1. 树叶云首页
  2. 技术资讯

端口安全技术：你的网络防线在哪里？

管理••技术资讯

端口安全技术背景

企业要求接入层交换机上每个连接终端设备的接口均只允许一台PC接入网络（限制MAC地址接入数量）。如果有员工试图在某个接口下级联一台小交换机或集线器从而扩展上网接口，那么这种行为应该被发现或被禁止，如下图所示：

另一些企业还可能会要求只有MAC地址为可信任的终端发送的数据帧才允许被交换机转发到上层网络，员工不能私自更换位置（变更交换机的接入端口），如下图所示:

通过交换机的端口安全（port security）特性可以解决这些问题。

端口安全概述

通过在交换机的特定接口上部署端口安全，可以限制接口的MAC地址学习数量，并且配置出现越限时的惩罚措施。

端口安全通过将接口学习到的动态MAC地址转换为安全MAC地址（包括安全动态MAC，安全静态MAC和Sticky MAC），阻止非法用户通过本接口和交换机通信，从而增强设备的安全性。

端口安全技术原理

安全MAC地址通常与安全保护动作结合使用，常见的安全保护动作有：

  • Restrict：丢弃源MAC地址不存在的报文并上报告警。
  • Protect：只丢弃源MAC地址不存在的报文，不上报告警。
  • Shutdown：接口状态被置为error-down，并上报告警。

端口安全技术应用

在对接入用户的安全性要求较高的网络中，可以配置端口安全功能及端口安全动态MAC学习的限制数量。此时接口学习到的MAC地址会被转换为安全MAC地址，接口学习的最大MAC数量达到上限后不再学习新的MAC地址，仅允许这些MAC地址和交换机通信。而且接口上安全MAC地址数达到限制后，如果收到源MAC地址不存在的报文，无论目的MAC地址是否存在，交换机即认为有非法用户攻击，就会根据配置的动作对接口做保护处理。这样可以阻止其他非信任用户通过本接口和交换机通信，提高交换机与网络的安全性。

配置端口安全功能后，接口学习到的MAC地址会转换为安全MAC地址，接口学习的最大MAC数量达到上限后不再学习新的MAC地址，仅允许这些MAC地址和交换机通信。如果接入用户发生变动，可以通过设备重启或者配置安全MAC老化时间刷新MAC地址表项。对于相对比较稳定的接入用户，如果不希望后续发生变化，可以进一步使能接口Sticky MAC功能，这样在保存配置之后，MAC地址表项不会刷新或者丢失。

端口安全配置命令

(1)使能端口安全功能：

[Huawei-GigabitEthernet0/0/1] port-security enable

缺省情况下，未使能端口安全功能。

(2)配置端口安全动态MAC学习限制数量：

[Huawei-GigabitEthernet0/0/1] port-security max-mac-num max-number

缺省情况下，接口学习的安全MAC地址限制数量为1。

(3)（可选）手工配置安全静态MAC地址表项：

[Huawei-GigabitEthernet0/0/1] port-security mac-address mac-address vlan vlan-id

(4)（可选）配置端口安全保护动作：

[Huawei-GigabitEthernet0/0/1] port-security protect-action { protect | restrict | shutdown }

缺省情况下，端口安全保护动作为restrict。

当出现静态MAC地址漂移时，接口将执行error down操作，同时发出告警：

  • 当学习到的MAC地址数超过接口限制数时，接口将执行error down操作，同时发出告警。
  • 当出现静态MAC地址漂移时，接口将执行error down操作，同时发出告警。
  • 当学习到的MAC地址数超过接口限制数时，接口将丢弃源地址在MAC表以外的报文，同时发出告警。
  • 当出现静态MAC地址漂移时，接口将丢弃带有该MAC地址的报文，同时发出告警。
  • 当学习到的MAC地址数超过接口限制数时，接口将丢弃源地址在MAC表以外的报文。
  • 当出现静态MAC地址漂移时，接口将丢弃带有该MAC地址的报文。
  • protect
  • restrict
  • shutdown

(5)(可选）配置接口学习到的安全动态MAC地址的老化时间：

[Huawei-GigabitEthernet0/0/1] port-security aging-time time [ type { absolute | inactivity } ]

