教案二层交换机端口与MAC地址的绑定.docx
《教案二层交换机端口与MAC地址的绑定.docx》由会员分享，可在线阅读，更多相关《教案二层交换机端口与MAC地址的绑定.docx（15页珍藏版）》请在冰豆网上搜索。
教案二层交换机端口与MAC地址的绑定
教案
课程名称网络设备授课年级高一学校电子职校教师姓名李萱
章节名称
二层交换机上的端口与MAC绑定
计划学时
2课时
教学目标
1、了解什么是交换机的MAC绑定功能；
2、熟练掌握MAC与端口绑定的静态、动态方式。
设计思路
通过模拟构建的工作场景，使学生能够以工作过程的形式进行学习。
教学环节
教学内容、所用时间、教师活动、学生活动
引入新课
在日常工作中，经常会发生用户随意插拔交换机上的网线，给网管员在网络管理上带来一定的不便。
同时也会出现在一个交换机端口下连接另一个Hub或交换机，导致网络线路的拥堵。
当网络中某机器由于中毒进而引发大量的广播数据包在网络中洪泛时，网络管理员的唯一想法就是尽快地找到根源主机并把它从网络中暂时隔离开。
当网络的布置很随意时，任何用户只要插上网线，在任何位置都能够上网，这虽然使正常情况下的大多数用户很满意，但一旦发生网络故障，网管人员却很难快速准确定位根源主机。
希望通过一定的方法，固定每台计算机连接的交换机端口，方便网管员日常的维护与更新。
新课教学
通过端口绑定特性，网络管理员可以将用户的MAC地址和IP地址绑定到指定的端口上。
进行绑定操作后，交换机只对从该端口收到的指定MAC地址和IP地址的用户发出的报文进行转发，提高了系统的安全性，增强了对网络安全的监控。
我们通常说的MAC地址与交换机端口绑定其实就是交换机端口安全功能。
端口安全功能能让您配置一个端口只允许一台或者几台确定的设备访问那个交换机；能根据MAC地址确定允许访问的设备；允许访问的设备的MAC地址既可以手工配置，也可以从交换机“学到”；当一个未批准的MAC地址试图访问端口的时候，交换机会挂起或者禁用该端口等等。
【实验一】二层交换机端口静态绑定MAC地址
1.1实验设备
1、2950-24交换机1台
2、PC机2台
3、交叉线1根
4、直通网线2根
1.2组网图
1.3实验设备IP地址及要求
设备名
IP地址
子网掩码
VLAN1
192.168.1.11
255.255.255.0
PC1
192.168.1.1
255.255.255.0
PC2
192.168.1.2
255.255.255.0
PC1连接F0/1端口，并且在F0/1上将PC1的MAC地址绑定，PC1能PING通交换机。
PC2连接F0/2端口，并且在F0/2上将PC2的MAC地址绑定，PC2能PING通交换机。
若将PC1更换到F0/2上，则不能PING通交换机。
同理PC2更换到F0/1上，也不能PING通交换机。
1.4配置过程和解释
PC机上的IP地址请自行设置完成。
第一步：
得到PC1主机的mac地址
PC>ipconfig/all
PhysicalAddress................:
00E0.A323.5CE1
IPAddress......................:
192.168.1.1
SubnetMask.....................:
255.255.255.0
DefaultGateway.................:
0.0.0.0
DNSServers.....................:
0.0.0.0
我们得到了PC1主机的mac地址为：
00E0.A323.5CE1
第二步：
配置交换机的IP地址
Switch（config）#intvlan1
Switch（config-if）#ipadd192.168.1.11255.255.255.0
Switch（config-if）#noshutdown
Switch（config-if）#exit
第三步：
使能F0/1端口的MAC地址绑定功能
Switch（Config）#interfaceF0/1
Switch（config-if）#switchportmodeaccess
将端口模式设置为access模式
Switch（config-if）#switchportport-security
命令：
switchportport-security
noswitchportport-security
功能：
使能端口MAC地址绑定功能；本命令的no操作为关闭端口MAC地址绑定功能。
命令模式：
端口配置模式
缺省情况：
交换机端口不打开MAC地址绑定功能。
使用指南：
MAC地址绑定功能与802.1x、SpanningTree、端口汇聚功能存在互斥关系，因此如果要打开端口的MAC地址绑定功能，就必须关闭端口上的802.1x、SpanningTree、端口汇聚功能，且打开MAC地址绑定功能的端口不能是Trunk口。
Switch（config-if）#
第四步：
添加端口静态安全MAC地址，缺省端口最大安全MAC地址数为1Switch（config-if）#switchportport-securitymac-address00E0.A323.5CE1
