端口安全技术原理与应用

概述

端口安全原理

端口安全术语

二层安全地址配置

端口模式下配置

全局模式下配置

动态学习

二层数据包处理流程

三层安全地址配置

三层数据包处理流程

端口安全违例动作和安全地址老化时间

查看命令

端口安全的注意事项

小结

概述

园区网的接入安全关系着使用者的信息安全，因此既要保证合法用户正常接入，也要防止非法用户的接入。两者均要满足的情况下，就需要接入设备能够辨别哪些报文是合法的，哪些是非法的；
设备MAC表项资源有限，需要一种技术，能够防止设备遭受MAC扫描攻击时导致MAC表项耗尽；
端口安全是实现以上需求的技术之一

端口安全原理

基本原理：通过在端口绑定合法地址的方法来限制端口的接入访问
实现方式：在接入交换机上建立端口和MAC、IP，或MAC+IP的对应关系表，对该端口收到的报文进行控制。当该端口收到符合对应关系的报文时，进行正常转发，当收到的不符合该对应关系的报文进行下一步判断

端口安全术语

安全端口：1.锐捷设备只有Access端口可以配置为安全端口，并且不能是端口镜像目的端口

锐捷设备的端口安全功能默认关闭

安全地址：在安全端口上绑定的地址称为安全地址

二层安全地址：即基于MAC的安全地址

三层安全地址：即基于IP或IP+MAC的安全地址

安全地址绑定方式：

--静态绑定方式，即手工命令进行，可以绑定二层和三层安全地址（即MAC、IP、MAC+IP）

--动态绑定方式，即让交换机自动学习地址并转化为安全地址，只能学习二层安全地址；

两种方式下都可以配置最大的安全地址限制个数。默认为128个，通过限制安全地址个数的方式，防止设备遭受MAC扫描攻击时，MAC表项占满

端口安全违例动作：

Protect：端口安全默认动作，当违例产生时，安全端口将丢弃违例的报文；

Restrict：当违例产生时，将发送一个Trap通知；

Shutdown：当违例产生时，将关闭端口并发送一个Trap通知；

二层安全地址配置

端口模式下配置

Ruijie(config)#interface gigabitEthernet 0/1
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security --开启端口安全功能
Ruijie(config-if-GigabitEthernet 0/1)#switchport access vlan 2
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security mac-address 144f.d7c0.79c3 vlan 2 --如不配VLAN，默认为接口VLAN
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security maximum 1 --配置安全地址限制数量，可选范围1-128，默认128

全局模式下配置

Ruijie(config)#interface gigabitEthernet 0/1
Ruijie(config-if-GigabitEthernet 0/1)#switchport access vlan 2
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security maximum 1 --配置安全地址限制数量，可选范围1-128，默认128
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security --开启端口安全功能
Ruijie(config)# switch port-security interface gigabitEthernet 0/1 mac-address 144f.d7c0.79c3 --全局模式下配置

动态学习

Ruijie(config)#interface gigabitEthernet 0/2
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security --开启端口安全功能
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security mac-address sticky --开启二层安全地址动态学习功能
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security maximum 1 --配置安全地址限制数量，可选范围1-128，默认128

二层数据包处理流程

端口收到数据流时，会对数据的报文地址进行解析。仅二层安全地址绑定时，步骤如下：

先解析报文的二层地址，如果源地址在安全地址列表中，则认为是合法报文；
如果不在安全地址列表，检查已经绑定的二层安全地址个数是否达到限制，如果未达到限制，则把该地址在端口进行动态绑定，变为该端口的二层安全地址（显示为dynamic）；
如果已经达到限制，认为发现非法报文，进行违例处理

三层安全地址配置

方式一：端口模式下，仅绑定IP

Ruijie(config)#interface gigabitEthernet 0/1
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security
Ruijie(config-if-GigabitEthernet 0/1)#switchport access vlan 2
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security binding 172.16.1.10
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security maximum 1

配置效果：该端口下只允许源IP地址为172.16.1.10（MAC地址无限制）的终端报文通过，其他地址的终端报文则无法通过

方式二：端口模式下，绑定IP+MAC

Ruijie(config)#interface gigabitEthernet 0/1
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security
Ruijie(config-if-GigabitEthernet 0/1)#switchport access vlan 2
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security binding 144f.d7c0.79c3 vlan 2 172.16.1.10
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security maximum 1

配置效果：该端口下只允许源Mac地址为144f.d7c0.79c3，且原IP地址为172.16.1.10的终端报文通过，其他终端接入后无法访问网络

三层数据包处理流程

1.当符合二层安全地址表项后，还需要匹配三层安全地址绑定才算是合法报文；

2.在仅三层绑定时，只需匹配IP地址，匹配成功则符合合法报文，否则丢弃；

3.在IP+MAC绑定时，需要同时匹配IP+MAC ，同时匹配成功才算合法报文，否则丢弃

配置了IP+MAC绑定或仅IP绑定，交换机还是会动态学习下联用户的MAC地址

（三层安全地址不占用安全地址条目，即安全地址条目限制只对二层安全地址生效）

匹配时，三层安全地址表只要有一条匹配，则算匹配成功

端口安全违例动作和安全地址老化时间

违例动作：
Ruijie(config)#interface gigabitEthernet 0/1
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security violation [ protect | restrict | shutdown ]

Protect：发现违例，则丢弃违例的报文，默认违例动作为Protect
Restrict ：发现违例，则丢弃违例的报文并且发送Trap
Shutdown：发现违例，则丢弃报文、并关闭接口

老化时间（对于所有的安全地址，到达老化时间后，安全地址将会老化掉，并可以重新进行学习或配置）：

Ruijie(config)#interface gigabitEthernet 0/1
Ruijie(config-if-GigabitEthernet 0/1)#switchport port-security aging time [ static | time 0-1440 ]

time：范围0-1440分钟。0则表示老化关闭，默认为0
static ：表示老化时间将同时应用于动态学习的安全地址和手工配置的安全地址

查看命令

查看所有的安全地址：

Show port-security address

查看所有的安全绑定：

Show port-security binding

查看所有生效的端口安全地址和端口安全绑定记录:

Show port-security all

查看某接口上的端口安全配置情况

Show port-security int g0/2

查看端口安全统计信息：

Show port-security

端口安全的注意事项

1.安全端口不能是SPAN的目的端口；

2.安全端口不能是DHCP Snooping信任端口；

3.端口安全和其他接入功能如全局IP+MAC安全地址绑定、IP Source Guard等共用时，必须满足所有的安全检查才能进入交换机；

4.如果交换机同一VLAN下的0/1端口设置了端口安全（将PC1的MAC绑定），但是同VLAN 下的其他端口没有设置端口安全，那么PC1插到0/1口可以上网，但是插到其他端口是不能上网的

小结

端口安全技术可以基于手工配置或者动态学习的方式形成安全表项，设备会以安全表项为检查基线，对经过接口的报文进行合法性检查，对合法的报文转发，非法的报文采取不同的违例动作；
端口安全分为二层端口安全和三层端口安全，其中二层安全地址会占用安全地址表项以及安全地址限制数；
二层端口安全配置之下的报文处理流程：先检查报文源地址是否在安全地址表中，在则放行，不在则检查安全地址数是否达到最大限制，如果达到则丢弃报文，如果没达到则会将该地址学习到安全地址表中，并对报文进行转发；
三层端口安全配置之下的报文处理流程：三层安全地址表只要有一条匹配，则算匹配成功
二层和三层端口安全同时配置的情况下，当符合二层安全地址表项后，还需匹配三层安全地址绑定才算是合法报文