H3C S3100V2端口安全配置

妖狐艹你老母 2022-03-19 01:58 388阅读 0赞

一、端口安全简介  
       端口安全是一种基于MAC地址对网络接入进行控制的安全机制，是对已有的802.1X认证和MAC地址认证的扩充。这种机制通过检测端口收到的数据帧中的源MAC地址来控制非授权设备对网络的访问，通过检测从端口发出的数据帧中的目的MAC地址来控制对非授权设备的访问。

端口安全的主要功能是通过定义各种端口安全模式，让设备学习到合法的源MAC地址，以达到相应的网络管理效果。启动了端口安全功能之后，当发现非法报文时，系统将触发相应特性，并按照预先指定的方式进行处理，既方便用户的管理又提高了系统的安全性。这里的非法报文是指：MAC地址未被端口学习到的用户报文； 未通过认证的用户报文。

1、端口安全模式描述：

<table> 
 <thead> 
 <tr> 
 <td colspan="3"> 安全模式 </td> 
 <td style="width:606px;"> 工作机制 </td> 
 <td style="width:89px;"> NTK/入侵检测 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td> 缺省情况 </td> 
 <td colspan="2"> noRestrictions </td> 
 <td style="width:606px;"> 表示端口的安全功能关闭，端口处于无限制状态 </td> 
 <td style="width:89px;"> 无效 </td> 
 </tr> 
 <tr> 
 <td colspan="2"> 端口控制MAC地址学习 </td> 
 <td> autoLearn </td> 
 <td style="width:606px;"> 端口可通过手工配置或自动学习MAC地址。这些新的MAC地址被称为安全MAC，并被添加到安全MAC地址表中 当端口下的安全MAC地址数超过端口安全允许学习的最大MAC地址数后，端口模式会自动转变为secure模式。之后，该端口停止添加新的安全MAC，只有源MAC地址为安全MAC地址、手工配置的MAC地址的报文，才能通过该端口 该模式下，端口禁止学习动态MAC地址 </td> 
 <td style="width:89px;"> 可触发 </td> 
 </tr> 
 <tr> 
 <td> secure </td> 
 <td style="width:606px;"> 禁止端口学习MAC地址，只有源MAC地址为端口上的安全MAC地址、手工配置的MAC地址的报文，才能通过该端口 </td> 
 </tr> 
 </tbody> 
</table>

<table> 
 <thead> 
 <tr> 
 <td colspan="2" style="width:467px;"> 配置任务 </td> 
 <td style="width:382px;"> 说明 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td colspan="2" style="width:467px;"> 使能端口安全功能 </td> 
 <td style="width:382px;"> 必选 </td> 
 </tr> 
 <tr> 
 <td colspan="2" style="width:467px;"> 配置端口安全允许的最大MAC地址数 </td> 
 <td style="width:382px;"> 可选 </td> 
 </tr> 
 <tr> 
 <td colspan="2" style="width:467px;"> 配置端口安全模式 </td> 
 <td style="width:382px;"> 必选 </td> 
 </tr> 
 <tr> 
 <td> 配置端口安全的特性 </td> 
 <td style="width:262px;"> 配置Need To Know特性 </td> 
 <td style="width:382px;"> 可选 根据实际组网需求选择其中一种或多种特性 </td> 
 </tr> 
 <tr> 
 <td style="width:262px;"> 配置入侵检测特性 </td> 
 </tr> 
 <tr> 
 <td style="width:262px;"> 配置Trap特性 </td> 
 </tr> 
 <tr> 
 <td colspan="2" style="width:467px;"> 配置安全MAC地址 </td> 
 <td style="width:382px;"> 可选 </td> 
 </tr> 
 <tr> 
 <td colspan="2" style="width:467px;"> 配置当前端口不应用服务器下发的授权信息 </td> 
 <td style="width:382px;"> 可选 </td> 
 </tr> 
 </tbody> 
</table>

二、步骤说明：

1、使能端口安全功能

<table> 
 <thead> 
 <tr> 
 <td> 操作 </td> 
 <td style="width:326px;"> 命令 </td> 
 <td style="width:347px;"> 说明 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td> 进入系统视图 </td> 
 <td style="width:326px;"> system-view </td> 
 <td style="width:347px;"> - </td> 
 </tr> 
 <tr> 
 <td> 使能端口安全功能 </td> 
 <td style="width:326px;"> port-security enable </td> 
 <td style="width:347px;"> 必选 缺省情况下，端口安全功能处于关闭状态 </td> 
 </tr> 
 </tbody> 
</table>