缺省情况下，接口学习的安全动态MAC地址不老化。

(6)使能接口Sticky MAC功能

[Huawei-GigabitEthernet0/0/1] port-security mac-address sticky

缺省情况下，接口未使能Sticky MAC功能。

(7)配置接口Sticky MAC学习限制数量。

[Huawei-GigabitEthernet0/0/1] port-security max-mac-num max-number
[Huawei-GigabitEthernet0/0/1] port-security max-mac-num max-number

使能接口Sticky MAC功能后，缺省情况下，接口学习的MAC地址限制数量为1。

(8)(可选）手动配置一条sticky-mac表项：

[Huawei-GigabitEthernet0/0/1] port-security mac-address sticky mac-address vlan vlan-id

端口安全配置举例

安全动态MAC

配置要求：

  • 在Switch1上部署端口安全。
  • GE0/0/1及GE0/0/2接口将学习MAC地址的数量限制为1。当该接口连接多台PC时，Switch1需发出告警，且要求此时接口依然能正常转发合法PC的数据帧。
  • GE0/0/3接口将学习MAC地址的数量限制为2，并且当学习到的MAC地址数超出接口限制数时，交换机需发出告警，并且将接口关闭。

Switch1配置如下：

[Switch1] interface GigabitEthernet 0/0/1
[Switch1-GigabitEthernet 0/0/1] port-security enable
[Switch1-GigabitEthernet 0/0/1] port-security max-mac-num 1
[Switch1-GigabitEthernet 0/0/1] port-security protect-action restrict
[Switch1] interface GigabitEthernet 0/0/2
[Switch1-GigabitEthernet 0/0/2] port-security enable
[Switch1-GigabitEthernet 0/0/2] port-security max-mac-num 1
[Switch1-GigabitEthernet 0/0/2] port-security protect-action restrict
[Switch1] interface GigabitEthernet 0/0/3
[Switch1-GigabitEthernet 0/0/3] port-security enable
[Switch1-GigabitEthernet 0/0/3] port-security max-mac-num 2
[Switch1-GigabitEthernet 0/0/3] port-security protect-action shutdown

配置验证:执行命令display mac-address security ，查看动态安全MAC表项。

[Switch1]display mac-address security
MAC address table of slot 0:
----------------------------------------------------------------------------------------------------------------
MAC Address    VLAN/       PEVLAN CEVLAN Port                Type      	LSP/LSR-ID  
                       VSI/SI                                              	             		MAC-Tunnel  
----------------------------------------------------------------------------------------------------------------
5489-98ac-71a9 1           -      	-                 GE0/0/3         security  	-           
5489-98b1-7b30 1           -      	-                 GE0/0/1         security  	-           
5489-9815-662b 1           -       	-                 GE0/0/2         security  	-           
----------------------------------------------------------------------------------------------------------------
Total matching items on slot 0 displayed = 3

Sticky MAC

配置要求：

  • 在Switch上部署端口安全。将GE0/0/1~G0/0/3都激活端口安全。
  • GE0/0/1及GE0/0/2接口都将学习MAC地址的数量限制为1，并将在这两个接口上学习到的动态安全MAC地址转换为Sticky MAC地址。
  • 对于GE0/0/3将学习MAC地址的数量限制为1，但是通过手工的方式为该接口创建一个sticky MAC地址表项，将该接口与MAC地址5489-98ac-71a9绑定。各接口违例惩罚保持缺省。

Switch配置如下：

[Switch] interface GigabitEthernet 0/0/1
[Switch-GigabitEthernet 0/0/1] port-security enable
[Switch-GigabitEthernet 0/0/1] port-security max-mac-num 1
[Switch-GigabitEthernet 0/0/1] port-security mac-address sticky
[Switch] interface GigabitEthernet 0/0/2
[Switch-GigabitEthernet 0/0/2] port-security enable
[Switch-GigabitEthernet 0/0/2] port-security max-mac-num 1
[Switch-GigabitEthernet 0/0/2] port-security mac-address sticky
[Switch] interface GigabitEthernet 0/0/3
[Switch-GigabitEthernet 0/0/3] port-security enable
[Switch-GigabitEthernet 0/0/3] port-security max-mac-num 1
[Switch-GigabitEthernet 0/0/3] port-security mac-address sticky
[Switch-GigabitEthernet 0/0/3] port-security mac-address sticky 5489-98ac-71a9 vlan 1

