【RSR】RSR如何配置端口安全

发布时间：2013-09-11

点击量：2992

功能介绍

端口安全功能通过报文的源MAC地址来限定报文是否可以进入交换机的端口，可以通过静态设置特定的MAC地址或者动态学习限定个数的MAC地址来控制报文是否可以进入端口。使能端口安全功能的端口称为安全端口。

某端口开启端口安全功能后，只有源MAC地址为端口安全地址表中配置或者学习到的MAC地址的报文才可以进入交换机通信，其它报文将被丢弃。您还可以设定端口安全地址绑定IP+MAC，或者仅绑定IP，用来限制必须符合绑定的以端口安全地址为源MAC地址的报文才能进入交换机通信。

注意：仅RSR10-02E、RSR20-04E、RSR20-14E/F 10.4（3b12）及以上版本支持端口安全功能。RSR10-02/01G、RSR20-04/14/18/24系列不支持该功能。

应用场景

企业对网络的安全性要求比较高，只允许特定MAC地址（IP地址可以任意配置）的电脑接入网络上网，那么可以在路由器上启用端口安全功能。

一、组网需求：

要求PC1（IP: 192.168.1.1，MAC: 0021.CCCF.6F70）只能接在F1/0交换端口，并且做IP+MAC地址绑定，其他电脑接入该端口将不能通信；

要求F1/1端口只能接入MAC地址为aaaa.aaaa.aaaa，IP地址不受限制的PC，其他MAC地址的PC都不能从该端口接入。

二、组网拓扑：

三、配置要点：

1、在路由器上创建用户网关的地址

2、配置F1/0端口上的端口安全参数

3、配置F1/1端口上的端口安全参数

注意：10.4（3b12）、10.4（3b12）p1版本的" switchport port-security maximum“功能对于ip+mac绑定条目中的MAC数不计入maximum中。比如在配置了1条静态IP+MAC绑定和maximum 1的情况下，该端口仍然可以再学习到1个动态的mac。如果要实现端口下只能接入1个固定IP+MAC绑定的用户，可以通过全局的IP+MAC绑定和端口下的MAC绑定+maximum来实现：

address-bind x.x.x.x H.H.H

interface fastethernet 0/0

switchport port-security mac-address H.H.H

switchport port-security maximum 1

switchport port-security

10.4（3b12）p1之后的版本无此限制。

四、配置步骤

1、在路由器上创建用户网关的地址

Ruijie(config)#interface vlan 1

Ruijie(config-if-VLAN 1)#ip address 192.168.1.254 255.255.255.0

2、配置F1/0端口上的端口安全参数

Ruijie(config)#interface fastEthernet 1/0

Ruijie(config-if-FastEthernet 1/0)#switchport port-security binding 0021.CCCF.6F70 vlan 1 192.168.1.1 //把属于vlan1 ，且mac地址是0021.CCCF.6F70 ，ip地址192.168.1.1的PC绑定在F1/0接口上

Ruijie(config-if-FastEthernet 1/0)#switchport port-security maximum 1 //指定该端口下只能学习1个MAC条目

Ruijie(config-if-FastEthernet 1/0)#switchport port-security //开启该端口的端口安全功能

3、配置F1/1端口上的端口安全参数

Ruijie(config)#interfac fastEthernet 1/1

Ruijie(config-if-FastEthernet 1/1)#switchport port-security mac-address aaaa.aaaa.aaaa //把mac地址是aaaa.aaaa.aaaa的终端定在F1/1接口上

Ruijie(config-if-FastEthernet 1/0)#switchport port-security maximum 1 //指定该端口下只能学习1个MAC条目

Ruijie(config-if-FastEthernet 0/2)#switchport port-security //开启端口安全功能

五、配置验证

在路由器上通过show port-security address命令可以看到已经绑定生效的地址表项

六、附录

1、路由器端口安全分为IP+MAC绑定和仅MAC绑定

通过如下命令来实现：

Ruijie(config-if-FastEthernet 0/1)#switchport port-security binding ?

