| |
網(wǎng)絡(luò)管理員面臨的一個日漸嚴峻的挑戰(zhàn)是決定哪些人可以訪問單位內(nèi)部的網(wǎng)絡(luò)，哪些人不可以。如果公司需要演示某個外來客戶的產(chǎn)品,將以太網(wǎng)電纜從公司內(nèi)部一臺計算機上拔下來，插到的客戶電腦上。這樣一來，他計算機內(nèi)部的蠕蟲、病毒什么的對你的局域網(wǎng)就是一個極大威脅了。今天我們看一下怎樣通過配置交換機端口來解決類似的安全問題。
從基本原理上講，Port Security(端口安全)特性記住的是連接到交換機端口的以太網(wǎng)MAC地址即網(wǎng)卡號，并只允許某個MAC地址通過本端口通信。如果任何其它MAC地址試圖通過此端口通信，端口安全特性會阻止它。使用端口安全特性可以防止某些設(shè)備訪問網(wǎng)絡(luò)，并增強安全性。
配置端口安全是相對比較簡單的。最簡單的形式，就是Port Security需要指向一個已經(jīng)啟用的端口并輸入Port Security接口模式命令。
Switch)# config t
Switch(config)# int fa0/18
Switch(config-if)# switchport port-security
aging Port-security aging commands
mac-address Secure mac address
maximum Max secure addresses
violation Security violation mode
Switch(config-if)# switchport port-security
Switch(config-if)#^Z
在此我們通過輸入最基本的命令來配置端口安全，接授了只允許一個MAC地址的默認設(shè)置，這就決定了只有第一個設(shè)備的MAC地址可以與這個端口通信；如果另一MAC地址試圖通過此端口通信，交換機會關(guān)閉此端口。下面談一下如何可以改變此設(shè)置。
當然應(yīng)該根據(jù)實際情況來配置端口安全。此例中，實際上用戶還可以配置其它的端口安全命令：
switchport port-security maximum {允許的最多MAC地址數(shù)量}:可以使用這個選項允許多個MAC地址。例如，如果用戶有一個12端口的集線器連接到交換機的此端口，就需要12個MAC：switchport port-security maximum 12 /允許此端口通過的最大MAC地址數(shù)目為12。
switchport port-security violation {shutdown restrict protect}:此命令告訴交換機當端口上MAC地址數(shù)超過了最大數(shù)量之后交換機應(yīng)該怎么做。默認是關(guān)閉端口。我們可以選擇使用restrict來警告網(wǎng)絡(luò)管理員，也可以選擇protect來允許通過安全端口通信并丟棄來自其它MAC地址的數(shù)據(jù)包。
switchport port-security mac-address {MAC 地址}:使用此選項來手動定義允許使用此端口的MAC地址而不是由端口動態(tài)地定義MAC地址。
當然，你可以在一系列端口上配置端口安全。下面舉一個例子：
Switch)# config t
Switch(config)# int range fastEthernet 0/1 - 24
Switch(config-if)# switchport port-security
然而，如果在一個UPLINK端口上輸入此命令，用戶必須十分小心使用此選項，因為它指向不只一個設(shè)備，第二個設(shè)備一旦發(fā)送一個數(shù)據(jù)包，整個端口就會關(guān)閉，這樣可就麻煩了。
一旦你配置了端口安全而此端口上的以太網(wǎng)設(shè)備又發(fā)出了數(shù)據(jù)，交換機會記錄下MAC地址而且通過使用這個地址來保障端口安全。要查看交換機上端口安全狀態(tài)，可以使用show port security address 和show port-security interface命令。舉例說明如下：
Switch# show port-security address
Switch# show port-security interface fa0/18
Port Security : Enabled
Port Status : Secure-up
Violation Mode : Shutdown
Aging Time : 0 mins
Aging Type : Absolute
SecureStatic Address Aging : Disabled
Maximum MAC Addresses : 1
Total MAC Addresses : 1
Configured MAC Addresses : 0
Sticky MAC Addresses : 0
Last Source Address : 0004.00d5.285d
Security Violation Count : 0
Switch#
大家可以到思科網(wǎng)站上去進一步查找資料，采取措施來保障自己網(wǎng)絡(luò)端口的安全。
|
|
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
