- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
03-端口安全配置
本章节下载： 03-端口安全配置 (223.76 KB)
端口安全在端口上为使用不同认证方式的用户提供基于MAC地址的网络接入控制。
· 通过检测端口收到的数据帧中的源MAC地址来控制非授权设备或主机对网络的访问。
· 通过检测从端口发出的数据帧中的目的MAC地址来控制对非授权设备的访问。
· 通过定义端口安全模式，控制端口上的MAC地址学习，让设备学习到合法的源MAC地址，以达到相应的网络管理效果。
|
端口安全采用方式 |
安全模式 |
|
关闭端口安全特性 |
noRestrictions（缺省情况） 表示端口的安全功能关闭，端口处于无限制状态 |
|
autoLearn |
autoLearn模式下，端口不会将自动学习到的MAC地址添加为MAC地址表中的动态MAC地址，而是将这些地址添加到安全MAC地址表中，称之为安全MAC地址。也可以通过port-security mac-address security命令手工配置端口下的安全MAC地址。
只有源MAC地址为安全MAC地址、通过命令mac-address dynamic或mac-address static手工配置的MAC地址的报文，才能通过该端口。
· 目前仅二层以太网接口支持配置端口安全功能。
· 二层以太网接口加入聚合组后，在该接口上配置的端口安全功能不生效。
(1) 配置端口安全基本功能
¡ 使能端口安全
¡ 配置端口安全模式
可以通过undo port-security enable命令关闭端口安全。但需要注意的是，在端口上有用户在线的情况下，关闭端口安全会导致在线用户下线。
(1) 进入系统视图。
system-view
(2) 使能端口安全。
port-security enable
缺省情况下，端口安全功能处于关闭状态。
· 在端口安全未使能的情况下，端口安全模式可以进行配置但不会生效。
· 端口上有用户在线的情况下，改变端口的安全模式会导致在线用户会下线。
· 当端口安全已经使能且当前端口安全模式不是noRestrictions时，若要改变端口安全模式，必须首先执行undo port-security port-mode命令恢复端口安全模式为noRestrictions模式。
· 使能port-security port-mode autolearn后，l2protocol lacp vlan-tunnel命令不生效。有关l2protocol lacp vlan-tunnel命令的详细介绍请参考“二层技术-以太网交换命令参考”中的“L2PT”。
对于autoLearn模式，还需要提前设置端口安全允许的最大安全MAC地址数。但是如果端口已经工作在autoLearn模式下，则无法更改端口安全允许的最大安全MAC地址数。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置端口的安全模式。
port-security port-mode autolearn
缺省情况下，端口处于noRestrictions模式。
端口安全允许某个端口下有多个用户接入，但是允许的用户数不能超过规定的最大值。
配置端口允许的最大安全MAC地址数有两个作用：
· 控制端口允许接入网络的最大用户数；
· 控制autoLearn模式下端口能够添加的最大安全MAC地址数。如果配置了vlan关键字，但未指定具体的vlan-id-list时，可控制接口允许的每个VLAN内的最大安全MAC地址数；否则表示控制指定vlan-id-list内的最大安全MAC地址数。
端口安全允许的最大安全MAC地址数与“二层技术-以太网交换配置指导/MAC地址表”中配置的端口最多可以学习到的MAC地址数无关，且不受其影响。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置端口安全允许的最大安全MAC地址数。
port-security max-mac-count max-count [ vlan [ vlan-id-list ] ]
缺省情况下，端口安全不限制本端口可保存的最大安全MAC地址数。
安全MAC地址是一种特殊的MAC地址，保存配置后重启设备，不会丢失。在同一个VLAN内，一个安全MAC地址只能被添加到一个端口上。
安全MAC地址可以通过以下两种途径生成：
· 由autoLearn安全模式下的使能端口安全功能的端口自动学习。
· 通过命令行手动添加。
缺省情况下，所有的安全MAC地址均不老化，除非被管理员通过命令行手工删除，或因为配置的改变（端口的安全模式被改变，或端口安全功能被关闭）而被系统自动删除。但是，安全MAC地址不老化会带来一些问题：合法用户离开端口后，若有非法用户仿冒合法用户源MAC接入，会导致合法用户不能继续接入；虽然该合法用户已离开，但仍然占用端口MAC地址资源，而导致其它合法用户不能接入。因此，让某一类安全MAC地址能够定期老化，可提高端口接入的安全性和端口资源的利用率。