命令：
switchportport-securitymac-address
noswitchportport-securitymac-address
功能：
添加静态安全MAC地址；本命令的no操作为删除静态安全MAC地址。
命令模式：
端口配置模式参数：
为添加/删除的MAC地址。
使用指南：
端口必须使能MAC地址绑定功能之后才能添加端口静态安全MAC地址。
第五步：
配置违反MAC安全采取的措施
Switch（config-if）#switchportport-securityviolationrestrict
命令：
switchportport-securityviolation{protect|restrict|shutdown}
noswitchportport-securityviolation
功能:
当超过设定MAC地址数量的最大值，或访问该端口的设备MAC地址不是这个MAC地址表中该端口的MAC地址，或同一个VLAN中一个MAC地址被配置在几个端口上时，就会引发违反MAC地址安全。
命令模式：
端口配置模式
参数：
protect（保护模式）：
丢弃数据包，不发警告。
restrict（限制模式）：
丢弃数据包，发警告，发出SNMPtrap，同时被记录在syslog日志里。
shutdown（关闭模式）：
这是交换机默认模式，在这种情况下端口立即变为err-disable状态，并且关掉端口灯，发出SNMPtrap，同时被记录在syslog日志里，除非管理员手工激活，否则该端口失效。
查看配置：
Switch#showport-securityaddress
命令：
showport-securityaddress[interface]
功能：
显示端口安全MAC地址。
命令模式：
特权配置模式
参数：
指定的显示端口。
使用指南：
本命令显示端口安全MAC地址信息，如果不指定端口则显示所有端口安全MAC地址。
显
SecureMacAddressTable
-----------------------------------------------------------------
VlanMacAddressTypePortsRemainingge（mins）
-------------------------------------
100E0.A323.5CE1DynamicConfiguredFastEthernet0/1
------------------------------------------------------------------
验证配置：
PC1连接在F0/1上，使能F0/1端口
Switch（config）#intf0/1
Switch（config-if）#shutdown
Switch（config-if）#noshutdown
PC1与交换机的PING命令测试结果
PC>ping192.168.1.11
Pinging192.168.1.11with32bytesofdata:
Replyfrom192.168.1.11:
bytes=32time=31msTTL=255
Replyfrom192.168.1.11:
bytes=32time=31msTTL=255
Replyfrom192.168.1.11:
bytes=32time=31msTTL=255
Replyfrom192.168.1.11:
bytes=32time=31msTTL=255
Pingstatisticsfor192.168.1.11:
Packets:
Sent=4,Received=4,Lost=0（0%loss）,
Approximateroundtriptimesinmilli-seconds:
Minimum=31ms,Maximum=31ms,Average=31ms
第六步：
将PC2的MAC地址绑定在F0/2端口上
配置命令与F0/1端口绑定PC1的MAC地址相同
PC1连接在F0/2上，使能F0/2端口
Switch（config）#intf0/2
Switch（config-if）#shutdown
Switch（config-if）#noshutdown
PC>ping192.168.1.11
Pinging192.168.1.11with32bytesofdata:
Requesttimedout.
Requesttimedout.
Requesttimedout.
Replyfrom192.168.1.11:
bytes=32time=32msTTL=255
Pingstatisticsfor192.168.1.11:
Packets:
Sent=4,Received=1,Lost=3（75%loss）,
Approximateroundtriptimesinmilli-seconds:
Minimum=32ms,Maximum=32ms,Average=32ms
1.5完整的配置文档
Switch#shorun
Buildingconfiguration...
