Cisco交換機端口安全
經過端口設置,能夠限制容許訪問交換機上某個端口的MAC地址以及IP(可選)來實現嚴格控制對該端口的輸入,最終確保網絡接入安全.
配置網絡安全時應該注意以下問題：
1.下面四種端口不能設置：
a.不能是Trunk口.
b.不能是SPAN口
c.不能是EtherChannel口
d.不能是private-VLAN口
2.實現安全端口的大體步驟
a.#conf t
#int interface_id
config-if#switchport mode access
config-if#switchport port-security (啓用安全模式)
config-if#switchport port-security maximum value (value=1-3072,指該端口所接計算機臺數)
config-if#switchport port-security limit rate invalid-source-mac
config-if#switchport port-security [aging time aging_time |type{absolute|inactivity}] (設置安全端口的老化時間,範圍是0-1440min，是可選的)
config-if#switchport port-security mac-address sticky (啓用sticky learning)
最後別忘記保存設置：
#copy running-config startup-config
在Cisco中有如下三種方案可供選擇，方案1和方案2實現的功能是同樣的，即在具體的交換機端口上綁定特定的主機的MAC地址（網卡硬件地址），方案3是在具體的交換機端口上同時綁定特定的主機的MAC地址（網卡硬件地址）和IP地址。
ios
ip與mac地址的綁定，這種綁定能夠簡單有效的防止ip被盜用，別人將ip改爲了你綁定了mac地址的ip後，其網絡不一樣，（tcp/udp協議不一樣，但netbios網絡共項能夠訪問），
具體作法：
cisco(config)#arp 10.138.208.81 0000.e268.9980 ARPA
這樣就將10.138.208.81 與mac:0000.e268.9980 ARPA綁定在一塊兒了
3、ip與交換機端口的綁定，此種方法綁定後的端口只有此ip能用，改成別的ip後當即斷網。有效的防止了亂改ip。
cisco(config)# interface FastEthernet0/17
cisco(config-if)# ip access-group 6 in
cisco(config)#access-list 6 permit 10.138.208.81
這樣就將交換機的FastEthernet0/17端口與ip:10.138.208.81綁定了。
方案1——基於端口的MAC地址綁定: 思科2950交換機爲例，登陸進入交換機，輸入管理口令進入配置模式，敲入命令: Switch#config terminal ＃進入配置模式 Switch(config)# Interface fastethernet 0/1 ＃進入具體端口配置模式 Switch(config-if)switchport port-security mac-address MAC(主機的MAC地址) ＃配置該端口要綁定的主機的MAC地址 Switch(config-if)no switchport port-security mac-address MAC(主機的MAC地址) ＃刪除綁定主機的MAC地址 注意：以上命令設置交換機上某個端口綁定一個具體的MAC地址，這樣只有這個主機可使用網絡，若是對該主機的網卡進行了更換或者其餘PC機想經過這個端口使用網絡都不可用，除非刪除或修改該端口上綁定的MAC地址，才能正常使用。（以上功能適用於思科2950、3550、4500、6500系列交換機） 方案2——基於MAC地址的擴展訪問列表 Switch(config)Mac access-list extended MAC10 ＃定義一個MAC地址訪問控制列表而且命名該列表名爲MAC10 Switch(config)permit host 0009.6bc4.d4bf any ＃定義MAC地址爲0009.6bc4.d4bf的主機能夠訪問任意主機 Switch(config)interface fa0/20 #進入配置具體端口模式 Switch(config)mac access-group MAC10 in ＃在該端口上應用名爲MAC10的訪問列表（即前面咱們定義的訪問策略） Switch(config)no mac access-list extended MAC10 ＃清除名爲MAC10的訪問列表 此功能與應用一大致相同，但它是基於端口作的MAC地址訪問控制列表限制，能夠限定特定源MAC地址與目的地址範圍。 注意：以上功能在思科2950、3550、4500、6500系列交換機上能夠實現，可是須要注意的是2950、3550須要交換機運行加強的軟件鏡像（Enhanced Image） 方案3——IP地址的MAC地址綁定 只能將應用1或2與基於IP的訪問控制列表組合來使用才能達到IP-MAC 綁定功能。 Switch(config)mac access-list extended MAC10 #定義一個MAC地址訪問控制列表並命名爲MAC10 Switch(config)permit host 0009.6b4c.d4bf any #定義MAC地址爲0009.6b4c.d4bf 的主機能夠訪問任何主機 Switch(config)permit any host 0009.6b4c.d4bf #定義任何主機能夠訪問MAC爲0009.6b4c.d4bf的主機 Switch(config)ip access-list extended IP10 #定義一個IP地址訪問控制列表而且命名爲IP10 Switch(config)permit 192.168.0.1 0.0.0.0 any #定義IP地址爲192.168.0.1的主機能夠訪問任何主機 Switch(config)permit any 192.168.0.1 0.0.0.0 #定義任何主機均可以訪問IP地址爲192.168.0.1的主機 完成了這一步就能夠進入端口配置模式去配置端口啦! Switch(config)int fa0/20 #進入端口配置模式 Switch(config-if) ＃在該端口上應用名爲MAC10的訪問列表（即前面咱們定義的訪問策略） Switch(config-if)ip access-group IP10 in ＃在該端口上應用名爲MAC10的訪問列表（IP訪問控制列表喲） 下面是清除端口上的訪問控制列表 Switch(config-if)no mac access-group MAC10 in Switch(config-if)no ip access-group IP10 in #取消端口的訪問控制列表應用 再清除訪問控制列表 Switch(config)no mac access-list extended MAC10 Switch(config)no access-list extended IP10 #清除所定義的MAC10/IP10訪問控制列表 述所提到的應用1是基於主機MAC地址與交換機端口的綁定，方案2是基於MAC地址的訪問控制列表，前兩種方案所能實現的功能大致同樣。若是要作到IP與MAC地址的綁定只能按照方案3來實現，可根據需求將方案1或方案2與IP訪問控制列表結合起來使用以達到本身想要的效果。(以上功能在思科2950、3550、4500、6500系列交換機上能夠實現，可是須要注意的是2950、3550須要交換機運行加強的軟件鏡像（Enhanced Image）)。