以太網(wǎng)交換機(jī)端口安全MAC地址技術(shù)白皮書

1、以太網(wǎng)交換機(jī)端口安全以太網(wǎng)交換機(jī)端口安全 macmac地址地址技術(shù)白皮書技術(shù)白皮書以太網(wǎng)交換機(jī)端口安全以太網(wǎng)交換機(jī)端口安全macmac 技術(shù)白皮書技術(shù)白皮書武漢烽火網(wǎng)絡(luò)有限責(zé)任公司武漢烽火網(wǎng)絡(luò)有限責(zé)任公司文檔版本：文檔版本：v1.0v1.0時(shí)間：時(shí)間：2006-02-082006-02-08撰寫：交換機(jī)項(xiàng)目組相關(guān)撰寫：交換機(jī)項(xiàng)目組相關(guān) 審核：技術(shù)支持部審核：技術(shù)支持部以太網(wǎng)交換機(jī)端口安全以太網(wǎng)交換機(jī)端口安全 macmac 技術(shù)白皮書技術(shù)白皮書人員，技術(shù)支持部人員，技術(shù)支持部發(fā)布：武漢烽火網(wǎng)絡(luò)有限發(fā)布：武漢烽火網(wǎng)絡(luò)有限 讀者對(duì)象：讀者對(duì)象： 烽火網(wǎng)絡(luò)客烽火網(wǎng)絡(luò)客責(zé)任公司市場(chǎng)部責(zé)任公司市場(chǎng)部戶，戶

2、， 烽火網(wǎng)絡(luò)市場(chǎng)及客烽火網(wǎng)絡(luò)市場(chǎng)及客服所有人員服所有人員修訂記錄修訂記錄修修 訂訂 序序 修修 訂訂 日日 修修 訂訂 內(nèi)內(nèi) 修訂者修訂者版本版本號(hào)號(hào)期期容描述容描述聲明聲明: :1 1本文僅作市場(chǎng)宣傳參考，不作合同簽定、技本文僅作市場(chǎng)宣傳參考，不作合同簽定、技術(shù)配置的依據(jù)。術(shù)配置的依據(jù)。由于編者技術(shù)水平有限，由于編者技術(shù)水平有限，歡迎批歡迎批評(píng)和指導(dǎo)。評(píng)和指導(dǎo)。2 2版權(quán)所有，保留一切權(quán)力版權(quán)所有，保留一切權(quán)力內(nèi)部資料內(nèi)部資料, ,請(qǐng)勿傳播請(qǐng)勿傳播3 3以太網(wǎng)交換機(jī)端口安全以太網(wǎng)交換機(jī)端口安全 macmac 技術(shù)白皮書技術(shù)白皮書非經(jīng)本公司書面許可，非經(jīng)本公司書面許可， 任何單位和個(gè)人不得擅自

3、任何單位和個(gè)人不得擅自摘抄、摘抄、復(fù)制本書的部分或全部，復(fù)制本書的部分或全部，并不得以任何形并不得以任何形式傳播。式傳播。3 3有任何疑問請(qǐng)垂詢市場(chǎng)部技術(shù)支持部。有任何疑問請(qǐng)垂詢市場(chǎng)部技術(shù)支持部。內(nèi)部資料內(nèi)部資料, ,請(qǐng)勿傳播請(qǐng)勿傳播4 4以太網(wǎng)交換機(jī)端口安全以太網(wǎng)交換機(jī)端口安全 macmac 技術(shù)白皮書技術(shù)白皮書目目 錄錄一交換機(jī)端口安全一交換機(jī)端口安全 macmac 地址技術(shù)概述地址技術(shù)概述 . . 7 7二、實(shí)現(xiàn)方式二、實(shí)現(xiàn)方式 .8 81. cli1. cli 方式方式. 8 82. web2. web 方式方式. 9 9內(nèi)部資料內(nèi)部資料, ,請(qǐng)勿傳播請(qǐng)勿傳播5 5以太網(wǎng)交換機(jī)端口安全

