网络工程规划与设计案例教程教学全套课件第2版杨幸文档 文档_项目三_任务三_portsecurityfeature.doc

《网络工程规划与设计案例教程教学全套课件第2版杨幸文档 文档_项目三_任务三_portsecurityfeature.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、湖南工业职业技术学院网络技术专业教学资源库PortSecurityfeature防止MAC和MAC/CAM攻击1.技术简介利用PortSecurityfeature防止MAC和MAC/CAM攻击，通过配置PortSecurity可以控制： u端口上最大可以通过的MAC地址数量u端口上学习或通过哪些MAC地址u对于超过规定数量的MAC处理进行违背处理端口上学习或通过哪些MAC地址，可以通过静态手工定义，也可以让交换机自动学习。交换机动态学习端口MAC，直到达到指定的MAC地址数量，但交换机关机后重新学习。目前较新的技术是StickyPortSecurity，交换机将学到的MAC地

2、址写到端口配置中，交换机重启后配置仍然存在。对于超过规定数量的MAC处理进行处理一般有三种方式（针对交换机型号会有所不同）：Shutdown，这种方式保护能力最强，但是对于一些情况可能会为管理带来麻烦，如某台设备中了病毒，病毒间断性伪造源MAC在网络中发送报文。Protect，丢弃非法流量，不报警。Restrict，丢弃非法流量，报警，对比上面会是交换机CPU利用率上升但是不影响交换机的正常使用。推荐使用这种方式。2.配置2.1port-security配置选项： Switch(config-if)#switchportport-security? agingPort-secu

3、rityagingcommands mac-addressSecureMACaddress maximumMaxsecureaddresses violationSecurityviolationmode 2.2配置port-security最大MAC数目，违背处理方式，恢复方法 Cat4507(config)#intfastEthernet3/48 Cat4507(config-if)#switchportport-security Cat4507(config-if)#switchportport-securitymaximum2 Cat4507(config-if)#sw

4、itchportport-securityviolationshutdown Cat4507(config)#errdisablerecoverycausepsecure-violation 湖南工业职业技术学院网络技术专业教学资源库Cat4507(config)#errdisablerecoveryinterval30 1.1通过配置stickyport-security学得的MAC interfaceFastEthernet3/29 switchportmodeaccess switchportport-security switchportport-securitymax

5、imum5 switchportport-securitymac-addresssticky switchportport-securitymac-addresssticky000b.db1d.6ccd switchportport-securitymac-addresssticky000b.db1d.6cce switchportport-securitymac-addresssticky000d.6078.2d95 switchportport-securitymac-addresssticky000e.848e.ea01