2、配置端口安全允许的最大MAC地址数

<table> 
 <thead> 
 <tr> 
 <td style="width:245px;"> 操作 </td> 
 <td style="width:299px;"> 命令 </td> 
 <td style="width:276px;"> 说明 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td style="width:245px;"> 进入系统视图 </td> 
 <td style="width:299px;"> system-view </td> 
 <td style="width:276px;"> - </td> 
 </tr> 
 <tr> 
 <td style="width:245px;"> 进入二层以太网端口视图 </td> 
 <td style="width:299px;"> interface&nbsp;interface-type&nbsp;interface-number </td> 
 <td style="width:276px;"> - </td> 
 </tr> 
 <tr> 
 <td style="width:245px;"> 配置端口安全允许的最大MAC地址数 </td> 
 <td style="width:299px;"> port-security max-mac-count&nbsp;count-value </td> 
 <td style="width:276px;"> 必选 缺省情况下，最大MAC地址数不受限制 </td> 
 </tr> 
 </tbody> 
</table>

3、配置端口安全安全模式

<table> 
 <thead> 
 <tr> 
 <td style="width:191px;"> 操作 </td> 
 <td style="width:405px;"> 命令 </td> 
 <td style="width:253px;"> 说明 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td style="width:191px;"> 进入系统视图 </td> 
 <td style="width:405px;"> system-view </td> 
 <td style="width:253px;"> - </td> 
 </tr> 
 <tr> 
 <td style="width:191px;"> 配置允许通过认证的用户OUI值 </td> 
 <td style="width:405px;"> port-security&nbsp;oui&nbsp;oui-value&nbsp;index&nbsp;index-value </td> 
 <td style="width:253px;"> 可选 缺省情况下，没有配置允许通过认证的用户OUI值 该命令仅在配置userlogin-withoui安全模式时必选 </td> 
 </tr> 
 <tr> 
 <td style="width:191px;"> 进入二层以太网端口视图 </td> 
 <td style="width:405px;"> interface&nbsp;interface-type interface-number </td> 
 <td style="width:253px;"> - </td> 
 </tr> 
 <tr> 
 <td style="width:191px;"> 配置端口的安全模式 </td> 
 <td style="width:405px;"> port-security&nbsp;port-mode&nbsp;{ &nbsp;autolearn&nbsp;|&nbsp;mac-authentication|&nbsp;mac-else-userlogin-secure&nbsp;|&nbsp;mac-else-userlogin-secure-ext&nbsp;|&nbsp;secure&nbsp;|&nbsp;userlogin&nbsp;|&nbsp;userlogin-secure&nbsp;|&nbsp;userlogin-secure-ext&nbsp;|&nbsp;userlogin-secure-or-mac&nbsp;|&nbsp;userlogin-secure-or-mac-ext&nbsp;|&nbsp;userlogin-withoui&nbsp;} </td> 
 <td style="width:253px;"> 必选 缺省情况下，端口处于noRestrictions模式 </td> 
 </tr> 
 </tbody> 
</table>

4、配置入侵检测特性

<table> 
 <thead> 
 <tr> 
 <td style="width:196px;"> 操作 </td> 
 <td style="width:418px;"> 命令 </td> 
 <td style="width:244px;"> 说明 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td style="width:196px;"> 进入系统视图 </td> 
 <td style="width:418px;"> system-view </td> 
 <td style="width:244px;"> - </td> 
 </tr> 
 <tr> 
 <td style="width:196px;"> 进入二层以太网端口视图 </td> 
 <td style="width:418px;"> interface&nbsp;interface-type interface-number </td> 
 <td style="width:244px;"> - </td> 
 </tr> 
 <tr> 
 <td style="width:196px;"> 配置入侵检测特性 </td> 
 <td style="width:418px;"> port-security intrusion-mode&nbsp;{&nbsp;blockmac&nbsp;|&nbsp;disableport&nbsp;|&nbsp;disableport-temporarily&nbsp;} </td> 
 <td style="width:244px;"> 必选 缺省情况下，不进行入侵检测处理 </td> 
 </tr> 
 <tr> 
 <td style="width:196px;"> 退回系统视图 </td> 
 <td style="width:418px;"> quit </td> 
 <td style="width:244px;"> - </td> 
 </tr> 
 <tr> 
 <td style="width:196px;"> 配置系统暂时关闭端口连接的时间 </td> 
 <td style="width:418px;"> port-security timer&nbsp;disableport&nbsp;time-value </td> 
 <td style="width:244px;"> 可选 缺省情况下，系统暂时关闭端口连接的时间为20秒 </td> 
 </tr> 
 </tbody> 
</table>

