- #所有password用思科私有方式加密 系统密码作为可逆密文存储在配置中<br>conf t
- service password-encryption
port-security的功能:
1. 通过对限制接口的最大mac数量从而限制接入的主机用户
2. 限定接口所连接的特定MAC,从而实现接入用户的限制
依据: 通过安全地址判断-security MAC address
port-security 安全地址 secure mac address
当我们将接口允许的MAC地址数量设置为1并且为接口设置一个安全地址，那么这个接口将只为该MAC所属的PC服务，也就是源为该MAC的数据帧能够进入该接口
惩罚激活模式 violation
当一个激活了Port-Security的接口上，MAC地址数量已经达到了配置的最大安全地址数量，并且又收到了一个新的数据帧，而这个数据帧的源MAC并不在这些安全地址中，那么启动惩罚措施 当在一个Port-Security接口上配置了某个安全地址，而这个安全地址的MAC又企图在同VLAN的另一个Port-Security接口上接入时，启动惩罚措施port-security 和sticky mac
通过接口动态学习的MAC地址构成的安全地址表项，在接口出现up/down后，将会丢失这些通过动态学习到的MAC构成的安全地址表项，但是所有的接口都用switchport port-security mac-address手工来配置，工作量又太大。因此这个sticky mac地址，可以让我们将这些动态学习到的MAC变成“粘滞状态”，可以简单的理解为，我先动态的学，学到之后我再将你粘起来，形成一条”静态“ （实际上是SecureSticky）的表项。 在up/down现象出现后仍能保存。而在使用wr后，这些sticky安全地址将被写入start-up config，即使设备重启也不会被丢失默认的port-security配置
port-security disable
默认的最大允许安全MAC地址数量 1
惩罚模式 shutdown (进入err-disable状态) #除了shutdown模式还有protect和restrict模式
port-security配置步骤
1. 进入接口激活port-security
2. 配置每个接口的安全地址(secure mac address)
3. 配置port-security惩罚机制 shutdown | protect | restrict
4. (选做) 配置安全地址老化时间
port-security配置
1. 激活port-security(access口)
- 1 Switch(config)#int f0/1
- 2 Switch(config-if)#switchport mode access
- 3 Switch(config-if)#switchport access vlan 10
- 4 % Access VLAN does not exist. Creating vlan 10
- 5 Switch(config-if)#exit
- 6 Switch(config)#vlan 10
- 7 Switch(config-vlan)#exit
- 8 Switch(config)#vlan 20
- 9 Switch(config-vlan)#exit
- 10 Switch(config)#switch access vlan 10
- 11 ^
- 12 % Invalid input detected at '^' marker.
- 13
- 14 Switch(config)#int f0/1
- 15 Switch(config-if)#switchport access vlan 10
- 16 Switch(config-if)#switch port-security
- 17 Switch(config-if)#do sh port-security int f0/1 #查看接口的port-security状态
- 18 Port Security : Enabled
- 19 Port Status : Secure-up
- 20 Violation Mode : Shutdown #违反策略的惩罚措施
- 21 Aging Time : 0 mins
- 22 Aging Type : Absolute
- 23 SecureStatic Address Aging : Disabled
- 24 Maximum MAC Addresses : 1 #最大的安全地址个数 默认为1
- 25 Total MAC Addresses : 0
- 26 Configured MAC Addresses : 0 #手工静态配置的安全mac地址
- 27 Sticky MAC Addresses : 0 #sticky的安全地址
- 28 Last Source Address:Vlan : 0000.0000.0000:0 #最近的一个安全地址+vlan
- 29 Security Violation Count : 0 #接口历史上出现过的违例次数
- 1 Switch(config-if)#int f0/1
- 2 Switch(config-if)#switchport port-security violation restrict
restrict 丢弃非法数据帧同时产生一个syslog消息
shutdown 端口设置成err-disable,接口不可用 同时产生要给syslog消息
3.配置port-security最大允许的安全地址数量
- Switch(config-if)#switchport port-security ?
- aging Port-security aging commands #老化时间
- mac-address Secure mac address #安全mac地址
- maximum Max secure addresses # 最大安全地址数量
- violation Security violation mode #惩罚措施<br><br>Switch(config-if)#switchport port-security maximum 1<br>
- 1 Switch(config-if)#int f0/1
- 2 Switch(config-if)#switchport mode access
- 3 Switch(config-if)#switchport access vlan 10
- 4 Switch(config-if)#switc
- 5 Switch(config-if)#switchport port-se
- 6 Switch(config-if)#switchport port-security maxim
- 7 Switch(config-if)#switchport port-security maximum 2
- 8 Switch(config-if)#switchport prot
- 9 Switch(config-if)#switchport port
- 10 Switch(config-if)#switchport port-security ?
- 11 aging Port-security aging commands
- 12 mac-address Secure mac address
- 13 maximum Max secure addresses
- 14 violation Security violation mode
- 15 <cr>
- 18 Switch(config-if)#switchport port-security mac-address xx
- 1 Switch(config-if)#int f0/1
- 2 Switch(config-if)#switchport mode access
- 3 Switch(config-if)#switchport access vlan 10
- 4 Switch(config-if)#switchport port-security maximum 2
- 5 Switch(config-if)#switchport port-security mac-address sticky
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
10 0006.2ae9.575e STATIC Fa0/1
Switch(config-if)#switchport port-security mac-address sticky 0006.2ae9.575e
Found duplicate mac-address 0006.2ae9.575e.
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！ |
