(第20課) 端口安全 以太通道 DHCP

課程目標(biāo)完成這個(gè)章節(jié)的學(xué)習(xí)，我們可以做到：掌握端口安全的基本原理掌握端口安全的配置端口安全的原理端口安全特性可以使受限特定MAC地址的主機(jī)流量通過(guò)該端口.當(dāng)接口上配置了安全的MAC地址后，定義之外的源MAC發(fā)送的數(shù)據(jù)包將被端口丟棄.PortsecurityisaMACaddresslockdownthatdisablestheportiftheMACaddressisnotvalid.NetworkAccessPortSecurity安全的MAC地址靜態(tài)安全的MAC地址:手工配置，存儲(chǔ)在MAC地址表內(nèi)并加入到交換機(jī)的配置文件中(running-config).動(dòng)態(tài)安全的MAC地址:動(dòng)態(tài)學(xué)習(xí)，只存儲(chǔ)在MAC地址表中，交換機(jī)重啟之后丟失.黏性(sticky)安全的MAC地址:可以動(dòng)態(tài)學(xué)習(xí)，也可以手工配置，存儲(chǔ)在MAC地址表內(nèi)并加入到交換機(jī)的配置文件中(running-config)，如果配置被保存，即使交換機(jī)重啟也無(wú)需重新配置.安全違背Protect:當(dāng)安全的MAC地址的數(shù)量到達(dá)端口的限制值時(shí)，源地址為非法地址的數(shù)據(jù)包將被丟棄，交換機(jī)不會(huì)通告發(fā)生了安全違背.Restrict:當(dāng)安全的MAC地址的數(shù)量到達(dá)端口的限制值時(shí)，源地址為非法地址的數(shù)據(jù)包將被丟棄，交換機(jī)會(huì)通告發(fā)生了安全違背.交換機(jī)會(huì)發(fā)送SNMP的trap，并記錄日志(logging)，并且會(huì)增加懲罰計(jì)數(shù)器.Shutdown:在此模式下，安全違背會(huì)設(shè)置端口為err-disable狀態(tài)，并關(guān)閉交換機(jī)的LED燈.交換機(jī)也會(huì)發(fā)送SNMP的trap，并記錄日志(logging)，并且會(huì)增加懲罰計(jì)數(shù)器安全違背違背模式是否轉(zhuǎn)發(fā)非法流量是否發(fā)送SNMP的trap是否發(fā)送日志信息違背計(jì)數(shù)器是否增加是否關(guān)閉端口protectNoNoNoNoNorestrictNoYesYesYesNoshutdownNoYesYesYesYes端口安全的缺省值特性缺省設(shè)置端口安全關(guān)閉安全MAC地址的最大數(shù)量1個(gè)懲罰關(guān)閉黏性地址學(xué)習(xí)關(guān)閉端口安全老化時(shí)間(aging)關(guān)閉.老化時(shí)間(Agingtime)為0.當(dāng)端口安全開(kāi)啟時(shí),缺省類(lèi)型是absolute.配置端口安全Switch(config-if)#switchportport-security開(kāi)啟端口安全Switch(config-if)#switchportport-security[maximumvalue

[vlan{vlan-list

|

{access|voice}}]]設(shè)置端口最大安全MAC地址數(shù)目Switch(config-if)#switchportport-securityviolation{protect|restrict|shutdown}設(shè)置安全違背后的處理配置端口安全Switch(config-if)#switchportport-securitymac-addresssticky開(kāi)啟黏性地址學(xué)習(xí)功能Switch(config-if)#switchportport-securitymac-addresssticky[mac-address

|vlan{vlan-id

|{access

|

voice}}]設(shè)置黏性的安全MAC地址Switch(config-if)#switchportport-security[mac-addressmac-address[vlan{vlan-id

|

{access|

voice}}]設(shè)置安全的MAC地址Switch(config-if)#switchportport-security

aging{static|time

time|type{absolute|inactivity}}

設(shè)置安全MAC地址超時(shí)時(shí)間端口安全配置實(shí)例Switch(config)#interfaceFastEthernet1/0/1Switch(config-if)#switchportaccessvlan21Switch(config-if)#switchportmodeaccessSwitch(config-if)#switchportvoicevlan22Switch(config-if)#switchportport-securitySwitch(config-if)#switchportport-securitymaximum20Switch(config-if)#switchportport-securityviolationrestrictSwitch(config-if)#switchportport-securitymac-addressstickySwitch(config-if)#switchportport-securitymac-addresssticky0000.0000.0002Switch(config-if)#switchportport-securitymac-address0000.0000.0003Switch(config-if)#switchportport-securitymac-addresssticky0000.0000.0001vlanvoiceSwitch(config-if)#switchportport-securitymac-address0000.0000.0004vlanvoiceSwitch(config-if)#switchportport-securitymaximum10vlanaccessSwitch(config-if)#switchportport-securitymaximum10vlanvoice端口安全配置指南端口安全只能配置在訪問(wèn)(access)接口、干道(trunk)接口和IEEE802.1Q的隧道(tunnel)接口上.不能配置在動(dòng)態(tài)接口上.安全的接口不能是SPAN的目的接口.安全的接口不能屬于以太通道(EtherChannel)端口組.當(dāng)配置安全MAC地址的最大值時(shí)，若新的值比原來(lái)的大，新值會(huì)覆蓋原來(lái)的值；若新值比原來(lái)的小，而且端口上設(shè)置的安全的MAC地址大于新值，命令會(huì)被拒絕.交換機(jī)不支持針對(duì)黏性安全MAC地址的老化.以太通道ConfiguringLinkAggregationwithEtherChannel以太通道伴隨著對(duì)更高帶寬需求的不斷增長(zhǎng)，管理員正在尋找增加兩臺(tái)設(shè)備之間可用帶寬的方法，雖然我們可以選擇更高帶寬的端口類(lèi)型，但因?yàn)樾枰黾痈嗟某杀荆运⒉豢偸强尚械摹Ｍㄟ^(guò)將多個(gè)端口進(jìn)行綁定，EtherChannel充分利用現(xiàn)有端口的優(yōu)勢(shì)來(lái)增加可用帶寬.CiscoCatalyst交換機(jī)最多允許將8個(gè)端口綁定到一起。EtherChannel不支持對(duì)10Mbit/s端口進(jìn)行通道處理。以太通道將類(lèi)似的鏈路進(jìn)行邏輯的聚合負(fù)載平衡看作是一個(gè)邏輯端口冗余性以太通道一個(gè)以太通道由若干個(gè)快速以太網(wǎng)或千兆以太網(wǎng)連接捆綁成一個(gè)單一邏輯接口動(dòng)態(tài)的中繼協(xié)商協(xié)議PAgP思科私有協(xié)議LACP

