CISCO 交换机上实现 MAC 和端口、IP 和端口、IP 和 MAC 的绑定
一、针对于目前 ARP 病毒肆虐,利用 ARP 协议进行欺骗的网络问题也日渐严重。在防范过程中除了 VLAN 的划分来抑制问题的扩散,如果将 MAC 地址与端口绑定配合起来会达到最佳的防范效果。
下面在 Cisco 交换机上实现简单的端口绑定,举Cisco 3550为例:
3550#config terminal
//进入通用配置模式
3550(config)# Interface fastethernet 0/1
//进入需要配置的具体端口配置模式
3550(config-if)#switchport mode access
//设置交换机的端口模式为 access 模式,注意缺省是 dynamic
//dynamic 模式下是不能使用 Port-security 功能的
3550(config-if)#switchport port-secruity
//启用端口安全模式
3550(config-if )switchport port-security mac-address <后面写上主机的 MAC 地址>
//配置该端口要绑定的主机的 MAC 地址
switch(config-if)#switchport port-security maximum 1
//其实缺省就是 1 个
switch(config-if)#switchport port-security violation shutdown
//设置违反端口安全规则,缺省是 shutdown
这个配置只可以一个端口绑定一个 MAC 地址,那么要绑定多个 IP 地址与 MAC 地址应该如何处理呢?
看看下面的配置:
1.先建立两个访问控制列表,一个是关于 MAC 地址的,一个是关于 IP 地址的。
3550(config)#mac access-list extended mac-n
//配置一个命名的 MAC 地址访问控制列表,命名为 mac-n
3550(config-ext-macl)#permit host 0001.a1db.f987 any
//源 MAC 地址为 0001.a1db.f987 的主机可以访问任意主机
3550(config-ext-macl)#permit any host 0001.a1db.f987
//所有主机可以访问目的 MAC 地址为 0001.a1db.f987 的主机
3550(config)#ip access-list extended ip-n
//配置命名的 IP 地址访问控制列表,命名为 ip-n
3550(config-ext-nacl)#permit ip 172.0.0.1 0.0.0.0 any
//允许 172.0.0.1 地址在网内工作
2.将建立好的访问控制列表加入需要配置的端口
3550(config-if )#interface fa0/1
//进入配置具体端口的模式
3550(config-if )#mac access-group mac-n in
3550(config-if )#ip access-group ip-n in
PS:上面的配置是静态可靠的 MAC 地址和端口的绑定,命令格式:Switch(config-if)#switchport port-security mac-address Mac 地址
企业中如何快速将 MAC 地址与交换机端口绑定呢?
在实际的运用中常用黏性可靠的 MAC 地址绑定:举CISCO 2950 为例
2950 (config)#int rang fa0/1 – 48
2950 (config-if-range)#switchport mode Access
2950 (config-if-range)#switchport port-security
2950 (config-if-range)#switchport port-security mac-address violation restrict
2950 (config-if-range)#switchport port-security mac-address sticky
这样交换机的 48 个端口都绑定了,注意:在实际运用中要求把连在交换机上的 PC 机都打开,这样才能学到 MAC 地址,并且要在学到 MAC 地址后保存配置文件,这样下次就不用再学习 MAC 地址了,然后用show port-security address查看绑定的端口,确认配置正确。
二、在 cisco 交换机中为了防止 ip 被盗用或员工乱改 ip,可以做以下措施,既 ip 与 mac 地址的绑定,和 ip 与交换机端口的绑定。
ip 与 mac 地址的绑定,这种绑定可以简单有效的防止 ip 被盗用,别人将 ip 改成了你绑定了 mac 地址的 ip 后,其网络不通,(tcp/udp 协议不通,但 netbios 网络共项可以访问),具体做法:
cisco(config)#arp 10.138.208.81 0000.e268.9980 ARPA
这样就将 10.138.208.81 与 mac:0000.e268.9980 ARPA 绑定在一起了。
ip 与交换机端口的绑定,此种方法绑定后的端口只有此 ip 能用,改为别的 ip 后立即断网。有效的防止了乱改 ip。
cisco(config)# interface FastEthernet0/17
cisco(config-if)# ip access-group 6 in
cisco(config)#access-list 6 permit 10.138.208.81
这样就将交换机的 FastEthernet0/17 端口与 ip:10.138.208.81 绑定了。
补:我们也可以通过 MAC 地址来限制端口流量,此配置允许一 TRUNK 口最多通过 100 个 MAC 地址,超过 100 时,但来自新的主机的数据帧将丢失。
3550-1#conf t
3550-1(config)#int f0/1
3550-1(config-if)#switchport trunk encapsulation dot1q
3550-1(config-if)#switchport mode trunk /配置端口模式为 TRUNK。
3550-1(config-if)#switchport port-security maximum 100 /允许此端口通过的最大 MAC 地址数目为 100。
3550-1(config-if)#switchport port-security violation protect /当主机 MAC 地址数目超过 100 时,交换机继续工作,但来自新的主机的数据帧将丢失。
上面的配置根据 MAC 地址来允许流量,下面的配置则是根据 MAC 地址来拒绝流量。
此配置在 Catalyst 交换机中只能对单播流量进行过滤,对于多播流量则无效。
3550-1#conf t
3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 drop /在相应的 Vlan 丢弃流量。
3550-1#conf t
3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 int f0/1 /在相应的接口丢弃流量。
相关文章
- ThinkPad x13 Gen1傲腾H10重装系统的麻烦(0)
- Win10系统电脑进入安全模式的四种方法,让你轻松应对各种问题(0)
- 【Python】修改Windows中 pip 的缓存位置与删除 pip 缓存(1)
- 记录问题解决的连接(0)
- ‘%s=%s’ % (k, v) for k, v in params.items(), ^ SyntaxError: Generator expression must be parent(0)