华为交换机端口安全Port-Security策略应用(静态绑定)

交换机静态端口绑定

实验开始

先配置 pc机ip等基本信息 并测试连通性(已通信)

此时交换机没有做任何配置 所以只进行数据转发功能

进入交换机,静态绑定pc1的IP地址和mac地址

此时还需注意的一点是交换机显示和识别的mac地址的形式与pc机上表现的形式有所不同 “0000-0000-0000”

<Huawei>sy  //进入系统视图
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en  //关闭日志
Info: Information center is disabled.
[Huawei]int g0/0/1  //进入端口
[Huawei-GigabitEthernet0/0/1]port-security enable  //打开端口安全功能
[Huawei-GigabitEthernet0/0/1]port-security mac-address sticky  //打开安全粘贴MAC功能 可以没有这步
[Huawei-GigabitEthernet0/0/1]q  //退出端口配置模式
[Huawei]user-bind static ip-address 192.168.1.1 mac-address 5489-9861-22F9 int g0/0/1  //设置端口绑定ip地址和mac地址
Info: 1 static user-bind item(s) added.
[Huawei]int g0/0/1  //进入端口
[Huawei-GigabitEthernet0/0/1]port-security max-mac-num 1 //限制安全MAC地址最大数量为1个，默认为1
[Huawei-GigabitEthernet0/0/1]port-security protect-action shutdown  //配置其他非安全mac地址数据帧的处理动作 此时的动作为丢弃并且shutdown

使用pc3来通过g0/0/1来连接交换机并测试连通性

这里通过测试可以看到 pc3通过 g0/0/1链接交换机后并不能访问pc2

并且通过命令可以查看到 交换机的g0/0/1端口已经关闭

[Huawei-GigabitEthernet0/0/1]dis in b
PHY: Physical
*down: administratively down
(l): loopback
(s): spoofing
(b): BFD down
(e): ETHOAM down
(dl): DLDP down
(d): Dampening Suppressed
InUti/OutUti: input utility/output utility
Interface                   PHY   Protocol InUti OutUti   inErrors  outErrors
GigabitEthernet0/0/1        *down down        0%     0%          00
GigabitEthernet0/0/2        up    up          0%     0%          00
GigabitEthernet0/0/3        down  down        0%     0%          00
GigabitEthernet0/0/4        down  down        0%     0%          00

pc1重新通过g0/0/1链接交换机

进入交换机g0/0/1端口 并开启端口测试连通性

[Huawei]int g0/0/1
[Huawei-GigabitEthernet0/0/1]undo shutdown

PC3虽然和PC2为同网段内的ip地址，但是交换机g0/0/1端口上已经配置绑定了pc1的MAC地址和ip地址，当交换机检测到PC3的MAC地址和IP地址与原绑定的不同时，交换机就不会更新PC3的MAC到交换机MAC表中。PC3发出数据包到交换机，交换机也不会进行转发，这样自然PC3就不能ping通同一网段内的PC2了。可以将pc1重新连接到交换机G0/0/1端口并启动该端口,再pingPC2 192.168.1.2就看到可以通信了