cisco交换机端口安全

目前,在中小型企业网络中使用最多的设备就是交换机。安全方面,所涉及最多的就是交换机的端口安全,所以交换机端口安全是必然重要的。


端口安全分为以下两种,简单点的有mac与端口绑定实现端口安全,再深入一点油基于aaadot1x实现带有验证的安全


一:mac地址与端口绑定

进入端口模式下:

Switch(config-if)#switchport mode access //指定端口模式

Switch(config-if)#switchport port-security//开启端口安全

Switch(config-if)#switchport port-security maximum 5//允许交换机端口的最大并发连接数(5)

Switch(config-if)#switchport port-security violation ?(保护端口的三种违规模式)

 protect   Security violation protect mode//超过限定客户机的帧将会被丢弃

 restrict  Security violation restrict mode//超过限制将会通知管理员

 shutdown  Security violation shutdown mode //超过限制直接关闭接口(直到管理员手动开启)

Switch(config-if)#switchport port-security mac-address sticky //自动学习限定范围内连接上的mac地址并绑定


举例:

公司规定交换机的每个端口下接入的PC都不允许私自更换,并且自动绑定学习到PC的mac地址,如果有其他PC接到此端口,则立即关闭端口。可进行如下配置:


Switch(config-if)#switchport mode access

Switch(config-if)#switchport port-security

Switch(config-if)#switchport port-security maximum 1

Switch(config-if)#switchport port-security violation shutdown

Switch(config-if)#switchport port-security mac-address sticky


后记:

端口上不止可以用绑定mac地址来实现端口安全,也可以结合访问控制列表acl+mac来实现




二:dot1x

802.1X身份验证协议最初使用于无线网络,后来才在普通交换机和路由器等网络设备上使用。它可基于端口来对用户身份进行认证,即当用户的数据流量企图通过配置过802.1X协议的端口时,必须进行身份的验证,合法则允许其访问网络。这样的做的好处就是可以对内网的用户进行认证,并且简化配置,在一定的程度上可以取代Windows 的AD。

配置802.1X身份验证协议,首先得全局启用AAA认证,这个和在网络边界上使用AAA认证没有太多的区别,只不过认证的协议是802.1X;其次则需要在相应的接口上启用802.1X身份验证。(建议在所有的端口上启用802.1X身份验证,并且使用radius服务器来管理用户名和密码)

下面的配置AAA认证所使用的为本地的用户名和密码。

3550-1(config)#aaa new-model /启用AAA认证。

3550-1(config)#aaa authentication dot1x default local /全局启用802.1X协议认证,并使用本地用户名与密码。

3550-1(config)#int range f0/1 -24

3550-1(config-if-range)#dot1x port-control auto /在所有的接口上启用802.1X身份验证。


后记:

通过MAC地址绑定虽然在一定程度上可保证内网安全,但效果并不是很好,建议使用802.1X身份验证协议。在可控性,可管理性上802.1X都是不错的选择。



你可能感兴趣的:(switch,Cisco,交换机端口安全,Port-Security)