交换机与端口的绑定方法

一、原理

1、首先必须明白两个概念：可靠的MAC地址。设置时候有三种类型。

静态可靠的MAC地址：在交换机接口模式下手动设置，这个设置会被保存在交换机MAC地址表和运行设置文件中，交换机重新启动后不丢失（当然是在保存设置完成后），具体命令如下： Switch(config-if)#switchport port-security mac-address Mac地址

动态可靠的MAC地址：这种类型是交换机默认的类型。在这种类型下，交换机会动态学习MAC地址，不过这个设置只会保存在MAC地址表中，不会保存在运行设置文件中，并且交换机重新启动后，这些MAC地址表中的MAC地址自动会被清除。

黏性可靠的MAC地址：这种类型下，能手动设置MAC地址和端口的绑定，也能让交换机自动学习来绑定，这个设置会被保存在MAC地址中和运行设置文件中，如果保存设置，交换机重起动后不用再自动重新学习MAC地址，虽然黏性的可靠的MAC地址能手动设置，不过CISCO官方不推荐这样做。具体命令如下：

Switch(config-if)#switchport port-security mac-address sticky 其实在上面这条命令设置后并且该端口得到MAC地址后，会自动生成一条设置命令

Switch(config-if)#switchport port-security mac-address sticky Mac地址这也是为何在这种类型下CISCO不推荐手动设置MAC地址的原因。

2、违反MAC安全采取的措施：当超过设定MAC地址数量的最大值，或访问该端口的备MAC地址不是这个MAC地址表中该端口的MAC地址，或同一个VLAN中一个MA

地址被设置在几个端口上时，就会引发违反MAC地址安全，这个时候采取的措施有三种：保护模式（protect）：丢弃数据包，不发警告。．

限制模式（restrict）：丢弃数据包发警告，发出SNMP trap，同时被记录在syslog 日志里。

关闭模式（shutdown）：这交换机默认模式，在这种情况下端口即时变为err-disable 状态，并且关掉端口灯，发出SNMPtrap，同时被记录在syslog日志里，除非管理员手工激活，否则该端口失效。

具体命令下：

Switch(config-if)#switchport port-security violation {protect | restrict | shutdown }

下面这个表一就是具体的对比 Violation Mode Traffic is forwarded Sends SNMP trap Sends syslog message Displays error message Shuts down port protect No No No No No restrict No Yes Yes No No shutdown No Yes Yes No Yes 表一设置端口安全时还要注意以下几个问题：

端口安全仅仅设置在静态Access端口；在trunk端口、SPAN端口、快速以太通道、吉比特以太通道端口组或被动态划给一个VLAN的端口上不能设置端口安全功能；不能基于每VLAN设置端口安全；交换机不支持黏性可靠的MAC地址老化时间。protect和restrict模式不能同时设置在同一端口上。

下面寻修网把上面的知识点连接起来谈谈实现设置步骤的全部命令。

1．静态可靠的MAC地址的命令步骤： Switch#config terminal

Switch(config)#interface interface-id 进入需要设置的端口

Switch(config-if)#switchport mode Access 设置为交换模式

Switch(config-if)#switchport port-security 打开端口安全模式

Switch(config-if)#switchport port-security violation {protect |

restrict | shutdown } 上面这一条命令是可选的，也就是能不用设置，默认的是shutdown模式，不过在实际设置中寻修网推荐用restrict。

Switch(config-if)#switchport port-security maximum value 上面这一条

命令也是可选的，也就是能不用设置，默认的maximum是个MAC地址，2950和3550交换机的这个最大值是132。其实上面这几条命令在静态、黏性下都是相同的， Switch(config-if)#switchport port-security mac-address MAC 地址上面这一条命令就说明是设置为静态可靠的MAC地址

2．动态可靠的MAC地址设置，因为是交换机默认的设置。

3．黏性可靠的MAC地址设置的命令步骤： Switch#config terminal

Switch(config)#interface interface-id Switch(config-if)#switchport mode Access Switch(config-if)#switchport port-security

Switch(config-if)#switchport port-security violation {protect | restrict | shutdown } Switch(config-if)#switchport port-security maximum value 上面这几天命令解释和前面静态讲到原因相同，不再说明。

Switch(config-if)#switchport port-security mac-address sticky 上面这一条命令就说明是设置为黏性可靠的MAC地址。最后，说说企业中怎么快速MAC地址和交换机端口绑定。在实际的运用中常用黏性可靠的MAC地址绑定，目前我们在一台2950EMI上绑定。方法1：在CLI方式下设置 2950 (config)#int rang fa0/1 - 48 2950 (config-if-range)#switchport mode Access 2950

(config-if-range)#switchport port-security 2950

(config-if-range)#switchport port-security mac-address violation restrict 2950 (config-if-range)#switchport port-security mac-address sticky 这样

交换机的48个端口都绑定了，寻修网提示大家注意：在实际运用中需求把连在交换机上的PC机都打开，这样才能学到MAC地址，并且要在学到MAC地址后保存设置文件，这样下次就不用再学习MAC地址了，然后用show port-security address 查看绑定的端口，确认设置正确。