A.B.C.D IP address

H.H.H 48-bit hardware address

例如绑定IP+MAC，可以使用如下命令：

Ruijie(config-if-FastEthernet 0/1)#switchport port-security binding 0021.CCCF.6F70 vlan 1 192.168.1.1

如果仅做MAC绑定，那么需要使用如下命令来实现：

Ruijie(config-if-FastEthernet 0/1)#switchport port-security mac-address 0021.CCCF.6F70

2、如果设置了IP+MAC绑定或仅IP绑定，交换机还是会动态学习下联用户的MAC地址

例如交换机端口上做了如下命令绑定：

Ruijie(config-if-FastEthernet 0/1)#switchport port-security binding 1414.4b19.ecc1 vlan 1 192.168.1.1

Ruijie(config-if-FastEthernet 0/1)#switchport port-security

此时，查看配置如下：

Ruijie#show port-security address

Vlan Mac Address IP Address Type Port Remaining Age (mins)

---- --------------- ---------------------------------------- ---------- -------- -------------

1 1414.4b19.ecc1 192.168.1.1 Configured Fa0/1 -

当用户接入后，交换机依然还会动态学习用户的MAC

Ruijie#show port-security address

Vlan Mac Address IP Address Type Port Remaining Age (mins)

---- --------------- ---------------------------------------- ---------- -------- -------------

1 1414.4b19.ecc1 Dynamic Fa0/1 -

1 1414.4b19.ecc1 192.168.1.1 Configured Fa0/1 -

如果要让IP+MAC绑定或仅MAC绑定的的用户生效，必须要先要让端口安全学习到用户的MAC地址。例如做如下设置，那么192.168.1.2的用户就无法上网：

interface GigabitEthernet 0/1

switchport port-security mac-address 1414.4b19.0000 vlan 1

switchport port-security binding 1414.4b19.ecc1 vlan 1 192.168.1.2

switchport port-security maximum 1

switchport port-security

原因是MAC地址最大允许数是1，而且已经绑定了一个1414.4b19.0000 的地址，所以端口安全不能再学习MAC地址了，而端口安全IP+MAC（或IP）绑定生效必须要先学习到端口安全MAC地址，所以192.168.1.2的用户无法被放通。如果要让该用户上网，可以通过多绑定该用户的MAC来实现：

interface GigabitEthernet 0/1

switchport port-security mac-address 1414.4b19.ecc1 vlan 1

switchport port-security mac-address 1414.4b19.0000 vlan 1

switchport port-security binding 1414.4b19.ecc1 vlan 1 192.168.1.2

switchport port-security maximum 2

switchport port-security

总结：如果配置了MAC或IP+MAC绑定，那么也要同时满足端口安全MAC绑定的条件。

3、如果某些端口设置了端口安全（端口MAC绑定），但是某些端口没有设置端口安全，例如1口设置了端口安全绑定的用户为PC1，其余端口没有设置端口安全。那么PC1插到1号口可以上网，但是插到其他端口是不能上网的

4、交换机如果某些端口设置了端口安全（端口IP+MAC或IP绑定），但是某些端口没有设置端口安全，例如1口设置了端口安全绑定的用户为PC1，其余端口没有设置端口安全。那么PC1插到1号口可以上网，插到其他端口也可以上网，也就是说端口安全MAC地址绑定才是决定用户放通的关键因素。

