=========
端口安全
=========
- 端口安全是第2层特性，能够提供如下5种保护特性：
> 基于主机MAC地址允许流量
> 基于主机MAC地址限制流量
> 在期望的端口上阻塞单播扩散
> 避免MAC扩散攻击
> 避免MAC欺骗攻击
- 合法的MAC地址才能使用端口。合法地址可以自动学习也可静态定义合法MAC地址可靠的MAC地址。配置时候有三种类型。
静态可靠的MAC地址：在交换机接口模式下手动配置，这个配置会被保存在交换机MAC地址表和运行配置文件中，交换机重新启动后不丢失（当然是在保存配置完成后），具体命令如下：
Switch(config-if)#switchport port-security mac-address Mac地址
动态可靠的MAC地址：这种类型是交换机默认的类型。在这种类型下，交换机会动态学习MAC地址，但是这个配置只会保存在MAC地址表中，不会保存在运行配置文件中，并且交换机重新启动后，这些MAC地址表中的MAC地址自动会被清除。
黏性可靠的MAC地址：这种类型下，可以手动配置MAC地址和端口的绑定，也可以让交换机自动学习来绑定，这个配置会被保存在MAC地址中和运行配置文件中，如果保存配置，交换机重起动后不用再自动重新学习MAC地址，虽然黏性的可靠的MAC地址可以手动配置，但是CISCO官方不推荐这样做。具体命令如下：
Switch(config-if)#switchport port-security mac-address sticky (sticky的功能，无论MAC是静态，还是动态，重启后仍然存在）
其实在上面这条命令配置后并且该端口得到MAC地址后，会自动生成一条配置命令
Switch(config-if)#switchport port-security mac-address sticky Mac地址
这也是为何在这种类型下CISCO不推荐手动配置MAC地址的原因。
1.基于主机MAC来允许流量
配置端口安全特性:
1.启用端口安全特性:
router(config-if)#switchport port-security
2.限制被允许访问的MAC地址的最大数目:
(config-if)＃switchport port-security maximum{number}[vlan vlan-id]
3.静态定义MAC地址,可以设置一个或多个MAC地址:
(config-if)＃switchport port-security mac-address {mac-address}[vlan vlan-id]
4.定义当收到带有违法MAC地址信息的帧的时候,端口所采用的动作.
(config-if)＃switchport port-security violation {protect|restrict|shutdown}
>>shutdown （关闭）交换机将永久性或在特定时间周期内error-disable状态,即不可用
>>restrict （限制）交换机继续工作，但将把来自未授权主机的数据帧丢弃
>>protect （保护）当超过允许学习的最大MAC地址数的时候，交换机将继续工作，但将把来自新主机的数据帧丢弃
5.启用MAC地址的粘滞学习(sticky learning),即当交换机重启后,MAC地址不需要重新学习,它们是被保持在交换机启动配置文件里.可选:
(config-if)＃switchport port-security mac-address sticky
注意：端口安全仅仅配置在静态Access端口；
在trunk端口、SPAN端口、快速以太通道、吉比特以太通道端口组或者被动态划给一个VLAN的端口上不能配置端口安全功能；
不能基于每VLAN设置端口安全；交换机不支持黏性可靠的MAC地址老化时间。protect和restrict模式不能同时设置在同一端口上。
eg：
授权MAC地址
server: 00-00-00-00-00-08
client: 00-00-00-00-11-18
需求：
1.实时媒体服务器插入交换机端口3/47，为了防止其他任何非授权设备插入相同的端口中。
2.接受授权MAC地址，任何非授权工作站插入端口2/2，交换机将关闭LAN端口2/2
4503(config)#interface FastEthernet 3/47
4503(config-if)#switchport
4503(config-if)#switchport mode access /指定端口模式
4503(config-if)#switchport port-security
4503(config-if)#switchport port-security mac-address 0000.0000.0008 /配置MAC地址。
4503(config-if)#switchport port-security maximum 1 /限制此端口允许通过的MAC地址数为1。
4503(config-if)#switchport port-security aging static //打开静态映射
4503(config-if)#switchport port-security violation restrict
4503(config)#interface FastEthernet 2/2
4503(config-if)#switchport
4503(config-if)#switchport mode access
4503(config-if)#switchport port-security