方法2：在WEB界面下设置，也就是CMS（集群管理单元）我们通过在IE浏览器中输入交换机IP地址，就能进入，然后在portport security下能选定交换机端口，在Status和Sticky MAC Address中选Enable或Disabled，Violation Action 能选Shutdown、Restrict、Protect中的一种，Maximum Address Count（1-132）能填写这个范围的数值。当然更有需求绑定IP地址和MAC地址的，这个就需要三层或以上的交换了，因为我们知道普通的交换机都是工作在第二层，也就是使数据链路层，是不可能绑定IP的。如果企业是星型的网络，中心交换机是带三层或以上功能的。我们就能在上绑定， Switch(config)#arp Ip地址 Mac地址 arpa 二交换机与端口进行绑定的方法

1、端口+MACa)AM命令

使用特殊的AM User-bind命令，来完成MAC地址与端口之间的绑定。例如：[SwitchA]am user-bind mac-address 00e0-fc22-f8d3 interface Ethernet 0/1

配置说明：由于使用了端口参数，则会以端口为参照物，即此时端口E0/1只允许PC1

上网，而使用其他未绑定的MAC地址的PC机则无法上网。但是PC1使用该MAC地址可以在其他端口上网。

b)mac-address命令

使用mac-address static命令，来完成MAC地址与端口之间的绑定。例如：[SwitchA]mac-address static 00e0-fc22-f8d3 interface Ethernet 0/1 vlan 1 [SwitchA]mac-address max-mac-count 0

配置说明：由于使用了端口学习功能，故静态绑定mac后，需再设置该端口mac学习数为0，使其他PC接入此端口后其mac地址无法被学习。

2、I P+M A C

a)AM命令

使用特殊的AM User-bind命令，来完成IP地址与MAC地址之间的绑定。例如：[SwitchA]am user-bind ip-address mac-address 00e0-fc22-f8d3

配置说明：以上配置完成对PC机的IP地址和MAC地址的全局绑定，即与绑定的IP地址或者MAC地址不同的PC机，在任何端口都无法上网。

支持型号：S3026E/EF/C/G/T、S3026C-PWR、E026/E026T、S3050C、E050、S3526E/C/EF、S5012T/G、S5024G

b)arp命令

使用特殊的arp static命令，来完成IP地址与MAC地址之间的绑定。例如：[SwitchA]arp static 00e0-fc22-f8d3

配置说明：以上配置完成对PC机的IP地址和MAC地址的全局绑定。

3、端口+IP+MAC

使用特殊的AM User-bind命令，来完成IP、MAC地址与端口之间的绑定。例如：[SwitchA]am user-bind ip-address mac-address 00e0-fc22-f8d3 interface Ethernet 0/1

配置说明：可以完成将PC1的IP地址、MAC地址与端口E0/1之间的绑定功能。由于使用了端口参数，则会以端口为参照物，即此时端口E0/1只允许PC1上网，而使用其他

