• 本文目录导读：
• 1、什么是Port-Security？
• 2、如何配置Port-Security？
• 3、Port-Security实验演示

在现代网络中，交换机是非常重要的网络设备，它们起着将数据包从一个端口转发到另一个端口的作用。然而，由于其广泛使用和易受攻击的特性，交换机也成为了黑客攻击目标之一。其中最常见的攻击方式就是MAC层攻击。因此，在保证网络安全方面，如何配置交换机以防范这种类型的攻击也变得尤为重要。

本文将介绍一种名为Port-Security（端口安全）的技术，并通过实验演示如何使用Port-Security来提高交换机安全性。

什么是Port-Security？

Port-Security是一种基于MAC地址过滤器和静态或动态学习MAC地址表来保护交换机免受MAC层恶意行为侵害的技术。当启用该功能时，管理员可以限制每个物理接口上所允许出现的最大设备数量，并且只允许已授权设备通过该接口进入网络。

如何配置Port-Security？

在Cisco IOS中启用和配置Port Security需要以下步骤：

1. 进入全局模式

首先，在命令行界面输入enable命令，切换到特权模式。然后输入configure terminal命令，进入全局配置模式。

2. 配置Port Security

在全局配置模式下，使用以下命令启用和配置Port Security：

Switch(config)# interface fastethernet 0/1

Switch(config-if)# switchport mode access

Switch(config-if)# switchport port-security

Switch(config-if)# switchport port-security maximum 1

Switch(config-if)# switchport port-security mac-address sticky

以上命令的作用分别是：

– 将端口fastethernet 0/1设置为接入模式。

– 启用Port-Security功能。

– 设置该端口上允许连接的最大设备数量为1。

– 将MAC地址添加到静态地址表中。

需要注意的是：如果你想将端口上允许连接的最大设备数量设置为2或更多，则需要使用switchport port-security maximum 命令来进行设置。另外，在实际应用中，可以根据需求选择是否启动sticky MAC地址功能。

3. 配置违规行为处理方式

当一个未授权设备尝试访问受限制端口时，管理员可以通过以下方式处理：

– shutdown：关闭该端口并发送SNMP通知；

– protect：禁止新设备加入，并记录SNMP日志；

– restrict：禁止新设备加入，并不记录SNMP日志（默认选项）；

例如，如果我们希望在fastethernet 0/1这个接口上出现未授权设备时关闭该端口，可以使用以下命令：

Switch(config-if)# switchport port-security violation shutdown

4. 保存配置并退出

完成以上设置后，运行以下命令来保存配置并退出：

Switch(config-if)# end

Switch# copy running-config startup-config

Port-Security实验演示

为了验证Port-Security的有效性，我们进行了一次实验。在这个实验中，我们使用三个计算机和一个交换机构建一个简单的网络拓扑结构。其中两台计算机（PC1和PC2）连接到交换机的受限制端口上，并且只有它们的MAC地址被授权通过；而第三台计算机（PC3）尝试连接到未授权端口上。

下面是具体操作步骤：

1. 配置交换机

首先，在Cisco IOS中输入如下命令以启用和配置Port Security功能：

Switch(config)# interface range fastethernet 0/1 – 2

Switch(config-if-range)# switchport mode access

Switch(config-if-range)# switchport port-security

Switch(config-if-range)# switchport port-security maximum 1

Switch(config-if-range)# switchport port-security mac-address sticky

Switch(config-if-range)# switchport port-security violation shutdown

以上命令将fastethernet0/1和fastethernet0/2两个接口设置为受限制端口，并允许每个接口最多连接一个设备。同时，我们还启用了sticky MAC地址功能，并将违规行为处理方式设置为shutdown。

2. 配置计算机

为了模拟未授权设备，我们在PC3上伪造了一个MAC地址，并将其设置为与PC1和PC2不同。

3. 进行实验验证

在完成以上配置后，我们尝试使用PC1和PC2连接受限制端口。结果显示它们都能够正常连接到网络并互相通信。而当我们尝试使用伪造MAC地址的PC3来访问受限制端口时，交换机直接关闭该端口，并发送SNMP通知给管理员。

Port-Security是一种非常有用的技术，在保证网络安全方面起着重要的作用。通过本文介绍和实验演示，相信读者已经对如何启用和配置Port Security有了更加深入地理解。当然，在实际应用中还需要根据具体需求进行灵活配置，以达到更好的安全效果。

最后提醒大家：保护交换机免受攻击是网络安全中重要的一环，希望大家都能加强对此方面知识的学习和实践！