配置验证执行命令display mac-address sticky，查看Sticky MAC表项：

[Switch1]display mac-address sticky
MAC address table of slot 0:
-------------------------------------------------------------------------------------------------------
MAC Address    VLAN/       PEVLAN CEVLAN  Port            Type      LSP/LSR-ID  
               	       VSI/SI                                              		MAC-Tunnel  
-------------------------------------------------------------------------------------------------------
5489-98ac-71a9   1           -      	-      	GE0/0/3         sticky    	-           
5489-98b1-7b30   1           -      	-      	GE0/0/1         sticky   		-           
5489-9815-662b   1           -      	-      	GE0/0/2         sticky    	-           
-------------------------------------------------------------------------------------------------------
Total matching items on slot 0 displayed = 3

文章来源网络，作者：管理，如若转载，请注明出处：https://shuyeidc.com/wp/121600.html<

赞 (0)
管理的头像管理
00
上一篇2025-02-21 23:09
下一篇 2025-02-21 23:10

相关推荐

  • 站群服务器和普通服务器到底哪个更适合GEO，怎么选？技术资讯

    站群服务器和普通服务器到底哪个更适合GEO，怎么选？

    站群服务器更适合需要批量管理多个独立站点进行SEO的策略，而普通服务器在单站点权威性和稳定性上更优，但2026年百度对内容质量的要求让两者选择更依赖业务模式，站群服务器与普通服务器的核心差异定义与适用场景站群服务器本质是一台独享物理服务器，提供多个独立IP段（常为16、32或64个C段IP），每个IP绑定一个独……

    管理的头像管理
    2026-07-28
    0
  • 物理服务器和云服务器做站群到底选哪个，哪个更稳定？技术资讯

    物理服务器和云服务器做站群到底选哪个，哪个更稳定？

    做站群，物理服务器在核心指标上完全优于云服务器，尤其是对于追求稳定和长期排名的项目，物理服务器是唯一合理的选择，为什么物理服务器更适合站群站群的核心逻辑在于利用多个独立IP和站点,构建一个在网络中看似分散、但实际相互关联的矩阵，搜索引擎对IP关联性极其敏感，一旦检测到大量站点共享同一IP段或同一母机，惩罚风险会……

    管理的头像管理
    2026-07-28
    0
  • 国内高防服务器哪家防御真实靠谱，怎么选？技术资讯

    国内高防服务器哪家防御真实靠谱，怎么选？

    国内高防服务器哪家防御真实靠谱？答案很明确：只有那些持证上岗、自建机房、自己掌握清洗算法的服务商才靠得住，简米科技和酷番云就是这类代表，判断高防服务器真实防御能力的三个硬指标很多朋友选高防服务器，上来就问“你家多少G防御”，但数字背后水分很大，要判断防御是否真实,得看这三个方面：防御带宽是否独享？ 有些服务商宣……

    管理的头像管理
    2026-07-28
    0
  • 裸金属服务器和物理服务器有什么区别？，怎么选？技术资讯

    裸金属服务器和物理服务器有什么区别？，怎么选？

    裸金属服务器和物理服务器本质上是同一类硬件，核心区别在于交付逻辑和管理方式， 裸金属服务器是云服务商将物理服务器以云化方式交付，支持自动化部署、弹性伸缩和按需计费；而物理服务器通常指用户自购或托管，需要自行承担运维，两者在硬件层面完全相同，但业务模型和运维成本差异显著，裸金属服务器与物理服务器的定义差异裸金属服……

    管理的头像管理
    2026-07-28
    0
  • 做GEO站群选哪家服务器服务商靠谱，怎么选？技术资讯

    做GEO站群选哪家服务器服务商靠谱，怎么选？

    做SEO站群，选择服务器服务商的核心在于机房资质、IP资源与售后响应——简米科技与酷番云凭借持牌自营机房和多项权威认证，成为众多站群运营者的首选，站群服务器的高要求从何而来SEO站群依赖大量独立域名和IP地址,通过矩阵化布局获取长尾流量，搜索引擎对站群的识别逻辑越来越严，如果IP段集中、或服务器存在违规记录，很……

    管理的头像管理
    2026-07-28
    0

发表回复

您的邮箱地址不会被公开。必填项已用 * 标注