交换机端口与IP地址的绑定

Netinfo S ecurity /2005.1 ５５ 随 着教育信息化的不断深入，校园网的建设已经非常广泛，而且规模和投资也在不断的扩大，但在广大师生尤其是大学里的师生在使用校园 网的过程中，发现ＩＰ地址冲突的现象极其严重。 图１：一般校园网结构图 对于大学校园网来说，一般是一个楼宇一个网段，而且也是一个管理单元，该楼宇内的网络由楼宇所在的院系负责，根据楼宇的大小，存在着两种组网形式，如上图所示的楼宇１和楼宇２，在楼宇１中，一个房间对应一个或多个三层交换端口，而在楼宇２中，一个房间对应一个或多个二层交换端口，我们要做的就是一个房间内的终端只能用固定的几个ＩＰ地址，也就是一个交换机（二层或三层）端口绑定多个ＩＰ地址，根据技术手段的不同，一般存在着以下几种方法。 通过访问管理功能实现 现在，有些三层交换机提供了访问管理功能，该功能可以直 接控制某个端口可以被哪些ＩＰ地址访问，该功能只有把该三层交换机当成网关的情况下才能发挥作用，而且，依然会出现地址冲突的现象，只不过在非法端口使用的用户将无法进行跨网段访问，下面以华为３５２６为例，具体配置过程如下： ［Ｓ３５２６］ａｍ　ｅｎａｂｌｅ［Ｓ３５２６］ｉｎｔｅｒｆａｃｅ　ｖｌａｎ　１ ［Ｓ３５２６－Ｖｌａｎ－ｉｎｔｅｒｆａｃｅ１］ｉｐ　ａｄｄ　１９２．１６８．０．１　２５５．２５５．２５５．０ ＃该命令使１９２．１６８．０．１成为与该交换机相连的计算机的网关［Ｓ３５２６］ｉｎｔｅｒｆａｃｅ　ｅｔｈ　０／１０ ［Ｓ３５２６－Ｅｔｈｅｒｎｅｔ０／１０］ａｍ　ｉｐ－ｐｏｏｌ　１９２．１６８．０．２　１９２．１６８．０．１０　１９２．１６８．０．１５ ＃该命令保证只有其中的三个地址能够通过该端口进行跨网段访问 通过访问列表实现 最初的访问列表只能在第三层发挥作用，现在随着技术的不断发展，访问列表也可以在第二层发挥作用了，现在某些交换机可以对三层地址和二层地址的访问列表进行与运算，从而达到端口ＩＰ地址绑定的目的，下面以华为３５２６Ｅ为例，具体配置过程如下： ［Ｓ３５２６Ｅ］ａｃｌ　ｎｕｍ　１０ ＃定义基本访问列表 ［Ｓ３５２６Ｅ－ａｃｌ－ｂａｓｉｃ－１０］ｒｕｌｅ　０　ｄｅｎｙ　ｓｏｕｒｃｅ　ａｎｙ ［Ｓ３５２６Ｅ－ａｃｌ－ｂａｓｉｃ－１０］ｒｕｌｅ　１　ｐｅｒｍｉｔ　ｓｏｕｒｃｅ　１９２．１６８．０．２　０ ＃允许１９２．１６８．０．２访问，如果有多个，可以多定义几条规则［Ｓ３５２６Ｅ］ａｃｌ　ｎｕｍ　２１０ ＃定义二层访问列表 ［Ｓ３５２６Ｅ－ａｃｌ－ｌｉｎｋ－２１０］ｒｕｌｅ　０　ｄｅｎｙ　ｉｎｇｒｅｓｓ　ｉｎｔｅｒｆａｃｅ　ｅ０／１０　ｅｇｒｅｓｓ　ａｎｙ［Ｓ３５２６Ｅ－ａｃｌ－ｌｉｎｋ－２１０］ｒｕｌｅ　１　ｐｅｒｍｉｔ　ｉｎｇｒｅｓｓ　ｉｎｔｅｒｆａｃｅ　ｅ０／１０　ｅｇｒｅｓｓ　ａｎｙ［Ｓ３５２６Ｅ］ｐａｃｋｅｔ－ｆｉｌｔｅｒ　ｉｐ－ｇｒｏｕｐ　１０　ｒｕｌｅ　０　ｌｉｎｋ－ｇｒｏｕｐ　２１０　ｒｕｌｅ　０ ＃首先禁止所有计算机访问 ［Ｓ３５２６Ｅ］ｐａｃｋｅｔ－ｆｉｌｔｅｒ　ｉｐ－ｇｒｏｕｐ　１０　ｒｕｌｅ　１　ｌｉｎｋ－ｇｒｏｕｐ　２１０　ｒｕｌｅ　１ ＃允许某个固定的ＩＰ访问 这样一来，就在不起用三层转发功能的情况下实现了ＩＰ地址 与交换机端口的绑定，上面的配置只允许一个地址通过，只要用户需要，我们可能设置多条规则并使用多条ｐａｃｋｅｔ－ｆｉｌｔｅｒ命令来允 交换机端口与ＩＰ地址的绑定 北京师范大学信息科学学院 傅骞

华为交换机指令大全

交换机命令 ~~~~~~~~~~ [Quidway]dis cur ；显示当前配置 [Quidway]display current-configuration ；显示当前配置[Quidway]display interfaces ；显示接口信息 [Quidway]display vlan all ；显示路由信息 [Quidway]display version ；显示版本信息 [Quidway]super password ；修改特权用户密码[Quidway]sysname ；交换机命名 [Quidway]interface ethernet 0/1 ；进入接口视图[Quidway]interface vlan x ；进入接口视图 [Quidway-Vlan-interfacex]ip address 10.65.1.1 255.255.0.0 ；配置VLAN的IP地址 [Quidway]ip route-static 0.0.0.0 0.0.0.0 10.65.1.2 ；静态路由＝网关[Quidway]rip ；三层交换支持 [Quidway]local-user ftp [Quidway]user-interface vty 0 4 ；进入虚拟终端 [S3026-ui-vty0-4]authentication-mode password ；设置口令模式[S3026-ui-vty0-4]set authentication-mode password simple 222 ；设置口令[S3026-ui-vty0-4]user privilege level 3 ；用户级别[Quidway]interface ethernet 0/1 ；进入端口模式[Quidway]int e0/1 ；进入端口模式 [Quidway-Ethernet0/1]duplex {half|full|auto} ；配置端口工作状态[Quidway-Ethernet0/1]speed {10|100|auto} ；配置端口工作速率[Quidway-Ethernet0/1]flow-control ；配置端口流控 [Quidway-Ethernet0/1]mdi {across|auto|normal} ；配置端口平接扭接[Quidway-Ethernet0/1]port link-type {trunk|access|hybrid} ；设置端口工作模式 [Quidway-Ethernet0/1]port access vlan 3 ；当前端口加入到VLAN [Quidway-Ethernet0/2]port trunk permit vlan {ID|All} ；设trunk允许的VLAN [Quidway-Ethernet0/3]port trunk pvid vlan 3 ；设置trunk端口的PVID [Quidway-Ethernet0/1]undo shutdown ；激活端口 [Quidway-Ethernet0/1]shutdown ；关闭端口 [Quidway-Ethernet0/1]quit ；返回 [Quidway]vlan 3 ；创建VLAN [Quidway-vlan3]port ethernet 0/1 ；在VLAN中增加端口[Quidway-vlan3]port e0/1 ；简写方式 [Quidway-vlan3]port ethernet 0/1 to ethernet 0/4 ；在VLAN中增加端口[Quidway-vlan3]port e0/1 to e0/4 ；简写方式 [Quidway]monitor-port ；指定镜像端口[Quidway]port mirror ；指定被镜像端口[Quidway]port mirror int_list observing-port int_type int_num ；指定镜像和被镜像 [Quidway]description string ；指定VLAN描述字符

