x00030004 第14節(jié) 交換機(jī)端口安全技術(shù)

1、交換機(jī)端口安全技術(shù),ISSUE 1.0,日期：,杭州華三通信技術(shù)有限公司 版權(quán)所有，未經(jīng)授權(quán)不得使用與傳播,,,掌握802.1X基本原理及其配置掌握端口隔離技術(shù)及其配置掌握端口綁定技術(shù)及其配置,課程目標(biāo),學(xué)習(xí)完本課程，您應(yīng)該能夠：,802.1X基本原理及其配置端口隔離技術(shù)及其配置端口綁定技術(shù)及其配置,目錄,,802.1X技術(shù)簡(jiǎn)介,802.1X協(xié)議起源于標(biāo)準(zhǔn)的無(wú)線局域網(wǎng)協(xié)議802.11。主要目的是為了解決有線局域網(wǎng)用戶的接入認(rèn)證問(wèn)

2、題。,,,,,,,,,,,Internet,,802.11,,,802.1X,,,,,客戶端,設(shè)備端,認(rèn)證服務(wù)器端,本地認(rèn)證由設(shè)備端內(nèi)置本地服務(wù)器對(duì)客戶端進(jìn)行認(rèn)證遠(yuǎn)程集中認(rèn)證由遠(yuǎn)程的認(rèn)證服務(wù)器對(duì)客戶端進(jìn)行認(rèn)證,802.1X的體系結(jié)構(gòu),端口接入控制方式,,,,,,,,,,,,MAC-based,Port-based,,,,,,Hub,基于端口的認(rèn)證方式基于MAC的認(rèn)證方式,Switch,802.1X基本配置,[Switch] do

3、t1x,開(kāi)啟全局的802.1X特性開(kāi)啟端口的802.1X特性添加本地接入用戶并設(shè)置相關(guān)參數(shù),[Switch] dot1x interface interface-list,[Switch] local-user user-name[Switch-luser-localuser] service-type lan-access[Switch-luser-localuser] password { cipher | simple

4、 } password,802.1X典型配置舉例,,,[SWA]dot1x[SWA]dot1x interface ethernet1/0/1[SWA]local-user localuser [SWA-luser-localuser]password simple hello[SWA-luser-localuser]service-type lan-access,,PC,SWA,E1/0/1,802.1X的基本原理和配置端口

5、隔離技術(shù)及其配置端口綁定技術(shù)及其配置,目錄,,,端口隔離簡(jiǎn)介,,,,,,,,Port-isolate Group,VLAN1,,,,,Switch,VLAN2,VLAN3,,,Switch,端口隔離用于在VLAN內(nèi)隔離以太網(wǎng)端口,Uplink-port,,[Switch-Ethernet1/0/1] port-isolate enable,將指定端口加入到隔離組中，端口成為隔離組的普通端口將指定端口加入到隔離組中，端口成為隔離組的

6、上行端口,端口隔離基本配置,[Switch-Ethernet1/0/2] port-isolate uplink-port,端口隔離配置舉例,E1/0/2,E1/0/1,E1/0/3,E1/0/4,,,,,,,Uplink-port,,PCA,PCB,PCC,,[SWA]interface ethernet1/0/2 [SWA-Ethernet1/0/2] port-isolate enable[SWA]interface ethe

7、rnet1/0/3[SWA-Ethernet1/0/3] port-isolate enable[SWA]interface ethernet1/0/4[SWA-Ethernet1/0/4] port-isolate enable[SWA]interface ethernet1/0/1[SWA-Ethernet1/0/1] port-isolate uplink-port,,,Server,802.1X的基本原理和配置端口隔

8、離技術(shù)及其配置端口綁定技術(shù)及其配置,目錄,端口綁定技術(shù)簡(jiǎn)介,通過(guò)“MAC+IP+端口”綁定功能，可以實(shí)現(xiàn)設(shè)備對(duì)轉(zhuǎn)發(fā)報(bào)文的過(guò)濾控制，提高了安全性。,MAC:0001-0201-2123IP:10.1.1.1/24,MAC:0001-0401-2126IP:10.2.1.1/24,MAC:0002-0261-2562IP:10.3.1.1/24,E1/0/2,E1/0/1,E1/0/3,E1/0/4,,,,,,PCA,PCB,PCC

9、,,,,,,,,,[Switch-Ethernet1/0/1] user-bind ip-address ip-address [ mac-address mac-address ],配置靜態(tài)綁定表項(xiàng),端口綁定基本配置,端口綁定典型配置舉例,MAC:0001-0201-2123IP:10.1.1.1/24,MAC:0001-0401-2126IP:10.2.1.1/24,MAC:0002-0261-2562IP:10.3.1.1/

10、24,E1/0/2,E1/0/1,E1/0/3,E1/0/4,,,,,,PCA,PCB,PCC,,,,[SWA]interface ethernet1/0/2 [SWA-Ethernet1/0/2] user-bind ip-address 10.1.1.1 mac-address 0001-0201-2123[SWA]interface ethernet1/0/3[SWA-Ethernet1/0/3] user-bind ip-

11、address 10.2.1.1 mac-address 0001-0401-2126[SWA]interface ethernet1/0/4[SWA-Ethernet1/0/4] user-bind ip-address 10.3.1.1 mac-address 0002-0261-2562,802.1X是基于端口的網(wǎng)絡(luò)接入控制協(xié)議，對(duì)接入用戶進(jìn)行驗(yàn)證；交換機(jī)端口隔離技術(shù)能夠在VLAN內(nèi)隔離端口端口綁定技術(shù)可以實(shí)現(xiàn)設(shè)備對(duì)轉(zhuǎn)發(fā)報(bào)