交换安全

端口安全：

目的：限制交换机上一个access端口最多可以有几个合法的源MAC地址。

只能针对access接口使用端口安全功能，默认属于vlan1

 

配置：

interface f0/0

sw mode access

switchport port-security 

开启端口安全功能，默认只能接收一个源MAC

switchport  port-security  mac-add 0030.2093.2872 手动设置本端口允许的源MAC地址（可设置多个）

switchport  port-security  mac-add sticky

 动态学习源MAC，重启后仍然生效，不用手动去添加MAC地址。

switchport  port-security  violation

定义违规操作，有以下三种：

protect  丢弃后面学到的MAC地址的数据帧 （常用）

restrict  向网管平台发送警告

shutdown（默认行为）即端口进入err-disabled状态--show int f0/1

 

STP根防护：

防止新接入的交换机抢占并成为交换网络中的STP的树根

根交换机的所有接口下：

int f0/1

  spanning-tree guard root   //将所有trunk接口强制变为DP

 

BPDU guard ：

防止access口私接交换机引起STP环路（因为access口开启protfast后不能接收BPDU，不能进行STP检测）

配置BPDU guard 后，如果接口收到BPDU就直接shut down接口

全局开启：

spanning-tree portfast bpduguard default

 

接口下开启：

int f0/1

  switchport mode access  //接入口

  spanning-tree profast  //开启了端口加速功能，不能接受BPDU

  spanning-tree bpduguard enable //此接口如果连接了一台交换机，一旦收到BPDU消息，则该接口会进入err-disable状态，预防STP环路问题--接口down

 

BPDU filter：

忽略该接口收到的BPDU，该接口不参与生成树的拓扑计算，一般用来配合端口安全使用。

 

全局开启BPDU filter特性：

spanning portfast bpdufilter default

 

接口下开启：

int f0/1

  spanning-tree bpdufilter enable

注意：同时使用bpdufilter和bpduguard时，bpdufilter优先生效