4、以太網(wǎng)交換機(jī)端口安全 macmac 技術(shù)白皮書技術(shù)白皮書摘要摘要本文介紹武漢烽火網(wǎng)絡(luò)有限公司本文介紹武漢烽火網(wǎng)絡(luò)有限公司 f-enginef-engine 系系列以太網(wǎng)交換機(jī)的端口安全列以太網(wǎng)交換機(jī)的端口安全macmac地址功能。隨地址功能。隨著網(wǎng)絡(luò)應(yīng)用的日益普及，著網(wǎng)絡(luò)應(yīng)用的日益普及， 尤其是在一些敏感場(chǎng)合尤其是在一些敏感場(chǎng)合的應(yīng)用，的應(yīng)用，網(wǎng)絡(luò)安全成為日益迫切的需求。網(wǎng)絡(luò)安全成為日益迫切的需求。本文通本文通過介紹過介紹f-enginef-engine 系列以太網(wǎng)交換機(jī)如何通過端系列以太網(wǎng)交換機(jī)如何通過端口安全口安全macmac地址功能來進(jìn)行安全防范。地址功能來進(jìn)行安全防范。關(guān)鍵詞關(guān)鍵詞ma

5、cmac地址地址內(nèi)部資料內(nèi)部資料, ,請(qǐng)勿傳播請(qǐng)勿傳播6 6以太網(wǎng)交換機(jī)端口安全以太網(wǎng)交換機(jī)端口安全 macmac 技術(shù)白皮書技術(shù)白皮書一交換機(jī)端口安全一交換機(jī)端口安全 macmac 地址技術(shù)概述地址技術(shù)概述通信網(wǎng)絡(luò)的每一層中都有自己獨(dú)特的安全問通信網(wǎng)絡(luò)的每一層中都有自己獨(dú)特的安全問題。數(shù)據(jù)鏈路層（第二協(xié)議層）的通信連接就安題。數(shù)據(jù)鏈路層（第二協(xié)議層）的通信連接就安全而言，全而言，是較為薄弱的環(huán)節(jié)。是較為薄弱的環(huán)節(jié)。網(wǎng)絡(luò)安全的問題應(yīng)網(wǎng)絡(luò)安全的問題應(yīng)該在多個(gè)協(xié)議層針對(duì)不同的弱點(diǎn)進(jìn)行解決。該在多個(gè)協(xié)議層針對(duì)不同的弱點(diǎn)進(jìn)行解決。端口安全功能就是一個(gè)數(shù)據(jù)鏈路層的安全實(shí)端口安全功能就是一個(gè)數(shù)據(jù)鏈路層的安

6、全實(shí)現(xiàn)方式，現(xiàn)方式，它在接口上使能了端口安全后，它在接口上使能了端口安全后，交換機(jī)交換機(jī)的這個(gè)端口上接收到數(shù)據(jù)包時(shí)，的這個(gè)端口上接收到數(shù)據(jù)包時(shí)， 只有已經(jīng)配置了只有已經(jīng)配置了的的 macmac 地址允許通過，如果數(shù)據(jù)包的源地址允許通過，如果數(shù)據(jù)包的源 macmac 地地址并不在接口的安全址并不在接口的安全 macmac 地址表中，那么交換地址表中，那么交換機(jī)將丟棄收到的這個(gè)數(shù)據(jù)。機(jī)將丟棄收到的這個(gè)數(shù)據(jù)。在交換機(jī)上配置端口安全選項(xiàng)可以防止在交換機(jī)上配置端口安全選項(xiàng)可以防止camcam 表淹沒攻擊。表淹沒攻擊。該選擇項(xiàng)要么可以提供特定該選擇項(xiàng)要么可以提供特定交換機(jī)端口的交換機(jī)端口的 macmac