实验四 交换机端口安全技术

交换机端口安全技术 24.1 实验内容与目标 完成本实验，应该能够达到以下目标。 ● 掌握802.1x 的基本配置 ● 掌握端口隔离基本配置 ● 掌握端口绑定技术基本配置 24.2 实验组网图 本实验按照实验图24-1进行组网。 PCA PCB SWA 实验图24-1 实验组网图 24.3 实验设备与版本 本实验所需之主要设备器材如实验表24-1所示。 实验表 24-1 实验设备器材 24.4 实验过程 实验任务一 配置802.1x 本实验通过在交换机上配置802.1x 协议，使接入交换机的PC 经

过认证后才能访问网络资源。通过本实验，掌握802.1x认证的基本 原理和802.1x本地认证的基本配置。 步骤一：建立物理连接并初始化交换机配置。 按实验组网图进行物理连接，并检查设备的软件版本及配置信息，确保各设备软件版本符合要求，所有配置为初始状态。如果配置不符合要求，在用户视图下擦除设备中的配置文件，然后重启设备以使系统采用默认的配置参数进行初始化。 步骤二：检查互通性。 分别配置PCA、PCB的IP地址为172.16.0.1/24、172.16.0.2/24。配置完成后，在PCA上用ping命令来测试到PCB的互通性，其结果是。 步骤三：配置802.1x协议。 实现在交换机SWA上启动802.1x协议，过程如下： 首先需要分别在和开启802.1x认证功能，在 下面的空格中补充完整的命令。 [SWA] [SWA]dot1x 其次在SWA上创建本地802.1x用户，用户名为abcde，密码为 明文格式的12345，该用户的服务类型server-type是，在如下的空格中完成该本地用户的配置命令。 步骤四：802.1x验证。 配置完成后，再次在PCA上用ping命令来测试到PCB的互通性，其结果是。 导致如上结果的原因是交换机上开启了802.1x认证，需要在客 户端配置802.1x认证相关属性。 PC可以使用802.1x客户端软件或Windows系统自带客户端接入交换机，本实验以Windows系统自带客户端为例说明如何进行设置。 在Windows操作系统的“控制面板”窗口中双击“网络和Internet 连接”图标，在弹出的窗口中双击“网络连接”图标，在弹出的窗口中右击“本地连接”图标，执行“属性”命令，如实验图24-2所示。 再选择“验证”选项卡，并选中“启用此网络的IEEE802.1x验证”复选框，如实验图24-3所示，然后单击“确定”按钮，保存退

交换机的端口安全配置

【实验文档】【实验0021】【交换机的端口安全配置】 【实验名称】 交换机的端口安全配置。 【实验目的】 掌握交换机的端口安全功能，控制用户的安全接入。 【背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP 地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G 上边。 【技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。 限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。 交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。 配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： ? protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 ? restrict 当违例产生时，将发送一个Trap通知。 ? shutdown 当违例产生时，将关闭端口并发送一个Trap通知。 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。 【实现功能】 针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。【实验设备】 S2126G交换机（1台），PC（1台）、直连网线（1条）

华为交换机及路由器各种配置实例大全(20200909191858)

交换机配置（三）ACL基本配置 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE (4 ) 参数可选! 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为、 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率 限制在1Mbps 2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30

3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的 粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的 级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。 『S2000-SI和S3000-SI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到6Mbps [SwitchA- Ethernet0/1]line-rate outbound 2 3. 对端口E0/1的入方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate inbound 1 【补充说明】 对端口发送或接收报文限制的总速率，这里以8个级别来表示，取值范围为1～8，含义为：端口工作在10M速率时，1～8分别表示312K，625K，938K，，2M，4M，6M，8M；端口工作在100M速率时，1～8分别表示，，，，20M，40M，60M，80M。 此系列交换机的具体型号包括：S2026C/Z-SI、S3026C/G/S-SI和E026-SI。 『S3026E、S3526E、S3050、S5012、S5024系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，对该端口的出方向报文进行流量限速；结合 acl，使用以太网物理端口下面的traffic-limit命令，对端口的入方向报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图