5、配置安全MAC地址

在配置安全MAC地址之前，需要完成以下配置任务：

使能端口安全功能

设置端口安全允许的最大MAC地址数

配置端口安全模式为autoLearn

<table> 
 <thead> 
 <tr> 
 <td colspan="2" style="text-align:left;vertical-align:top;width:119.85pt;"> 操作 </td> 
 <td style="text-align:left;vertical-align:top;width:218.5pt;"> 命令 </td> 
 <td style="text-align:left;vertical-align:top;width:361px;"> 说明 </td> 
 </tr> 
 </thead> 
 <tbody> 
 <tr> 
 <td colspan="2" style="text-align:left;vertical-align:top;width:119.85pt;"> 进入系统视图 </td> 
 <td style="text-align:left;vertical-align:top;width:218.5pt;"> system-view </td> 
 <td style="text-align:left;vertical-align:top;width:361px;"> - </td> 
 </tr> 
 <tr> 
 <td colspan="2" style="text-align:left;vertical-align:top;width:119.85pt;"> 配置安全MAC地址的老化时间 </td> 
 <td style="text-align:left;vertical-align:top;width:218.5pt;"> port-security timer autolearn aging&nbsp;time-value </td> 
 <td style="text-align:left;vertical-align:top;width:361px;"> 可选 缺省情况下，安全MAC地址不会老化 </td> 
 </tr> 
 <tr> 
 <td style="text-align:left;vertical-align:top;width:52.55pt;"> 配置安全MAC地址 </td> 
 <td style="text-align:left;vertical-align:top;width:67.3pt;"> 在系统视图下 </td> 
 <td style="text-align:left;vertical-align:top;width:218.5pt;"> port-security&nbsp;mac-address&nbsp;security&nbsp;[&nbsp;sticky&nbsp;]&nbsp;mac-address&nbsp;interface&nbsp;interface-type interface-number&nbsp;vlan&nbsp;vlan-id </td> 
 <td style="text-align:left;vertical-align:top;width:361px;"> 二者必选其一 缺省情况下，未配置安全MAC地址 </td> 
 </tr> 
 <tr> 
 <td style="text-align:left;vertical-align:top;width:67.3pt;"> 在二层以太网端口视图下 </td> 
 <td style="text-align:left;vertical-align:top;width:218.5pt;"> interface&nbsp;interface-type&nbsp;interface-number </td> 
 </tr> 
 <tr> 
 <td style="text-align:left;vertical-align:top;width:218.5pt;"> port-security&nbsp;mac-address&nbsp;security&nbsp;[&nbsp;sticky&nbsp;]&nbsp;mac-address&nbsp;vlan&nbsp;vlan-id </td> 
 </tr> 
 <tr> 
 <td style="text-align:left;vertical-align:top;width:218.5pt;"> quit </td> 
 </tr> 
 <tr> 
 <td colspan="2" style="text-align:left;vertical-align:top;width:119.85pt;"> 进入二层以太网端口视图 </td> 
 <td style="text-align:left;vertical-align:top;width:218.5pt;"> interface&nbsp;interface-type&nbsp;interface-number </td> 
 <td style="text-align:left;vertical-align:top;width:361px;"> - </td> 
 </tr> 
 <tr> 
 <td colspan="2" style="text-align:left;vertical-align:top;width:119.85pt;"> 配置安全地址的老化方式为无流量老化 </td> 
 <td style="text-align:left;vertical-align:top;width:218.5pt;"> port-security mac-address aging-type inactivity </td> 
 <td style="text-align:left;vertical-align:top;width:361px;"> 可选 缺省情况下，安全MAC地址按照固定时间进行老化，即在配置的安全MAC地址的老化时间到达后立即老化 </td> 
 </tr> 
 <tr> 
 <td colspan="2" style="text-align:left;vertical-align:top;width:119.85pt;"> 将Sticky MAC地址设置为动态类型的安全MAC地址 </td> 
 <td style="text-align:left;vertical-align:top;width:218.5pt;"> port-security mac-address dynamic </td> 
 <td style="text-align:left;vertical-align:top;width:361px;"> 可选 缺省情况下，Sticky MAC地址能够被保存在配置文件中，设备重启后也不会丢失 </td> 
 </tr> 
 </tbody> 
</table>

案例：

\[office-2F-UPS-S3100I\]port-security enable \#使能端口安全

interface Ethernet1/0/4  
 port access vlan 19  
 port-security max-mac-count 1 \#最多允许1个MAC地址  
 port-security port-mode autolearn \#端口安全模式  
 port-security intrusion-mode disableport \#入侵检测，并执行对应操作  
 port-security mac-address security sticky f48e-38f8-e144 vlan 19 \#检测到设备之后，自动绑定MAC和vlan

\[office-2F-UPS-S3100I\]display  port-security interface Ethernet  1/0/4  
 Equipment port-security is enabled  
 Intrusion trap is enabled  
 AutoLearn aging time is 0 minutes  
 Disableport Timeout: 20s  
 OUI value:

Ethernet1/0/4 is link-down  
   Port mode is secure  
   NeedToKnow mode is disabled  
   Intrusion Protection mode is DisablePort  
   Max MAC address number is 1  
   Stored MAC address number is 1  
   Authorization is permitted  
   Security MAC address learning mode is sticky  
   Security MAC address aging type is absolute