华为-防止MAC地址欺骗以及MAC泛红-静态MAC绑定与黑洞MAC

配置

华为-防止MAC地址欺骗以及MAC泛红-静态MAC绑定与黑洞MAC

拓扑

 

 华为-防止MAC地址欺骗以及MAC泛红-静态MAC绑定与黑洞MAC

命令

<Huawei>system-view 
#进入系统视图

[Huawei]sysname SW1
#重命名为SW1

[SW1]vlan 10
#创建vlan10

[SW1-vlan10]quit
#返回上一层

[SW1]port-group VLAN10-group
#创建端口组名字为VLAN10-group

[SW1-port-group-vlan10-group]group-member g0/0/1 to g0/0/5
#将g0/0/1到g0/0/5加入到组

[SW1-port-group-vlan10-group]port link-type access 
#将组里所有接口改为access

[SW1-port-group-vlan10-group]port default vlan 10
#将组里所有接口默认VLAN改为VLAN10

[SW1-port-group-vlan10-group]port-security enable
#将组里所有端口安全打开

[SW1-port-group-vlan10-group]port-security mac-address sticky 
#将组里所有MAC都设置为粘连(类似绑定)

#默认一个端口最大MAC数量为1,也可以用以下命令更改
[SW1-port-group-vlan10-group]port-security max-mac-num 10
#该为10个,这里就不做更改

[SW1-port-group-vlan10-group]quit
#返回上一层

[SW1]interface g0/0/1
#进入接口g0/0/1

[SW1-GigabitEthernet0/0/1]port-security protect-action protect
#设置为如果违反端口安全则丢包

[SW1-GigabitEthernet0/0/1]int g0/0/2
#进入接口g0/0/2

[SW1-GigabitEthernet0/0/2]port-security protect-action restrict 
#设置为如果违反端口安全则向交换机发送日志并丢包
#此设置为默认设置,所以不设置也是此条

[SW1-GigabitEthernet0/0/2]int g0/0/3
#进入接口g0/0/3

[SW1-GigabitEthernet0/0/3]port-security protect-action shutdown 
#设置为如果违反端口安全则向交换机发送日志,丢包并将端口shutdown
#需要管理员重新开启

[SW1-GigabitEthernet0/0/3]quit
#返回上一层

[SW1]mac-address static 5489-984E-0AAE GigabitEthernet 0/0/4 vlan 10 
#将MAC地址5489-984E-0AAE 与接口g0/0/4 Vlan10 绑定在一起
#绑定后MAC地址在此端口有新MAC表时类型会变为Secutiy


[SW1]interface g0/0/4
#进入接口g0/0/4

[SW1-GigabitEthernet0/0/4]mac-address learning disable action discard
#禁止端口学习MAC地址(模拟器不能模拟)

[SW1-GigabitEthernet0/0/4]quit
#返回上一层

[SW1]mac-address blackhole 5489-9887-03F8 vlan 10 
#将MAC地址5489-9887-03F8 vlan10 设置为黑洞MAC表(类型黑名单)

测试

华为-防止MAC地址欺骗以及MAC泛红-静态MAC绑定与黑洞MAC

 

 

#首先用PC 1 ping PC 2 3 4 5
#PC 5是不通的因为他是黑洞MAC
#下面我们来看一下交换机的MAC表

华为-防止MAC地址欺骗以及MAC泛红-静态MAC绑定与黑洞MAC

 

 

我们更改接口下的PC会出现什么呢

PC 1:
因为PC 1 设置的protect模式,所以如果他换PC也就是MAC变了
即无法通信,交换机不会有日志,接口也不会down

PC 2:
因为PC 2 设置的restrict模式,也就是默认模式,他如果换MAC了
即无法通信,交换机上会有日志,接口不会down

PC 3:
因为PC 3 设置的shutdown模式,所以如果他换MAC了
即无法通信,交换机上会有日志,接口也会down掉
需要管理员再次开启

PC 4:
因为PC 4 设置的静态MAC地址,并且设置了让交换机的g0/0/4端口
不自动学习MAC所以他MAC换掉应该也是无法通信的,但模拟器模拟不出来
所以模拟器上的结果的可以通信。没有设置不自动学习MAC就可以通信

PC 5:
因为PC 5 设置了一个黑洞MAC地址也就是PC 5的MAC所以
不管源MAC还是目标MAC只要有黑洞MAC的都无法通信

 

上一篇:端口安全简图


下一篇:目的是达到了,具体对不对咱也不知道啊,麻烦大神有时间指点一下