cisco3550交换机端口安全

sonyet

　　交换机默认端口安全配置
　　Feature default setting (默认设置）
　　port security （端口安全） disable（禁止）
　　maximum number of secure mac address （最大安全MAC地址） one（一）
　　violation mode （违反模式） shudown（当违反了规则端口就关闭）
　　sticky address learning （自动学习并绑定地址） disable（禁止）
　　port security aging disable.aging time is 0 when enable,the feature type is absolute
　　端口老化时间 禁止，如果老化时间为0,启用它，端口老化时间模式为absolute
　　还要注意：
　　端口安全只能配置在静态access port，trunk port 或者802.1Q tunnel ports
　　一个安全端口不能为动态access port
　　当做端口镜像时安全端口不能为目的端口
　　一个安全端口不能属于链路汇聚的端口组里面
　　1.MAC地址与端口绑定，当发现主机的MAC地址与交换机上指定的MAC地址不同时，交换机相应的端口将down掉。当给端口指定MAC地址时，端口模式必须为access或者Trunk状态。
　　3550-1#conf t
　　3550-1(config)#int f0/1
　　3550-1(config-if)#switchport mode access /指定端口模式。
　　3550-1(config-if)#switchport port-security mac-address 00-90-F5-10-79-C1 /配置MAC地址。
　　3550-1(config-if)#switchport port-security maximum 1 /限制此端口允许通过的MAC地址数为1。
　　3550-1(config-if)#switchport port-security violation shutdown /当发现与上述配置不符时，端口down掉。
　　2.通过MAC地址来限制端口流量，此配置允许一TRUNK口最多通过100个MAC地址，超过100时，但来自新的主机的数据帧将丢失。
　　3550-1#conf t
　　3550-1(config)#int f0/1
　　3550-1(config-if)#switchport trunk encapsulation dot1q
　　3550-1(config-if)#switchport mode trunk /配置端口模式为TRUNK。
　　3550-1(config-if)#switchport port-security maximum 100 /允许此端口通过的最大MAC地址数目为100。
　　3550-1(config-if)#switchport port-security violation protect /当主机MAC地址数目超过100时，交换机继续工作，但来自新的主机的数据帧将丢失。
　　上面的配置根据MAC地址来允许流量，下面的配置则是根据MAC地址来拒绝流量。
　　1.此配置在Catalyst交换机中只能对单播流量进行过滤，对于多播流量则无效。
　　3550-1#conf t
　　3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 drop /在相应的Vlan丢弃流量。
　　3550-1#conf t
　　3550-1(config)#mac-address-table static 00-90-F5-10-79-C1 vlan 2 int f0/1 /在相应的接口丢弃流量