7、地址說明，要么可以提供地址說明，要么可以提供一個(gè)交換機(jī)端口可以習(xí)得的一個(gè)交換機(jī)端口可以習(xí)得的 macmac 地址的數(shù)目地址的數(shù)目方面的說明。當(dāng)無效的方面的說明。當(dāng)無效的 macmac 地址在該端口被地址在該端口被檢測(cè)出來之后，檢測(cè)出來之后， 該交換機(jī)要么可以阻止所提供的該交換機(jī)要么可以阻止所提供的macmac 地址，要么可以關(guān)閉該端口。地址，要么可以關(guān)閉該端口。內(nèi)部資料內(nèi)部資料, ,請(qǐng)勿傳播請(qǐng)勿傳播7 7以太網(wǎng)交換機(jī)端口安全以太網(wǎng)交換機(jī)端口安全 macmac 技術(shù)白皮書技術(shù)白皮書二、實(shí)現(xiàn)方式二、實(shí)現(xiàn)方式1. cli1. cli 方式方式首先在接口上使能端口安全功能，首先在接口上使能端口安全功能

8、， 然后配置允然后配置允許通過的許通過的 macmac 地址即可。地址即可。下面舉例進(jìn)行說明：下面舉例進(jìn)行說明：端口安全的使能以及安全端口安全的使能以及安全 macmac 地址的添加：地址的添加：s2008ma(config)#int eth 1s2008ma(config)#int eth 1s2008ma(config-eth-1)#security-mac enables2008ma(config-eth-1)#security-mac enables2008ma(config-eth-1)#security-macs2008ma(config-eth-1)#security-mac00

9、.0c.fa.a3.48.fa00.0c.fa.a3.48.fas2008ma(config-eth-1)#security-macs2008ma(config-eth-1)#security-mac00.0c.fa.a3.48.fb00.0c.fa.a3.48.fb上面的配置在接口上面的配置在接口 1 1 上使能端口安全功能，上使能端口安全功能， 并并允允 許許 來來 自自macmac地地 址址00.0c.fa.a3.48.fa00.0c.fa.a3.48.fa與與00.0c.fa.a3.48.fb00.0c.fa.a3.48.fb 的數(shù)據(jù)包通過。的數(shù)據(jù)包通過。端口安全端口安全 macmac

10、 地址的刪除以及端口安全的失效：地址的刪除以及端口安全的失效：s2008ma(config-eth-1)#security-macs2008ma(config-eth-1)#security-macdeletedelete00.0c.fa.a3.48.fa00.0c.fa.a3.48.fa內(nèi)部資料內(nèi)部資料, ,請(qǐng)勿傳播請(qǐng)勿傳播8 8addaddaddadd以太網(wǎng)交換機(jī)端口安全以太網(wǎng)交換機(jī)端口安全 macmac 技術(shù)白皮書技術(shù)白皮書本命令執(zhí)行后，本命令執(zhí)行后，macmac 地址地址 00.0c.fa.a3.48.fa00.0c.fa.a3.48.fa 已已不在接口不在接口 1 1 的安全的安全

11、macmac 地址表中；地址表中；s2008ma(config-eth-1)#security-mac disables2008ma(config-eth-1)#security-mac disable本命令執(zhí)行后，接口本命令執(zhí)行后，接口 1 1 的端口安全功能失效。的端口安全功能失效。注意事項(xiàng)：注意事項(xiàng)：(1)(1)使能端口安全后，使能端口安全后， 一定要添加允許通過的一定要添加允許通過的macmac 地址，地址， 否則這個(gè)接口不允許接收所有的否則這個(gè)接口不允許接收所有的數(shù)據(jù)包；數(shù)據(jù)包；(2)(2)在接口上使能端口安全時(shí)，在接口上使能端口安全時(shí)， 需要收集允許需要收集允許通過通過 pcpc 機(jī)的機(jī)的 macmac 地址。地址。2. web2. web 方式方式首先，首先，登錄交換機(jī)的登錄交換機(jī)的 webweb 管理界面，管理界面，進(jìn)入進(jìn)入“接“接口配置”節(jié)點(diǎn)下的“安全口配置”節(jié)點(diǎn)下的“安全 macmac 地址”配置節(jié)點(diǎn)，地址”配置節(jié)點(diǎn)，然后選擇需要