任務3交換機端口安全配置

1、任務任務3 3交換機端口安全配置交換機端口安全配置 n 掌握掌握802.1x基本原理及其配置基本原理及其配置n 掌握端口隔離技術(shù)及其配置掌握端口隔離技術(shù)及其配置n 掌握端口綁定技術(shù)及其配置掌握端口綁定技術(shù)及其配置課程目標課程目標學習完本課程，您應該能夠：學習完本課程，您應該能夠：n 802.1x基本原理及其配置基本原理及其配置n 端口隔離技術(shù)及其配置端口隔離技術(shù)及其配置n 端口綁定技術(shù)及其配置端口綁定技術(shù)及其配置目錄目錄802.1x技術(shù)簡介技術(shù)簡介l802.1x協(xié)議起源于標準的無線局域網(wǎng)協(xié)議協(xié)議起源于標準的無線局域網(wǎng)協(xié)議802.11。主要目的是。主要目的是為了解決有線局域網(wǎng)用戶的接入認證問題。

2、為了解決有線局域網(wǎng)用戶的接入認證問題。IlSupplicant System（客戶端）（客戶端）局域網(wǎng)內(nèi)被認證的實體，需要支持EAPOL協(xié)議lAuthenticator System（設備端）（設備端）對客戶端進行認證的網(wǎng)絡設備，需要支持802.1x協(xié)議lAuthentication Server System（認證服務器）（認證服務器）為設備端提供認證服務的實體，用于實現(xiàn)對用戶進行認證、授權(quán)和計費802.1x的體系結(jié)構(gòu)的體系結(jié)構(gòu)客戶端PAE客戶端認證服務器認證服務器設備端提供的服務設備端PAE設備端受控端口端口非授權(quán)非受控端口LAN/WLAN客戶端主機交換機認證服務器端l本地認證本地認證由設

3、備端內(nèi)置本地服務器對客戶端進行認證l遠程集中認證遠程集中認證由遠程的認證服務器對客戶端進行認證802.1x組網(wǎng)構(gòu)成及認證類型組網(wǎng)構(gòu)成及認證類型l客戶端發(fā)出的客戶端發(fā)出的EAP協(xié)議報文使用協(xié)議報文使用EAPOL封裝格式，直接承載于封裝格式，直接承載于LAN環(huán)境中環(huán)境中l(wèi)設備端與設備端與RADIUS服務器的交互有兩種方式服務器的交互有兩種方式EAP中繼方式EAP終結(jié)方式l通過認證后，設備端通過認證后，設備端PAE根據(jù)根據(jù)RADIUS服務器的指示（服務器的指示（Accept或或Reject）決定受控端口的授權(quán)）決定受控端口的授權(quán)/非授權(quán)狀態(tài)非授權(quán)狀態(tài)802.1x工作機制工作機制客戶端設備端RADIU

4、S服務器端EOPOLRADIUS端口接入控制方式端口接入控制方式MAC-basedPort-basedHubl基于端口的認證方式基于端口的認證方式l基于基于MAC的認證方式的認證方式SwitchE0/802.1x基本配置基本配置Switch dot1xl開啟全局的開啟全局的802.1x特性特性l開啟端口的開啟端口的802.1x特性特性l添加本地接入用戶并設置相關(guān)參數(shù)添加本地接入用戶并設置相關(guān)參數(shù) Switch dot1x interface interface-listSwitch local-user user-nameSwitch-luser-localuser service-type

5、lan-accessSwitch-luser-localuser password cipher | simple 802.1x典型配置舉例典型配置舉例SWAdot1xSWAdot1x interface ethernet1/0/1SWAlocal-user localuser SWA-luser-localuserpassword simple helloSWA-luser-localuserservice-type lan-accessPCSWAE1/0/1n 802.1x的基本原理和配置的基本原理和配置n 端口隔離技術(shù)及其配置端口隔離技術(shù)及其配置n 端口綁定技術(shù)及其配置端口綁定技術(shù)及其配

6、置目錄目錄端口隔離簡介端口隔離簡介Port-isolate GroupVLAN1SwitchVLAN2VLAN3Switchl端口隔離用于在端口隔離用于在VLAN內(nèi)隔離以太網(wǎng)端口內(nèi)隔離以太網(wǎng)端口Uplink-Switch-Ethernet1/0/1 port-isolate enablel將指定端口加入到隔離組中，端口成為將指定端口加入到隔離組中，端口成為隔離組的普通端口隔離組的普通端口l將指定端口加入到隔離組中，端口成為將指定端口加入到隔離組中，端口成為隔離組的上行端口隔離組的上行端口端口隔離基本配置端口隔離基本配置Switch-Ethernet1/0/2 port-isolate upli

7、nk-端口隔離配置舉例端口隔離配置舉例E1/0/2E1/0/1E1/0/3E1/0/4Uplink-portPCAPCBPCCSWAinterface ethernet1/0/2 SWA-Ethernet1/0/2 port-isolate enableSWAinterface ethernet1/0/3SWA-Ethernet1/0/3 port-isolate enableSWAinterface ethernet1/0/4SWA-Ethernet1/0/4 port-isolate enableSWAinterface ethernet1/0/1SWA-Ethernet1/0/1 por

8、t-isolate uplink-portServern 802.1x的基本原理和配置的基本原理和配置n 端口隔離技術(shù)及其配置端口隔離技術(shù)及其配置n 端口綁定技術(shù)及其配置端口綁定技術(shù)及其配置目錄目錄端口綁定技術(shù)簡介端口綁定技術(shù)簡介l通過通過“MAC+IP+端口端口”綁定功能，可以實現(xiàn)設備對轉(zhuǎn)發(fā)報文的綁定功能，可以實現(xiàn)設備對轉(zhuǎn)發(fā)報文的過濾控制，提高了安全性。過濾控制，提高了安全性。MAC:0001-0201-2123IP:10.1.1.1/24MAC:0001-0401-2126IP:10.2.1.1/24MAC:0002-0261-2562IP:10.3.1.1/24E1/0/2E1/0/1E

9、1/0/3E1/0/4PCAPCBPCCMACIPPort0001-0201-000010.1.1.1E1/0/20001-0401-212610.2.1.1E1/0/30001-0401-212610.3.1.2E1/0/Switch-Ethernet1/0/1 user-bind ip-address ip-address mac-address mac-address l配置靜態(tài)綁定表項配置靜態(tài)綁定表項端口綁定基本配置端口綁定基本配置端口綁定典型配置舉例端口綁定典型配置舉例MAC:0001-0201-2123IP:10.1.1.1/24MAC:0001-0401-2126IP:10.2.

10、1.1/24MAC:0002-0261-2562IP:10.3.1.1/24E1/0/2E1/0/1E1/0/3E1/0/4PCAPCBPCCSWAinterface ethernet1/0/2 SWA-Ethernet1/0/2 user-bind ip-address 10.1.1.1 mac-address 0001-0201-2123SWAinterface ethernet1/0/3SWA-Ethernet1/0/3 user-bind ip-address 10.2.1.1 mac-address 0001-0401-2126SWAinterface ethernet1/0/4SWA-Ethernet1/0/4 user-bind ip-address 10.3.1.1 mac-address 0002-