的 MAC 地址为 0017.31db.f666 的主机
3550(config)#ip access-list extended ip-vfast
// 配置命名的 IP 地址访问控制列表 , 命名为 ip-vfast
3550(config)#permit  ip  10.0.0.1 0.0.0.0 any
＃允许 10.0.0.1 地址在网内工作

2．  将建立好的访问控制列表加入需要配置的端口

3550(config-if )#interface Fa0/1
// 进入配置具体端口的模式
3550(config-if )#mac access-group mac-vfast  in
3550(config-if )#Ip access-group ip-vfast in

       Ok, 最近写书比较紧张，也没有太多的发文章，希望这篇文章能对大家有点作用，谢谢 ~~~

本文出自 “白璐” 博客，谢绝转载！