Cisco交换机安全配置

Cisco交换机安全配置

前提

我们以下命令一般都要先进入Config模式

S1> enable
S1# conf t
S1(config)#

端口安全保护

禁用未使用的端口

以关闭fa0/1到fa0/24的端口为例

S1(config)# interface range fa0/1-24
S1(config-if-range)# shutdown

缓解MAC地址表攻击

防止CAM表溢出的最简单有效的方法是启用端口安全，它限制了端口上所允许的有效MAC地址数量。

我们以fa0/1为例子

S1(config)# interface fa0/1
S1(config-if)# switchport port-security

这里你可能会遇到报错，内容如下：

Command rejected: FastEthernet0/1 is a dynamic port.

这是因为端口安全只能在手动配置的接入模式(access)端口或手动配置的中继(trunk)端口上！

我们先将端口切换到access（如果是trunk的话命令中相应部分请改为trunk），然后开启端口安全。

S1(config-if)# switchport mode access
S1(config-if)# switchport port-security

接下来限制端口上MAC地址最大数量，默认值为1

S1(config-if)# switchport port-security maximum

当然我们可以手动置顶数目，范围在<1-8192>，我们这里以手动设置1为例

S1(config-if)# switchport port-security maximum 1

手动配置MAC

在接口配置模式中，执行以下命令，可手动指定安全MAC：

switchport port-security mac-address 这里写MAC地址

我们以aaaa.bbbb.1234地址为例

S1(config-if)# switchport port-security mac-address aaaa.bbbb.1234

动态获取

除了手动之外还有动态获取的方式。在执行switchport port-security之后，这个端口直接连接的设备的源MAC地址就会成为安全MAC。但是，这个地址不会添加到启动配置中，也就是说，交换机重启后必须重新学习MAC地址！！

动态获取-粘滞(Sticky)

管理员可以执行以下命令，将动态获取的MAC地址，写入到运行配置文件中

S1(config-if)# switchport port-security mac-address sticky

查看端口安全信息

我们可以在特权模式#下来查看端口安全的具体信息

同样我们以fa0/1为例子

S1# show port-security interface fa0/1

当然你在config及其子模式下可以用do来执行特权模式下的命令

S1(config-if)# do show port-security interface fa0/1

大致能看到如下字段（字段对应的值取决于你的配置）