网络拓扑结构 一、分析: 1-组成:2台二层交换机,1台物理层的HUB,6台PC机 2-构成:在该拓扑中没有划分VLAN信息,所有PC机都在一个VLAN1信息中; 3-配置:规划IP地址,192.168.10.0/24 4-主题:是局域网安全的配置 (1)配置特权密码; (2)配置远程登录密码【①最安全的状态就是不连接外网;②不开启远程登录功能】; (3)存在的问题:就是内部网络的安全; (4)关闭不必要的端口; (5)物理设备的安全; (6)交换机端口的接入安全; 二、要求: 1-网络设备的基本配置——设备名; 2-每台网络设备的用户名和密码; 3-配置特权密码和远程登录密码【本地账号和密码进行登录】 4-配置设备的管理IP地址【一般情况下,在企业中都会存在一个专门用于管理的IP地址;在企业中也会有一个专门的网络管理服务器,负责对网络中的所有设备进行远程管理。】; 5-启用端口安全,配置端口的安全; 三、步骤: 1-配置网络设备的IP地址,子网掩码和网关; 说明:该网络中有存在网关么?【没有,因为我们的网络中没有三层的网络设备,所有可以先规划网关,先配置网关,但是在该网络中网关是没有任何作用的。】 【以PC0为例】 其它的PC机的配置,只是IP地址不同【在网络中不能存在两个完全一样的IP地址】,其他的子网掩码和网关都是不变的。 2-测验网络的连通性; 在没有划分VLAN的情况下【在同一个局域网范围内,所有PC机都能够相互访问】 3-网络设备的基本配置——设备名 说明:HUB属于非智能设备,是不能够对该设备进行配置的。 4-每台网络设备的用户名和密码 【①在网络的配置中,一般情况下,每台网络设备都有自己的设备名和密码,而且是不能够相同的;②在实际工作中,对于网络设备的配置要有相应的文档,在文档中必须要写明网络设备的具体配置和实训的功能;】 sw1(config)#username sw1 secret sw1 Sw2(config)#username sw2 secret sw2 【在实际工作中,设备名在规划的时候,要有一定的意义,要列表,说明每个字母的含义】 5-网络设备在企业中的命名规则 基本格式:公司简称+业务模块+位置+设备型号+编号 (1)公司简称:公司的首字母或特权的字母为主,必须能够代表公司的含义; (2)业务模块:例如分为Data、Voice;或者按部门划分,如IT(网络管理)、HR(人事部)等等。之所以要把"业务模块"放在第二位,主要是为方便网管系统按照业务模块汇总数据, (3)位置:广域网自然用城市缩写,局域网可以用楼层之类的。 (4)设备型号:路由器用R开头,交换机用S开头,如:R3845、S2950等等。 (5)编号:路由器可以用A、B……,交换机一般数量比较多可以用01、02、03…… (6)各模块之间可以用下划线或减号连接。 (7)举几个例子:PA_IDC_BJ_R7304_A;HW_IT_3F_S2950_0; 转载于:https://blog.51cto.com/baiyangwyp/128396 6-设置特权密码 sw1(config)#enable secret sw1 Sw2(config)#enable secret sw2 【secret】是加密的秘钥,加密后的密码在网络设备中的显示为【enable secret 5$1$mERr$PhR2dVbINCAD0O1hhjwx0. 7-设置远程登录密码 Sw1(config)#lin vty 0 4 Sw1(config-line)#login local //使用本地用户名和密码作为远程登录的方式 Sw2(config)#lin vty 0 4 Sw2(config-line)#login local //使用本地用户名和密码作为远程登录的方式 8-启动网络设备自带的加密命令 说明:在思科的网络设备中,系统自带了一个加密的口令,为未加密的信息进行加密; sw1(config)#service password-encryption Sw2(config)#service password-encryption 9-配置设备的管理IP地址 说明:在该网络中,我们没有规划专门的网络管理IP地址,所有使用网络设备的统一地址作为管理网段; sw1(config)#int vlan 1 sw1(config-if)#ip add 192.168.10.200 255.255.255.0 sw1(config-if)#no shut Sw2(config)#int vlan 1 Sw2(config-if)#ip add 192.168.10.201 255.255.255.0 Sw2(config-if)#no shut 10-关闭不必要的端口 sw1(config)#int range f0/4-24,g0/1-2 sw1(config-if-range)#shutdown Sw2(config)#int range f0/5-24,g0/1-2 Sw2(config-if-range)#shutdown 11-测试:网络管理的可用性 12-端口安全的原理 (1)默认情况下:端口安全的功能是关闭的; sw1(config-if)#switchport port-security ? aging Port-security agingcommands mac-address Secure macaddress //MAC地址,即要将哪个终端设备的MAC地址绑定在该接口上; maximum Max secureaddresses //规定该接口能够连接终端设备的最大数。 violation Securityviolation mode //规则:当该接口的设置超出或不符合设备的配置时,该设备采取的操作。 参数说明 参数 描述 port-security 接口安全开关,在配置好前期的设置后,在开启。 violation protect 发现违例,则丢弃违例的报文。 