RG-MF2920系列，2口千兆电，千兆上行，一机双网

RG-S5310-E系列，24口千兆电，万兆上行，接入层

RG-S5310-E系列，24口千兆光，万兆上行，接入层

RG-S5310-E系列，48口千兆电，万兆上行，接入层

RG-S5310-E系列，48口千兆光，万兆上行，接入层

RG-S5310-E系列新一代千兆交换机

RG-S5310-E系列，PoE+，48口千兆电，万兆上行，接入层

RG-S7800C系列融合核心交换机

RG-S7800C-X系列新一代融合核心交换机

RG-N18006-X，6槽机箱，核心层，零背板

RG-S6120系列，24口万兆光，25G上行，汇聚层

RG-S6120系列，48口万兆光，100G上行，汇聚层

RG-S6120系列融合万兆交换机

RG-EG3250新一代多业务安全网关

RG-EG3230新一代多业务安全网关

RG-EG3220新一代多业务安全网关

RG-EG3210 V2新一代多业务安全网关

RG-EG3210新一代多业务安全网关

RG-AP820-L(V3)双射频Wi-Fi 6无线AP

RG-WS7005-A多业务无线AC

RG-ESS 1000易安全系统

RG-AP850-AR(V2)四射频Wi-Fi 6无线AP

RG-AP180-L双射频Wi-Fi 6无线AP

RG-AP880(TR)三射频Wi-Fi 6无线AP

RG-WS7208-A多业务无线AC

RG-AP880-I双射频Wi-Fi 6无线AP

RG-WS7880高性能无线AC

RG-EG2100-P V2全能PoE网关

RG-N18000-X系列

RG-N18010-X，10槽机箱，核心层，零背板

RG-EG3000XE新一代高性能综合网关

RG-EG3000UE新一代高性能综合网关

RG-WS6816高性能无线AC

RG-WS6108高性能无线AC

RG-EG3000GE新一代高性能综合网关

RG-EG3000ME新一代高性能综合网关

RG-EG3000SE新一代高性能综合网关

RG-EG3000CE新一代高性能综合网关

RG-EG2000F

RG-S2900G-E V3系列千兆交换机

RG-S2952G-E V3，48口千兆电，千兆上行，接入层

RG-SMP安全管理平台

RG-SMP+安全管理平台

您可能还关注的问题

【RSR】RSR如何配置端口安全

RG-MF2920系列，2口千兆电，千兆上行，一机双网

RG-S5310-E系列，24口千兆电，万兆上行，接入层

RG-S5310-E系列，24口千兆光，万兆上行，接入层

RG-S5310-E系列，48口千兆电，万兆上行，接入层

RG-S5310-E系列，48口千兆光，万兆上行，接入层

RG-S5310-E系列新一代千兆交换机

RG-S5310-E系列，PoE+，48口千兆电，万兆上行，接入层

RG-S7800C系列融合核心交换机

RG-S7800C-X系列新一代融合核心交换机

RG-N18006-X，6槽机箱，核心层，零背板

RG-S6120系列，24口万兆光，25G上行，汇聚层

RG-S6120系列，48口万兆光，100G上行，汇聚层

RG-S6120系列融合万兆交换机

RG-EG3250新一代多业务安全网关

RG-EG3230新一代多业务安全网关

RG-EG3220新一代多业务安全网关

RG-EG3210 V2新一代多业务安全网关

RG-EG3210新一代多业务安全网关

RG-AP820-L(V3)双射频Wi-Fi 6无线AP

RG-WS7005-A多业务无线AC

RG-ESS 1000易安全系统

RG-AP850-AR(V2)四射频Wi-Fi 6无线AP

RG-AP180-L双射频Wi-Fi 6无线AP

RG-AP880(TR)三射频Wi-Fi 6无线AP

RG-WS7208-A多业务无线AC

RG-AP880-I双射频Wi-Fi 6无线AP

RG-WS7880高性能无线AC

RG-EG2100-P V2全能PoE网关

RG-N18000-X系列

RG-N18010-X，10槽机箱，核心层，零背板

RG-EG3000XE新一代高性能综合网关

RG-EG3000UE新一代高性能综合网关

RG-WS6816高性能无线AC

RG-WS6108高性能无线AC

RG-EG3000GE新一代高性能综合网关

RG-EG3000ME新一代高性能综合网关

RG-EG3000SE新一代高性能综合网关

RG-EG3000CE新一代高性能综合网关

RG-EG2000F

RG-S2900G-E V3系列千兆交换机

RG-S2952G-E V3，48口千兆电，千兆上行，接入层

RG-SMP安全管理平台

RG-SMP+安全管理平台

•智慧场馆包括哪些内容？技术的运用推动着智慧场馆的发展

•【RSR】路由器如何通过TFTP离线导入PFX格式的数字证书

•【路由器】路由器广域网链路异常，即CPOS链路两端业务通信异常

•【交换机】交换机如何配置ssh管理

•【交换机】交换机如何修改接口速率和双工

•【交换机】交换机如何配置dot1x认证

•【交换】交换机如何配置不同的vlan之间互相访问

•【交换机】交换机RLDP（环路检测&链路检测）功能介绍及配置说明

•【RSR】RSR如何添加浮动静态路由

•【NBR】NBR如何通过命令行方式配置DDNS功能，实现外网主机可以通过域名管理路由器

请选择服务项目