Cisco组网之port-security

leonheart

　　近日对公司内网接入MAC做了一次清查,原本只想用来做arp***或病毒的地址薄,但由于公司内还有一些2950没有使用,故依次换上做交换机接入安全.
　　一.先将2950换上原来的傻瓜交换机.因为大部分傻瓜交换机都是在vlan端口下的,所以为方便管理,2950的vlan1  IP都设置成上级端口所在vlan ,也可以与上级端口起Trunk,下面依然可以再划Vlan.
　　二,开始在二层交换机上收集MAC地址
　　cisco2950#show mac address-table
　　cisco2950#show mac address-table vlan 60  \\在众多的MAC地址上找出自已想要绑定的
　　cisco2950#show mac address-table inter fa 0/1 \\找出具体在某个端口的MAC,下联交换机的话会有多个
　　cisco3560#show ip arp XXX.XXX.XXX \\在三层交换上找出该MAC地址对应的IP地址,方便员工更换电脑后更改MAC绑定.如果公司内部使用DHCP,此部作用不大.
　　三,将收集好的MAC地址绑定至端口
　　cisco2950(config)# interface inter fa 0/1
　　cisco2950(config-if)# switchport mode access \\ port-securtiy必须是access口
　　cisco2950(config-if)# switchport port-security  \\首先启用port-securtiy
　　cisco2950(config-if)# switchport port-security maximum 5 \\设置允许最大MAC地址数
　　cisco2950(config-if)# switchport port-security mac-address sticky \\设置MAC地址粘贴
　　cisco2950(config-if)# swtichport port-security violation restrict  \\设置违规策略
　　这里需要说明的是,用switchport port-security mac-address sticky xxx.xxx.xxx 和使用switchport port-security mac-address xxx.xxx.xxx 的效果是一样的,但不同的是设置了switchport port-security mac-address sticky 后交换机会自动学习第一次PC接入交换机时的MAC地址,交换机会在该端口下自动增加switchport port-security mac-address sticky xxx.xxx.xxx 命令,即是交换机动态绑定的MAC地址,但是是永久保存的(重启之前),设置了MAC地址老化时间也不会自动删除,copy run stat 后该命令不会消失,当端口下PC更换时也只需no switchport port-security mac-address sticky xxx.xxx.xxx 手工删掉MAC地址的绑定让交换机重新学习即可.
　　违规策略有三种,protect丢弃非法流量,不报警restrict丢弃非法流量,报警shutdown关闭端口,很明白聪明人都会选择restrict.同时也会增加交换机负担,但具个人经验而言一台2918 自动绑了几十个MAC,每Vlan生成树,下连接了七台交换机,CPU使用率也只有5%
　　四,查看端口安全的效果
　　Xingzhenglou# show mac address-table
　　Mac Address Table
　　-------------------------------------------
　　Vlan    Mac Address       Type        Ports
　　----    -----------       --------    -----
　　40    0001.6cc6.96a2    STATIC      Fa0/14
　　40    0005.5d61.53a4    STATIC      Fa0/2
　　40    0005.5d61.766f    STATIC      Fa0/1
　　40    0005.5d66.8457    STATIC      Fa0/14
　　40    0005.5d66.9039    STATIC      Fa0/14
　　Type 一档变成了static,虽然本交换机是static但上联交换机对这个MAC地是dynamic,原因很简单,因为上联交换机没有绑定^ ^不过即然下联的绑了,上联交换机也没有必要做多余的重复绑定.
　　Xingzhenglou#show port-security
　　Secure Port  MaxSecureAddr  CurrentAddr  SecurityViolation  Security Action
　　(Count)       (Count)          (Count)
　　---------------------------------------------------------------------------
　　Fa0/1              9            9                  0         Restrict
　　Fa0/2              6            6                  0         Restrict
　　Fa0/3              1            1                  0         Restrict
　　Fa0/5             17           14                  0         Restrict
　　Fa0/11              1            0                  0         Restrict
　　port-security所绑定的MAC地址数,fa0/1 fa0/2 的绑定都达到了最大MAC数,fa0/5还可以允许通过3个MAC.
　　Xingzhenglou#show port-security address
　　Secure Mac Address Table
　　------------------------------------------------------------------------
　　Vlan    Mac Address       Type                     Ports   Remaining Age
　　(mins)
　　----    -----------       ----                     -----   -------------
　　40    0005.5d61.766f    SecureSticky             Fa0/1        -
　　40    0005.5d87.f1b3    SecureSticky             Fa0/1        -
　　40    000f.ea20.2c20    SecureSticky             Fa0/1        -
　　40    0014.2a55.bf5d    SecureSticky             Fa0/1        -
　　40    0014.7843.7597    SecureSticky             Fa0/1        -
　　40    001d.7dcd.0038    SecureSticky             Fa0/1        -
　　40    001f.d061.9b27    SecureSticky             Fa0/1        -
　　40    0040.af7c.e5b8    SecureSticky             Fa0/1        -
　　40    00c0.9f14.7416    SecureSticky             Fa0/1        -
　　40    0005.5d61.53a4    SecureSticky             Fa0/2        -
　　40    0005.5d6a.666b    SecureSticky             Fa0/2        -
　　40    0005.5de3.36a6    SecureSticky             Fa0/2        -
　　40    000b.2f04.8345    SecureSticky             Fa0/2        -
　　40    0040.0515.13f3    SecureSticky             Fa0/2        -
　　40    0040.0541.9487    SecureSticky             Fa0/2        -
　　40    6cf0.49ab.70bb    SecureConfigured         Fa0/3        -
　　30    0000.7477.4c60    SecureSticky             Fa0/5        -
　　查看具体所绑定的MAC地址数,type一档显示了是怎样的绑定方式.其中fa0/3是通过switchport port-security mac-address xxx.xxx.xxx的方式绑定的.其它都是sticky自动学习到的.
　　通过port-security绑定MAC地址做接入层的交换机安全就搞定了,但这些只是防止二层的非法用户接入和MAC地址泛洪***,并不能防止arp 欺骗等三层的***.
　　但在网上查找相关资料时发现交换机只对单播的源MAC地址流量进行过滤,本人也没有对这个做实验,因为已经超出自身能力范围了,如有不正确之处,尽请指正!