华为24口交换机独立端口命令

vlan 32 q interface Ethernet0/0/1 port-isolate enable q interface Ethernet0/0/2 port-isolate enable q interface Ethernet0/0/3 port-isolate enable q interface Ethernet0/0/4 port-isolate enable q interface Ethernet0/0/5 port-isolate enable q interface Ethernet0/0/6 port-isolate enable q interface Ethernet0/0/7 port-isolate enable q interface Ethernet0/0/8 port-isolate enable q interface Ethernet0/0/9 port-isolate enable q interface Ethernet0/0/10 port-isolate enable q interface Ethernet0/0/11 port-isolate enable q interface Ethernet0/0/12 port-isolate enable q interface Ethernet0/0/13 port-isolate enable q interface Ethernet0/0/14 port-isolate enable

interface Ethernet0/0/15 port-isolate enable q interface Ethernet0/0/16 port-isolate enable q interface Ethernet0/0/17 port-isolate enable q interface Ethernet0/0/18 port-isolate enable q interface Ethernet0/0/19 port-isolate enable q interface Ethernet0/0/20 port-isolate enable q interface Ethernet0/0/21 port-isolate enable q interface Ethernet0/0/22 port-isolate enable q interface Ethernet0/0/23 port-isolate enable q interface Ethernet0/0/24 port-isolate enable q interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 32 q q sa y

华为交换机各种配置方法

端口限速基本配置1 端口绑定基本配置 ACL基本配置 密码恢复 三层交换配置 端口镜像配置 DHCP配置 配置文件管理 远程管理配置 STP配置 私有VLAN配置 端口trunk、hybrid应用配置 交换机配置（一）端口限速基本配置 华为3Com 2000_EI、S2000-SI、S3000-SI、S3026E、S3526E、S3528、S3552、S3900、S3050、S5012、S5024、S5600系列: 华为交换机端口限速 2000_EI系列以上的交换机都可以限速! 限速不同的交换机限速的方式不一样! 2000_EI直接在端口视图下面输入LINE-RATE 端口限速配置 1功能需求及组网说明 端口限速配置 『配置环境参数』 1. PC1和PC2的IP地址分别为 『组网需求』 1. 在SwitchA上配置端口限速，将PC1的下载速率限制在3Mbps，同时将PC1的上传速率限制在1Mbps 2数据配置步骤 『S2000EI系列交换机端口限速配置流程』 使用以太网物理端口下面的line-rate命令，来对该端口的出、入报文进行流量限速。【SwitchA相关配置】 1. 进入端口E0/1的配置视图 [SwitchA]interface Ethernet 0/1 2. 对端口E0/1的出方向报文进行流量限速，限制到3Mbps [SwitchA- Ethernet0/1]line-rate outbound 30 3. 对端口E0/1的入方向报文进行流量限速，限制到1Mbps [SwitchA- Ethernet0/1]line-rate inbound 16 【补充说明】 报文速率限制级别取值为1～127。如果速率限制级别取值在1～28范围内，则速率限制的粒度为64Kbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为N*64K；如果速率限制级别取值在29～127范围内，则速率限制的粒度为1Mbps，这种情况下，当设置的级别为N，则端口上限制的速率大小为(N-27)*1Mbps。 此系列交换机的具体型号包括：S2008-EI、S2016-EI和S2403H-EI。 『S2000-SI和S3000-SI系列交换机端口限速配置流程』

mac地址表与交换机端口绑定实例

1查看交换机的MAC地址表； Switch#show mac-address Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- 1 0001.c7c7.229 2 DYNAMIC Fa0/1（动态学习的MAC地址） 1 0060.5c5a.7bae DYNAMIC Fa0/4 1 0090.0ce9.8c00 DYNAMIC Fa0/2 1 00d0.baeb.e344 DYNAMIC Fa0/3 2将上面的MAC地址表和交换机端口进行绑定； Switch#config t 进入全局配置模式 Switch(config)#interface range FastEthernet 0/1-4 多接口的配置模式0/1-4 Switch(config-if-range)#switchport mode access 将交换机的端口设置成access,明确其与计算机相连 Switch(config-if-range)#switchport port-security 启用交换机端口安全 switchport port-security violation shutdown 违反安全规则讲端口关闭 Switch(config-if-range)#switchport port-security mac-address sticky 将交换机的端口 与MAC地址表进行绑定 3再次查看MAC地址表； Switch#show mac-address-table Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- 1 0001.c7c7.229 2 Fa0/1