4503(config-if)#switchport port-security mac-address 0000.0000.1118
4503(config-if)#switchport port-security maximum 1
4503(config-if)#switchport port-security aging static
4503(config-if)#switchport port-security violation shutdown /当发现与上述配置不符时，端口down掉。
2.基于主机MAC来限制流量 （3550上才可以做）
列表中定义的MAC将被限制流量
(config)#mac-address-table static 0010.7b80.7b9b vlan 1 drop
3.阻塞未知单(组)播扩散 （3550上才可以做）
对未知MAC地址，SW将从本VLAN的其他端口转发出去,但对于某些端口（端口安全只需要一个MAC/已到最大MAC）没必要再转发这些单（组）播。就可以在这些端口上设定这一特性，通常结合端口安全来做。
int f0/1
switchport block [unicast | multicast]
show int f0/1 switchport
...Unknown unicast blocked: enabled
...Unknown multicast blocked: disabled
检验命令：显示所有接口上应用端口安全的信息： Switch#show port-security
显示具体接口上所应用端口安全的信息：Switch#show port-security interface interface x/y 如下图
显示合法的MAC 地址信息：Switch#show port-security address 如下图
默认的端口安全配置：
以下是端口安全在接口下的配置-
特性：port-sercurity 默认设置：关闭的。
特性：最大安全mac地址数目 默认设置：1
特性：违规模式 默认配置：shutdown，这端口在最大安全mac地址数量达到的时候会shutdown，并发snmp陷阱。
配置向导：
下面是配置端口安全的向导-
·安全端口不能在动态的access口或者trunk口上做，换言之，敲port-secure之前必须的是switch mode acc之后。
·安全端口不能是一个被保护的端口。
·安全端口不能是SPAN的目的地址。
·安全端口不能属于GEC或FEC的组。
·安全端口不能属于802.1x端口。如果你在安全端口试图开启802.1x，就会有报错信息，而且802.1x也关了。如果你试图改变开启了802.1x的端口为安全端口，错误信息就会出现，安全性设置不会改变。
配置案例：
1.在f0/12上最大mac地址数目为5的端口安全，违规动作为默认。
switch#config t
Enter configuration commands, one per line. End with CNTL/Z.
switch(config)#int f0/12
switch(config-if)#swi mode acc
switch(config-if)#swi port-sec
switch(config-if)#swi port-sec max 5
switch(config-if)#end
switch#show port-sec int f0/12
Security Enabled:Yes, Port Status:SecureUp
Violation Mode:Shutdown
Max. Addrs:5, Current Addrs:0, Configure Addrs:0
2.如何配置f0/12安全mac地址
switch(config)#int f0/12
switch(config-if)#swi mode acc
switch(config-if)#swi port-sec
switch(config-if)#swi port-sec mac-add 1111.1111.1111
switch(config-if)#end
switch#show port-sec add
Secure Mac Address Table
------------------------------------------------------------
Vlan Mac Address Type Ports
---- ----------- ---- -----
1 1000.2000.3000 SecureConfigured Fa0/12
3.配置端口安全超时时间两小时。
switch(config)#int f0/12
switch(config)#swi port-sec aging time 120
4.端口安全超时时间2分钟，给配置了安全地址的接口，类型为inactivity aging：
switch(config-if)#swi port-sec aging time 2
switch(config-if)#swi port-sec aging type inactivity
switch(config-if)#swi port-sec aging static
show port-security interface f0/12可以看状态.
其他show
show port-security 看哪些接口启用了端口安全.
show port-security address 看安全端口mac地址绑定关系.