交换机：端口安全与访问控制指南

为了实现端口安全和访问控制，交换机通常通过以下几种机制和配置来保护网络，防止未经授权的访问和恶意攻击。

01-端口安全

定义及功能

端口安全功能允许管理员限制每个交换机端口可以学习的MAC地址数量。

通过绑定特定的MAC地址到交换机的某一端口上，防止其他设备通过该端口接入网络，从而提高网络的安全性。

实现步骤

• 启用端口安全：首先，管理员可以在交换机端口上启用端口安全功能。
• 设置最大MAC地址数：配置端口允许的最大MAC地址数量，通常设置为1，以确保只有一个设备可以通过该端口访问网络。
• 指定静态MAC地址：可以手动绑定特定的MAC地址到某一端口，防止其他设备伪装该MAC地址接入。
• 设置违反行为：当检测到超过配置的MAC地址时，可以设置交换机采取的行为，如丢弃数据包、关闭端口或发送警报。

配置实例

Switch(config)# interface fastEthernet 0/1Switch(config-if)# switchport mode accessSwitch(config-if)# switchport port-securitySwitch(config-if)# switchport port-security maximum 1Switch(config-if)# switchport port-security violation shutdownSwitch(config-if)# switchport port-security mac-address sticky

在这个例子中，我们启用了端口安全，并将允许的MAC地址数量设置为1。当有其他设备试图通过该端口接入时，端口将自动关闭（shutdown）。mac-address sticky选项允许交换机自动记住连接到端口的第一个MAC地址。

02-访问控制列表

定义及功能

ACLs是一组规则，用于筛选通过交换机端口的数据流量。通过配置ACL，管理员可以允许或拒绝特定的IP地址、协议类型或端口号的流量，从而控制网络访问权限。

实现步骤

• 创建ACL规则：管理员可以根据源IP、目标IP、协议类型等定义ACL规则。
• 应用ACL到端口或VLAN：一旦ACL创建完成，可以将其应用到特定的端口或VLAN上，以限制或允许通过的数据流量。
• 测试与监控：配置完成后，应测试ACL是否按预期工作，并通过日志和监控工具来观察ACL的执行效果。

配置实例

Switch(config)# access-list 10 permit 192.168.1.0 0.0.0.255Switch(config)# access-list 10 deny anySwitch(config)# interface fastEthernet 0/1Switch(config-if)# ip access-group 10 in

在这个配置中，我们创建了一个编号为10的ACL，只允许来自192.168.1.0/24网络的流量通过端口，并将该ACL应用到fastEthernet 0/1接口的入方向（inbound）。

03-802.1X 认证

定义及功能

IEEE 802.1X 是一种网络访问控制协议，用于基于端口的认证。它在设备接入网络时，通过身份验证服务器（如RADIUS服务器）对用户或设备进行认证，只有通过认证的设备才能访问网络资源。

实现步骤

• 配置交换机为Authenticator：在交换机上启用802.1X功能，并将其配置为认证服务器和客户端之间的中介。
• 设置认证服务器：配置交换机与RADIUS服务器的通信，并在RADIUS服务器上配置用户认证信息。
• 启用端口控制：在交换机端口上启用802.1X，端口将处于受控状态，未认证的设备无法通过。
• 配置Guest VLAN：为未通过认证的设备分配一个限制性更强的VLAN，确保设备只能访问有限的资源。

配置实例

Switch(config)# aaa new-modelSwitch(config)# aaa authentication dot1x default group radiusSwitch(config)# interface fastEthernet 0/1Switch(config-if)# dot1x port-control autoSwitch(config-if)# dot1x timeout quiet-period 10Switch(config-if)# dot1x timeout tx-period 5Switch(config-if)# radius-server host 192.168.1.100 auth-port 1812 key radiuskey

在此配置中，我们启用了802.1X认证并配置了RADIUS服务器的地址和共享密钥。

dot1x port-control auto命令使端口在未认证设备连接时自动进行认证。

quiet-period和tx-period是优化认证过程的超时设置。

04-MAC地址过滤

定义及功能

MAC地址过滤是通过允许或阻止特定MAC地址访问交换机端口来控制设备的网络访问权限。这种方法在小型网络环境中很有效，能够快速阻止不明设备接入。

实现步骤

• 创建MAC地址过滤规则：配置交换机上允许或阻止的MAC地址列表。
• 应用到端口：将过滤规则应用到特定的端口，确保只有在列表中的MAC地址才能通过端口发送或接收流量。

配置实例​​​​​​​

Switch(config)# mac access-list extended ALLOW-MACSwitch(config-ext-mac)# permit host 00a0.c91b.0e21 anySwitch(config-ext-mac)# exitSwitch(config)# interface fastEthernet 0/1Switch(config-if)# mac access-group ALLOW-MAC in

在这个示例中，ALLOW-MAC访问列表只允许MAC地址00a0.c91b.0e21通过fastEthernet 0/1端口。其他所有设备的流量都将被阻止。

05-VLAN 分割与隔离

定义及功能

通过VLAN将网络中的设备进行逻辑分割，可以隔离不同部门或用户组的流量，防止未经授权的访问。

实现步骤

• 配置VLAN：在交换机上创建多个VLAN，并将端口分配到相应的VLAN中。
• 启用VLAN间路由控制：设置ACL或防火墙规则，控制不同VLAN之间的通信，确保只有经过授权的通信可以发生。
• 使用PVLAN（Private VLAN）：对于需要更高隔离级别的场景，可以使用PVLAN技术，进一步限制设备间的通信。

配置实例​​​​​​​

Switch(config)# vlan 10Switch(config-vlan)# name SalesSwitch(config)# vlan 20Switch(config-vlan)# name ITSwitch(config)# interface fastEthernet 0/1Switch(config-if)# switchport access vlan 10Switch(config)# interface fastEthernet 0/2Switch(config-if)# switchport access vlan 20

在这个例子中，我们创建了两个VLAN，分别用于销售（Sales）和IT部门。

每个端口被分配到相应的VLAN中，这样这两个部门的流量就可以被隔离开。

06-总结

交换机通过上述机制实现端口安全和访问控制，能够有效提升网络安全性，保护网络免受内部和外部的威胁。

不同的方法可以根据具体需求组合使用，以达到最佳的安全效果。