华为交换机安全防范技术

在网络实际环境中，随着计算机性能的不断提升，针对网络中的交换机、路由器或其它计算机等设备的攻击趋势越来越严重，影响越来越剧烈。交换机作为局域网信息交换的主要设备，特别是核心、汇聚交换机承载着极高的数据流量，在突发异常数据或攻击时，极易造成负载过重或宕机现象。为了尽可能抑制攻击带来的影响，减轻交换机的负载，使局域网稳定运行，交换机厂商在交换机上应用了一些安全防范技术，网络管理人员应该根据不同的设备型号，有效地启用和配置这些技术，净化局域网环境。本文以华为3COM公司的Quidway系列交换机为例，分两期为您介绍常用的安全防范技术和配置方法。以下您将学到广播风暴控制技术、MAC地址控制技术、DHCP控制技术及ACL技术。 广播风暴控制技术 网卡或其它网络接口损坏、环路、人为干扰破坏、黑客工具、病毒传播，都可能引起广播风暴，交换机会把大量的广播帧转发到每个端口上，这会极大地消耗链路带宽和硬件资源。可以通过设置以太网端口或VLAN的广播风暴抑制比,从而有效地抑制广播风暴，避免网络拥塞。 1.广播风暴抑制比 可以使用以下命令限制端口上允许通过的广播流量的大小，当广播流量超过用户设置的值后，系统将对广播流量作丢弃处理，使广播所占的流量比例降低到合理的范围，以端口最大广播流量的线速度百分比作为参数，百分比越小，表示允许通过的广播流量越小。当百分比为100时，表示不对该端口进行广播风暴抑制。缺省情况下，允许通过的广播流量为100%，即不对广播流量进行抑制。在以太网端口视图下进行下列配置： broadcast-suppression ratio 2.为VLAN指定广播风暴抑制比 同样，可以使用下面的命令设置VLAN允许通过的广播流量的大小。缺省情况下，系统所有VLAN不做广播风暴抑制，即max-ratio值为100%。 MAC地址控制技术 以太网交换机可以利用MAC地址学习功能获取与某端口相连的网段上各网络设备的MAC 地址。对于发往这些MAC地址的报文，以太网交换机可以直接使用硬件转发。如果MAC地址表过于庞大，可能导致以太网交换机的转发性能的下降。MAC攻击利用工具产生欺骗的MAC地址，快速填满交换机的MAC表，MAC表被填满后，交换机会以广播方式处理通过交换机的报文，流量以洪泛方式

华三华为交换机-路由器配置常用命令汇总

H3C交换机配置命令大全 1、system-view 进入系统视图模式 2、sysname 为设备命名 3、display current-configuration 当前配置情况 4、language-mode Chinese|English 中英文切换 5、interface Ethernet 1/0/1 进入以太网端口视图 6、port link-type Access|Trunk|Hybrid 设置端口访问模式 7、undo shutdown 打开以太网端口 8、shutdown 关闭以太网端口 9、quit 退出当前视图模式 10、vlan 10 创建VLAN 10并进入VLAN 10的视图模式 11、port access vlan 10 在端口模式下将当前端口加入到vlan 10中 12、port E1/0/2 to E1/0/5 在VLAN模式下将指定端口加入到当前vlan中 13、port trunk permit vlan all 允许所有的vlan通过 H3C路由器配置命令大全 1、system-view 进入系统视图模式 2、sysname R1 为设备命名为R1 3、display ip routing-table 显示当前路由表 4、language-mode Chinese|English 中英文切换 5、interface Ethernet 0/0 进入以太网端口视图 6、ip address 192.168.1.1 255.255.255.0 配置IP地址和子网掩码 7、undo shutdown 打开以太网端口 8、shutdown 关闭以太网端口

思科交换机端口安全(Port-Security)

思科交换机端口安全(Port-Security) Cisco Catalyst交换机端口安全（Port-Security） 1、Cisco29系列交换机可以做基于2层的端口安全，即mac地址与端口进行绑定。 2、Cisco3550以上交换机均可做基于2层和3层的端口安全，即mac 地址与端口绑定以及mac地址与ip地址绑定。 3、以cisco3550交换机为例 做mac地址与端口绑定的可以实现两种应用： a、设定一端口只接受第一次连接该端口的计算机mac地址，当该端口第一次获 得某计算机mac地址后，其他计算机接入到此端口所发送的数据包则认为非法，做丢弃处理。 b、设定一端口只接受某一特定计算机mac地址，其他计算机均无法接入到此端口。 4、破解方法：网上前辈所讲的破解方法有很多，主要是通过更改新接入计算机网卡的mac地址来实现，但本人认为，此方法实际应用中基本没有什么作用，原因很简单，如果不是网管，其他一般人员平时根本不可能去注意合法计算机的mac地址，一般情况也无法进入合法计算机去获得mac地址，除非其本身就是该局域网的用户。

5、实现方法： 针对第3条的两种应用，分别不同的实现方法 a、接受第一次接入该端口计算机的mac地址： Switch#config terminal Switch(config)#inte**ce inte**ce-id 进入需要配置的端口 Switch(config-if)#switchport mode access 设置为交换模式 Switch(config-if)#switchport port-security 打开端口安全模式 Switch(config-if)#switchport port-security violation {protect | restrict | shutdown } //针对非法接入计算机，端口处理模式{丢弃数据包，不发警告| 丢弃数据包， 在console发警告| 关闭端口为err-disable状态，除非管理员手工激活，否则该端口失效。 b、接受某特定计算机mac地址： Switch(config-if)#switchport mode access Switch(config-if)#switchport port-security Switch(config-if)#switchport port-security violation {protect | restrict | shutdown } //以上步骤与a同 Switch(config-if)#switchport port-security mac-address sticky Switch(config-if)#switchport port-security aging static //打开静态映射Switch(config-if)#switchport port-security mac-address sticky