IEEE802.3ad標(biāo)準(zhǔn)協(xié)議動(dòng)態(tài)的中繼協(xié)商協(xié)議在CiscoCatalyst交換機(jī)之間，EtherChannel通常使用PAgP（PortAggregationProtocol端口匯聚協(xié)議）或LACP（LinkAggregationControlProtocol鏈路匯聚控制協(xié)議）。在Cisco交換機(jī)和其他授權(quán)廠商（例如Intel制造的網(wǎng)卡）之間，也可能使用PAgP協(xié)議，為連接Cisco交換機(jī)和其他支持802.3ad的非Cisco廠商的交換機(jī)或服務(wù)器，則可以使用LACP形成EtherChannel。PAgP是一個(gè)用于在檢查Channel兩端的參數(shù)的一致性以及在出現(xiàn)增加鏈路或鏈路失效時(shí)的重新適配的一個(gè)管理協(xié)議。Port-Channel接口Channel-group是配置層面上的一個(gè)物理端口組，配置到Channel-group里面的物理端口才可以參加鏈路匯聚，并成為Port-channel里的某個(gè)成員端口關(guān)于以太通道配置命令配置PAgPinterfaceport-channel{channel-group-number}

channel-protocolpagpchannel-group1mode{mode}驗(yàn)證showinterfacesfastethernet0/1etherchannelshowetherchannel1port-channelshowetherchannel1summary配置2層以太通道Switch(config-if-range)#channel-protocol{pagp|lacp}指定channel-group的協(xié)商模式Switch(config)#interfacerangeinterfaceslot/port-port指定需要被綁定的接口Switch(config-if-range)#channel-groupnumbermode{active|on|auto|desirable|passive}指定通道協(xié)議：PAgP或LACPPAgP模式模式描述開(kāi)啟(ON)這種模式會(huì)強(qiáng)制端口不使用PAgP而形成EtherChannel。在這種模式下，如果希望EtherChannel能夠正常地工作，那么就要求鏈路伙伴的EtherChannel都處于On模式。關(guān)閉(off)這種模式能夠防止端口形成EtherChannel。自動(dòng)(Auto)這種模式將使得端口進(jìn)入被動(dòng)協(xié)商狀態(tài)，如果端口接受到PAgP數(shù)據(jù)包，那么就將形成EtherChannel。雖然如此，但這種模式的端口將不會(huì)主動(dòng)發(fā)起協(xié)商，Auto是默認(rèn)模式。企望(Desirable)這種模式將使得端口利用PAgP進(jìn)入形成EtherChannel的協(xié)商狀態(tài)。在配置Calalyst交換機(jī)形成EtherChannel的時(shí)候，推薦模式是Desirable。配置3層以太通道Switch(config)#interfaceport-channelport-channel-number創(chuàng)建一個(gè)通道接口Switch(config-if)#noswitchportSwitch(config-if)#ipaddressaddressmask指定以太通道為3層并分配IP地址和子網(wǎng)掩碼Switch(config-if)#noswitchportSwitch(config-if)#channel-groupnumbermode{auto|desirable|on}配置接口為3層，指定通道端口模式Switch(config)#interfaceinterfaceslot/port指定一個(gè)接口用以配置驗(yàn)證以太通道Switch#showrunning-configinterfaceport-channelnum

顯示端口通道信息Switch#showruninterfaceport-channel1

Buildingconfiguration...Currentconfiguration:66bytes!interfacePort-channel1switchportmodedynamicdesirableendSwitch#showrunning-configinterfaceinterfacex/y

顯示接口信息Switch#showruninterfacegig0/9

Buildingconfiguration...Currentconfiguration:127bytes!interfaceGigabitEthernet0/9switchportmodedynamicdesirablechannel-group2modedesirablechannel-protocolpagpend驗(yàn)證以太通道Switch#showinterfacesgigabitethernet0/9etherchannelPortstate=UpMstrIn-BndlChannelgroup=1Mode=Desirable-SlGcchange=0Port-channel=Po2GC=0x00020001Pseudoport-channel=Po1Portindex=0Load=0x00Flags:S-DeviceissendingSlowhello.C-DeviceisinConsistentstate.A-DeviceisinAutomode.P-Devicelearnsonphysicalport.d-PAgPisdown.Timers:H-Hellotimerisrunning.Q-Quittimerisrunning.S-Switchingtimerisrunning.I-Interfacetimerisrunning.Localinformation:HelloPartnerPAgPL