表1-2 安全MAC地址相关属性列表
|
类型 |
生成方式 |
配置保存机制 |
老化机制 |
|
静态 |
手工添加（未指定sticky关键字） |
安全MAC地址在保存配置文件并重启设备后，仍然存在 |
不老化 |
|
Sticky |
手工添加（指定sticky关键字），或端口自动学习 |
Sticky MAC地址在保存配置文件并重启设备后，仍然存在，且其老化定时器会重新开始计时 Sticky MAC地址可通过配置转换为动态类型的MAC地址。动态类型的安全MAC地址不能被保存在配置文件中，设备重启后会被丢失 |
支持两种老化机制： · 定时老化。若老化时间为0，则表示不老化（缺省） · 无流量老化。设备会定期检测端口上的安全MAC地址是否有流量产生，若某安全MAC地址在配置的Sticky MAC地址老化时间内没有任何流量产生，则才会被老化 |
当端口下的安全MAC地址数目超过端口允许学习的最大安全MAC地址数后，端口安全模式变为secure模式。该模式下，禁止端口学习MAC地址，只有源MAC地址为端口上的安全MAC地址或通过命令mac-address dynamic或mac-address static手工配置的MAC地址的报文，才能通过该端口。
在配置安全MAC地址之前，需要完成以下配置任务：
· 设置端口安全允许的最大MAC地址数。
· 配置端口安全模式为autoLearn。
· 当前的接口必须允许指定的VLAN通过或已加入该VLAN，且该VLAN已存在。
(1) 进入系统视图。
system-view
(2) 配置安全MAC地址的老化时间。
port-security timer autolearn aging [ second ] time-value
缺省情况下，安全MAC地址不会老化。
(3) 在系统视图或接口视图下配置安全MAC地址。
¡ 在系统视图下配置安全MAC地址。
port-security mac-address security [ sticky ] mac-address interface interface-type interface-number vlan vlan-id
¡ 依次执行以下命令在接口视图下配置安全MAC地址。
interface interface-type interface-number
port-security mac-address security [ sticky ] mac-address vlan vlan-id
缺省情况下，未配置安全MAC地址。
与相同VLAN绑定的同一个MAC地址不允许同时指定为静态类型的安全MAC地址和Sticky MAC地址。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 将Sticky MAC地址设置为动态类型的安全MAC地址。
port-security mac-address dynamic
缺省情况下，Sticky MAC地址能够被保存在配置文件中，设备重启后也不会丢失。
可在任意视图下执行以下命令：
display port-security [ interface interface-type interface-number ]
· 显示安全MAC地址信息。
display port-security mac-address security [ interface interface-type interface-number ] [ vlan vlan-id ] [ count ]
无法设置端口的端口安全模式。
在当前端口的端口安全模式已配置的情况下，无法直接对端口安全模式进行设置。
首先设置端口安全模式为noRestrictions状态，再设置新的端口安全模式。
[Device-HundredGigE1/0/1] undo port-security port-mode
[Device-HundredGigE1/0/1] port-security port-mode autolearn
无法配置安全MAC地址。
端口安全模式为非autoLearn时，不能对安全MAC地址进行设置。
设置端口安全模式为autoLearn状态。
[Device-HundredGigE1/0/1] undo port-security port-mode
[Device-HundredGigE1/0/1] port-security max-mac-count 64
[Device-HundredGigE1/0/1] port-security port-mode autolearn
[Device-HundredGigE1/0/1] port-security mac-address security 1-1-2 vlan 1
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