华三华为交换机路由器配置常用命令汇总

华三华为交换机路由器配置常用命令汇总 The final revision was on November 23, 2020

H3C交换机配置命令大全 1、system-view 进入系统视图模式 2、sysname 为设备命名 3、display current-configuration 当前配置情况 4、 language-mode Chinese|English 中英文切换 5、interface Ethernet 1/0/1 进入以太网端口视图 6、 port link-type Access|Trunk|Hybrid 设置端口访问模式 7、 undo shutdown 打开以太网端口 8、 shutdown 关闭以太网端口 9、 quit 退出当前视图模式 10、 vlan 10 创建VLAN 10并进入VLAN 10的视图模式 11、 port access vlan 10 在端口模式下将当前端口加入到vlan 10中 12、port E1/0/2 to E1/0/5 在VLAN模式下将指定端口加入到当前vlan中 13、port trunk permit vlan all 允许所有的vlan通过 H3C路由器配置命令大全

1、system-view 进入系统视图模式 2、sysname R1 为设备命名为R1 3、display ip routing-table 显示当前路由表 4、 language-mode Chinese|English 中英文切换 5、interface Ethernet 0/0 进入以太网端口视图 7、 undo shutdown 打开以太网端口 8、 shutdown 关闭以太网端口 9、 quit 退出当前视图模式 10、 ip route- H3C S3100 Switch H3C S3600 Switch H3C MSR 20-20 Router 1、调整超级终端的显示字号； 2、捕获超级终端操作命令行，以备日后查对；

三、vlan端口与mac地址绑定

VLAN端口的MAC地址绑定 这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置它属于哪个组。这种划分VLAN方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停地配置。 一、实验目的 1．掌握cisco-3550基于VLAN端口的MAC地址绑定 二、实验内容 1．把PC2的MAC地址帮定在交换机指定端口上 五、实验步骤 方案：基于端口的mac地址绑定 1．启动交换机，并进入到特权模式 Switch>enable Switch# 2．恢复到厂商设置 Switch#erase startup-config 擦除配置 Switch#reload Switch>en Switch#conf t switch#show vlan

3．pc1 插入交换机第5口，pc2插入交换机第9口. 4．把pc1 MAC地址与vlan 1 的第5口进行绑定。 Switch#conf t Switch(config)#mac-address-table static 000C.7611.817F vlan 1 interface f0/5 Switch(config)#exit Switch#show mac-address-table //显示mac-address-table状态 5. 把pc2 MAC地址与vlan 1 的第9口进行绑定。 操作同上大家练习一下 6.配置vlan1的ip地址，操作参照上节课内容 Switch#config termainl Switch(config)#int vlan 1 （进入VLAN 1） Switch(config-vlan)#ip address 192.168.3.1 255.255.255.0 (设置Vlan1的IP) Switch(config-vlan)#no shutdown 激活该vlan Switch(config-vlan)#exit Switch#show running-config (查看正在起作用的命令) 7．验证结果： pc1 ip为192.168.3.3 网关为：192.168.3.1 pc2 ip为192.168.3.2 网关为：192.168.3.1 pc1 与 pc2可以互通，如果把pc1插入交换机其它端口，则不能互通。

交换机端口安全

【实训目的】 （1）掌握交换机端口安全功能，控制用户的安全接入 （2）掌握交换机的端口配置的连接数 （3）掌握如何针对PC1主机的接口进行IP+MAC地址绑定 【实训技术原理】 交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入；交换机端口安全主要有两种类型：一是限制交换机端口的最大连接数；二是针对交换机端口进行MAC地址、IP地址的绑定； 配置交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种： （1）protect 当安全地址个数满后，安全端口将丢弃未知地址的包； （2）restrict当违例产生时，将发送一个trap通知； （3）shutdown当违例产生时，将关闭端口并发送一个trap通知； 当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来； 【实训背景描述】 你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.23/24，主机MAC地址是0090.210E.55A0。该主机连接在1台2126G上。 【实训设备】 S2126G（1台），PC（2台）、直连线（2条） 【实训内容】 （1）按照拓扑进行网络连接 （2）配置交换机端口最大连接数限制 （3）配置交换机端口地址绑定 【实训拓扑图】 （1）配置交换机端口的最大连接数限制 Switch#configure terminal

华为交换机和存储绑定对接配置案例

华为交换机和存储绑定对接配置案例 【问题描述】 在华为交换机与T系列存储绑定配置过程中，交换机配置错误导致汇聚 口不通 【故障现象】 Ping不通存储绑定端口 【问题原因】 交换机配置错误 【操作步骤】 1、用串口或管理网口登录交换机，之后进入系统模式 system-view Enter system view, return user view with Ctrl+Z. [huawei] 2、创建eth-trunk汇聚口 [huawei]interface Eth-Trunk 3 [huawei-Eth-Trunk3] 3、设置模式为LACP静态模式，并开启bpdu [huawei-Eth-Trunk3]mode lacp-static [huawei-Eth-Trunk3]bpdu enable 4、进入需要聚合的端口，查看该端口的配置 [huawei]int g 0/0/22 [huawei-GigabitEthernet0/0/22]disp this # interface GigabitEthernet0/0/22 port hybrid pvid vlan 4094 undo port hybrid vlan 1 port hybrid untagged vlan 2 to 300 4094 ntdp enable ndp enable bpdu enable # return [huawei-GigabitEthernet0/0/22] 注意：需要清除所有配置，才能加入汇聚口，否则会提示类似错误： Error: Port has been configed bpdu enable, please clear them first ! Error: The port has other configurations. Please clear them first. Error: Please renew the default configurations.