violation restrict 发现违例,则丢弃违例的报文并且发送trap。【一般用于实际工作】 violation shutdown 发现违例,则丢弃报文、发送Trap并且关闭接口。【一般用于测验】 缺省配置 接口的安全缺省是关闭的。 命令模式 接口配置模式 使用指导 利用端口安全这个特性,可以通过限制允许访问设备上某个接口的MAC地址以及IP(可选)来实现严格控制对该接口的输入。 当为安全端口(打开了端口安全功能的端口)配置了一些安全地址后,则除了源地址为这些安全地址的包外,这个端口将不转发其它任何报。 此外,还可以限制一个端口上能包含的安全地址最大个数,如果将最大个数设置为1并且为该端口配置一个安全地址,则连接到这个口的工作站(其地址为配置的安全M地址)将独享该端口的全部带宽。 配置举例 下面的例子是在接口Gigabitethernet 1/1 上打开端口安全功能,并设置违例处理为shutdown: Ruijie(config)# interface gigabitethernet1/1 Ruijie(config-if)# switchport port-security Ruijie(config-if)# switchport port-security violation shutdown (2)switchportport-security aging 该命令为一个接口上的所有安全地址配置老化时间。打开这个功能,就需要设置安全地址的最大个数,这样,就可以让设备自动的增加和删除接口上的安全地址。使用该命令的no选项设置老化时间只应用于自动学习的地址,或者关闭老化功能。 switchport port-security aging {static | time time } no switchport port-security aging {static | time} 参数说明 参数 描述 Static 表示老化时间将同时应用于手工配置的安全地址和自动学习的地址,否则只应用于自动学习的地址。 time time 表示这个端口上安全地址的老化时间,范围是0-1440,单位是分钟。如果设置为0,则老化功能实际上被关闭。 缺省配置 不老化任何安全地址 命令模式 接口配置模式 使用指导 可以在接口配置模式下使用命令no switchport port-security aging time关闭一个接口的安全地址老化功能,使用命令no switchport port-security aging static来是老化时间仅应用于动态学习到的安全地址。 使用show port-security命令查看设置。 配置举例 Ruijie(config)# interface gigabitethernet1/1 Ruijie(config-if)# switchport port-security aging time8 Ruijie(config-if)# switchport port-security aging static 相关命令 命令 描述 show port-security 显示端口安全的设置信息和安全地址。 (3)switchportport-security maximum 设置端口最大安全地址个数,使用no选项可恢复缺省个数: switchport port-security maximum value [no] switchport port-security maximum 参数说明 参数 描述 value 安全地址个数1-128 缺省配置128:命令模式 接口模式 使用指导 安全地址个数包含静态配置和动态学习的安全地址个数的总和,缺省为128个,如果设置的安全地址个数小于当前已有的安全地址个数,将提示设置失败。 即:当该接口设置了最大安全地址个数之后,该接口连接的MAC地址数是有限的,不能超过设置的数量。 配置举例 例1:设置口10的端口安全地址个数为2: Ruijie(config)#interg0/10 Ruijie(config-if)# switchport port-security maximum 2 (4)switchportport-security mac-address 接口模式下手工配置静态安全地址,使用no选项删除配置的地址: [no] switchport port-security mac-addressmac-address[vlan vlan-id] 参数说明 参数 描述 mac-address 静态安全地址【指的是终端网络设备的MAC地址】 vlan-id MAC地址的VID 注意:仅在TRUNK口下才支持设置vlan-id的设置 缺省配置 无 命令模式 接口模式 配置举例 例1:设置TRUNK接口10的静态安全地址00d0.f800.5555 VID=2: Ruijie(config)#inter g0/10 Ruijie(config-if)# switchport port-security mac-address 00d0.f800.5555 vlan2 (5)show port-security 显示端口安全的设置信息和安全地址。 show port-security [address] [interfaceinterface-id][all] 参数说明 参数 描述 address 显示所有的安全地址,或者是指定接口的所有安全地址。 interfaceinterface-id 显示指定接口的端口安全设置信息。 all 显示所有接口的端口安全设置信息。 命令模式 特权模式 使用指导 如果使用该命令时不加参数,则显示所有接口的安全设置状态、违例处理等信息,同时显示所有安全地址表的信息。 