[网络] Telete/SSH 之 Port 绑定/端口安全
一、前言
之前写完了网络] DHCP 之 Mac 绑定，CiSCO 交换机配置 SSH 登陆。这次我们再试试能不能挖的在深入些。
（1） 理解交换机的 MAC 表
（2） 理解交换机的端口安全
（3） 配置交换机的端口安全特性
二、配置
交换机端口安全特性，可以让我们配置交换机端口，使得非法的 MAC 地址的设备接入时，交换机自动关闭接口或者拒绝非法设备接入，也可以限制某个端口上最大的 MAC 地址数。
（ I ）配置网络层（接入层）
（ II ）配置传输层
注意：这样是无法登陆的，还需要进入 int vty 0 设置 no password / password <passwd>
提示：建议在 vty 接口处设置 transport input ssh 更安全。
（ III ） Client 登陆 OpenSSH Version 2
注意：**如果允许 Client 获取 privilege 需要在 configure terminal 内设置 enable password <passwd> **
三、交换机端口安全
数据链路层 VLAN 实现，并非三层 ACL 实现。（ 关于ACL相关将在下次进行讲解 ）
这样我们就引入了本文的要点，配置 MAC 绑定的意义就在这。
如果只有 PC1 是我信任的，但因为没有做二层 MAC 认证造成互联网任何一台机器都可以远程登陆。
安全提示 ：其实在配置 OpenSSH 的时候，需要进入 privilege mode 设置 line vty 的状态。如果只是设置了一个允许的访问，但 administrator 登陆未断开时。即便 password 正确，黑客也无法登陆。使用 show line 可以查看登录状态。建议合理分配 line vty 个数。
（ I ）配置交换机端口安全（白名单）
本来这里是三层口的，我使用 no switchport 死活转不下来。所以这里使用 Cisco Packet 给Router 2911 添加了 HWIC-4ESW （提供4个交换功能接口）模块。
无脑提示：路由器 Route 是三层网络层的设备不可以转换二层汇聚成接口；接入层交换机 Switch 是二层数据链路层设备不可以转换成三层网络层设备。但三层交换机 Switch 开启 ip routing 后是可以给一个接口配置 no switchport 以进行二层、三层的切换。
注意：这个 Switch1 的 fa0/1 和 fa0/2 都需要设置 VLAN 模式（上图是错误的）。若 Switch1 的俩个接口都需要设置 MAC 地址防护，需要增大 maximum 参数。
1、配置访问模式
S1(config)#int f0/2/0
S1(config-if)#shutdown
S1(config-if)#switch mode access
//以上命令把端口改为访问模式，即用来接入计算机。
2、开启端口安全
S1(config-if)# switchport port-securitiy
//以上命令是打开交换机的端口安全功能。
S1(config-if)#switchport port-securitiy maximum 1
//以上命令只允许该端口下的 MAC 条目最大数量为 1，即只允许一个设备接入
S1(config-if)#switchport port-securitiy violation { protect | shutdown | restrict }
- protect:当新的计算机接入时，如果该接口的 MAC 条目超过最大数量，则这个新的计算机将无法接入，而原有的计算机不受影响
- shutdown:当新的计算机接入时，如果该接口的 MAC 条目超过最大数量，则该接口将会被关闭，则这个新的计算机和原有的计算机都无法接入，需要管理员使用“no shutdown” 命令重新打开。
- restrict:当新的计算机接入时，如果该接口的 MAC 条目超过最大数量，则这个新的计算机可以接入，然而交换机将向发送警告信息。
S1(config-if)#switchport port-security mac-address 0004.9A68.92E1
//允许 R1 路由器从 f0/1 接口接入
注意：所有相连的路由必须加入允许MAC列表内，否则断连。
S1(config-if)#no shutdown
S1(config)#int vlan1
S1(config-if)#no shutdown
S1(config-if)#ip address 172.16.0.1 255.255.0.0
//以上配置交换机的管理地址
(3) 步骤 3：检查 MAC 地址表
S1#show mac-address-table
Switch#show mac address-table
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
1 0004.9a68.92e1 STATIC Fa0/2
//R1 的 MAC 已经被登记在 f0/1 接口，并且表明是静态加入的
四、模拟非法接入
Have some problems...
仅供参考，欢迎留言。