实验 二层交换机端口与MAC地址的绑定(教师用)

模块六 二层交换机端口与MAC 地址绑定 【场景构建】 在日常工作中，经常会发生用户随意插拔交换机上的网线，给网管员在网络管理上带来一定的不便。同时也会出现在一个交换机端口下连接另一个Hub 或交换机，导致网络线路的拥堵。 当网络中某机器由于中毒进而引发大量的广播数据包在网络中洪泛时，网络管理员的唯一想法就是尽快地找到根源主机并把它从网络中暂时隔离开。当网络的布置很随意时，任何用户只要插上网线，在任何位置都能够上网，这虽然使正常情况下的大多数用户很满意，但一旦发生网络故障，网管人员却很难快速准确定位根源主机。 希望通过一定的方法，固定每台计算机连接的交换机端口，方便网管员日常的维护与更新。 [实验目的] 1、 了解什么是交换机的MAC 绑定功能； 2、 熟练掌握MAC 与端口绑定的静态、动态方式。 【知识准备】 通过端口绑定特性，网络管理员可以将用户的MAC 地址和IP 地址绑定到指定的端口上。进行绑定操作后，交换机只对从该端口收到的指定MAC 地址和IP 地址的用户发出的报文进行转发，提高了系统的安全性，增强了对网络安全的监控。 我们通常说的MAC 地址与交换机端口绑定其实就是交换机端口安全功能。端口安全功能能让您配置一个端口只允许一台或者几台确定的设备访问那个交换机；能根据MAC 地址确定允许访问的设备；允许访问的设备的MAC 地址既可以手工配置，也可以从交换机“学到”；当一个未批准的MAC 地址试图访问端口的时候，交换机会挂起或者禁用该端口等等。 【实验一】 二层交换机端口静态绑定MAC 地址 1.1 实验设备 1、2950-24交换机1台 2、PC 机2台 3、交叉线1根 4、直通网线2根 1.2 组网图 PC1 PC2 SW0 1.3 实验设备IP 地址及要求

交换机端口安全

实验交换机端口安全 一、实验目的和要求 ? 了解交换机的端口安全性的基本知识 ? 掌握如何配置交换机连接的最大安全地址数 ? 掌握如何配置交换机绑定指定的mac地址 二、实验设备 模拟软件：Cisco PacketTracer53_setup_no_tutorials 设备：交换机两台，PC机若干，直连线，交叉线若干。 三、实验内容 1．在交换机上配置端口安全，以及违例的处理方式。 2．两台交换机以交叉线相连，其中主交换机上连接一台PC机，以用来验证链路。次交换机下连接两台PC机。在主交换机上配置最大安全地址数maximum，验证工作组PC数目超过最大安全地址数时，链路不通，以指定的违例处理方式处理。 3．在主交换机上配置绑定固定的mac地址，验证当更换工作组pc机时，链路不通，以指定的违例处理方式处理。 四、实验拓扑 图1 交换机端口连接最大安全地址数

图2 交换机端口绑定指定mac地址 五、背景描述 1．某公司在内部的交换机上配置每个端口可连接的最大安全地址数，可以防止外来用户盗用公司内部网络。 2．公司的主交换机上绑定公司内部主机的mac地址之后，能防止公司外部带有病毒的pc机感染公司内部主机，或者防止人为的恶意破坏，窃取公司内部机密。 六、相关知识 锐捷网络的交换机有端口安全功能，利用端口安全这个特性，可以实现网络接入安全。交换机的端口安全机制是工作在交换机二层端口上的一个安全特性，它主要有以下几个功能： ?只允许特定mac地址的设备接入到网络中。从而防止用户将非法或未授权的设备接入网络。 ?限制端口接入的设备数量，防止用户将过多的设备接入到网络中。 当一个端口被配置成为一个安全端口（启用了端口安全特性）后，交换机将检查从此端口接收到的帧的源mac地址，并检查再此端口配置的最大安全地址数。如果安全地址没有超过配置的最大值，交换机会检查安全地址列表，若此帧的源mac地址没有被包含在安全地址表中，那么交换机将自动学习此mac地址，并将它加入到安全地址表中，标记为安全地址，进行后续转发；若此帧的源mac地址已经存在于安全地址表中，那么交换机将直接对帧进行转发。安全端口的安全地址表既可以通过交换机自动学习，也可以手工配置。 配置安全端口安全存在以下限制。 ?一个安全端口必须是一个Access端口，及连接终端设备的端口，而非Trunk端口。 ?一个安全端口不能是一个聚合端口（Aggregate Port）。 ?一个安全端口不能是SPAN的目的端口。 七、实验步骤 步骤1．画出实验拓扑结构图。 步骤2. 按实验拓扑图1连接设备。并对三台PC机进行IP设置。