配置举例 Ruijie# show port-security Secure Port MaxSecureAddr(count) CurrentAddr(count) Security Action -------- -------------- ----------- ----------- Gi1/1 128 1 Restrict Gi1/2 128 0 Restrict Gi1/3 8 1 Protect (6)switchportprotected 该命令是将接口设为保护接口。使用该命令的no选项关闭保护接口。 switchport protected no switchport protected 缺省配置 缺省关闭保护接口 命令模式 接口配置模式 使用指导 当将某些端口设为保护口之后,缺省情况下保护口和保护口之间不能进行二层交换可以进行3层路由,保护口与非保护口之间可以正常通讯。使用show interfaces switchport命令查看设置。 配置举例 Ruijie(config)# interface gigabitethernet 1/1 Ruijie(config-if)# switchport protected 相关命令 show intrfaces switchport 查看接口设置和统计信息。 13-配置静态端口安全 (1)查看PC0机的MAC地址 (2)配置端口安全 sw1(config)#int f0/2 //进入接口 sw1(config-if)#switchport port-security maximum 1 //设置端口的最大连接数是1 sw1(config-if)#switchport port-security mac-address0090.0C3A.959E //绑定允许通过该端口的终端网络设备 sw1(config-if)#switchport port-security violationshutdown //规划当该设备的接口不满足配置要求时,采取的措施;关闭并发送标识; sw1(config-if)#switchport port-security //启动端口安全 注意:当在配置网络端口安全时,提示如下信息,如何解决 sw1(config-if)#switchport port-security Command rejected: FastEthernet0/2 is a dynamic port. 提示:该接口是一个动态接口,不能配置用于配置端口安全; 解决办法:将该接口的工作模式设置成【access】模式 sw1(config-if)#switchport mode access (3)查看端口安全的配置 sw1#show running-config (4)查看端口安全的信息 (5)查看端口安全的地址 (6)验证端口安全 现象:PC0无法PING通PC1,且F0/2接口出现了关闭的现象; 原因:F0/2端口启动了端口安全的功能,且该端口允许通过的最大地址数是1,但是在该接口上目前存在两个MAC地址,一个是PC0的MAC地址,另一个是接口F0/2本身的地址; 解决:将接口的最大连接数设置为【2】 第一步:利用命令关闭该接口 sw1(config)#int f0/2 sw1(config-if)#shutdown 第二步:利用命令打开该接口 sw1(config)#int f0/2 sw1(config-if)#no shutdown 第三步:改变该接口的最大连接数 sw1(config)#int f0/2 sw1(config-if)#switchport port-security maximum 2 第四步:测试端口安全情况 C:>PING 192.168.10.2 Reply from 192.168.10.2: bytes=32 time=1ms TTL=128 Reply from 192.168.10.2: bytes=32 time<1ms TTL=128 Reply from 192.168.10.2: bytes=32 time=1ms TTL=128 Reply from 192.168.10.2: bytes=32 time<1ms TTL=128 第五步:查看端口安全信息 说明: 【0090.0C3A.959E】是设备PC0的MAC地址; 【0006.2AAB.2394】是设备SW1的接口F0/2的地址; 14-配置动态端口安全 (1)配置端口安全 sw1(config)#int f0/3 sw1(config-if)#switchport mode access //设置接口的工作模式 sw1(config-if)#switchport port-security maximum 2//配置接口最大的连接数 sw1(config-if)#switchport port-security violationshutdown //设置接口错误的处理方法 sw1(config-if)#switchport port-security //启动端口安全 (2)查看端口安全的配置情况 sw1#show running-config ...... interface FastEthernet0/3 switchport mode access switchport port-security switchport port-security maximum 2 ..... (3)测验网络安全配置 C:>ping 192.168.10.3 Reply from 192.168.10.3: bytes=32 time=2ms TTL=128 Reply from 192.168.10.3: bytes=32 time=1ms TTL=128 Reply from 192.168.10.3: bytes=32 time<1ms TTL=128 Reply from 192.168.10.3: bytes=32 time=1ms TTL=128 (4)查看网络安全信息 (5)查看动态端口安全 (6)查看端口的安全配置情况 15、思考题 在拓扑图中,交换机SW2的F0/4接口上,应该配置的最小连接数是多少,才能够满足设置的要求?