…………
!
interfaceFastEthernet0/1
switchportmodeaccess
switchportport-security
switchportport-securitymac-address00E0.A323.5CE1
!
interfaceFastEthernet0/2
switchportmodeaccess
switchportport-security
switchportport-securitymac-address00D0.FFA4.BEB3
!
interfaceFastEthernet0/3
!
…………
interfaceFastEthernet0/24
!
interfaceVlan1
ipaddress192.168.1.11255.255.255.0
!
End
1.6实验验证
PC
连接的端口
PING
结果
原因
PC1
F0/1
192.168.1.11
PC1
F0/2
192.168.1.11
PC2
F0/1
192.168.1.11
PC2
F0/2
192.168.1.11
【实验二】在一个端口上静态绑定多个MAC地址
2.1实验设备
1、2950-24交换机1台
2、PC机4台
3、交叉线1根
4、直通网线4根
2.2组网图
2.3实验设备IP地址及要求
设备名
IP地址
子网掩码
VLAN1
192.168.1.11
255.255.255.0
PC1
192.168.1.1
255.255.255.0
PC2
192.168.1.2
255.255.255.0
PC3
192.168.1.3
255.255.255.0
PC4
192.168.1.4
255.255.255.0
将PC1、PC2、PC3的MAC地址都绑定在F0/1端口上，并且分别将三台计算机连接在F0/1端口上都能PING通交换机，但更换为PC4后则不能PING通交换机。
2.4配置过程和解释
第一步：
得到PC1主机的mac地址
PC>ipconfig/all
第二步：
配置交换机的IP地址
Switch（config）#intvlan1
Switch（config-if）#ipadd192.168.1.11255.255.255.0
Switch（config-if）#noshutdown
Switch（config-if）#exit
第三步：
使能F0/1端口的MAC地址绑定功能
Switch（Config）#interfaceF0/1
Switch（config-if）#switchportmodeaccess
Switch（config-if）#switchportport-security
第四步：
添加端口静态安全MAC地址，端口最大安全MAC地址数为3
Switch（config-if）#switchportport-securitymaximum3
命令：
switchportport-securitymaximum
noswitchportport-securitymaximum
功能：
设置端口最大安全MAC地址数；本命令的no操作为恢复最大安全地址数为1。
命令模式：
端口配置模式
参数：
端口静态安全MAC地址上限，取值范围1~132。
缺省情况：
端口最大安全MAC地址数为1。
使用指南：
端口必须使能MAC地址绑定功能之后才能设置端口安全MAC地址上限。
如果端口静态安全MAC地址数大于设置的最大安全MAC地址数，则设置失败；必须删除端口的静态安全MAC地址，直到端口静态安全MAC地址数不大于设置的最大安全MAC地址数，设置才会成功。
Switch（config-if）#switchportport-securitymac-addressaaaa.aaaa.aaaa
Switch（config-if）#switchportport-securitymac-addressaaaa.aaaa.bbbb
Switch（config-if）#switchportport-securitymac-addressaaaa.aaaa.cccc
当添加第四个MAC地址时，会显示如下信息：
Totalsecuremac-addressesoninterfaceFastEthernet0/1hasreachedmaximumlimit.
第五步：
配置违反MAC安全采取的措施
Switch（config-if）#switchportport-securityviolationrestrict
查看配置：
Switch#showport-securityaddress
SecureMacAddressTable
-------------------------------------------------------------
VlanMacAddressTypePortsRemainingAge（mins）
---------------------------------
1AAAA.AAAA.AAAASecureConfiguredFastEthernet0/1-
1AAAA.AAAA.BBBBSecureConfiguredFastEthernet0/1-
1AAAA.AAAA.CCCCSecureConfiguredFastEthernet0/1-
-----------------------------------------------------------
TotalAddressesinSystem（excludingonemacperport）:
3
MaxAddresseslimitinSystem（excludingonemacperport）:
1024
2.5完整的配置文档
Switch#shorun
Buildingconfiguration...
…………
!
interfaceFastEthernet0/1
switchportmodeaccess
switchportport-security
switchportport-securitymaximum3
switchportport-securitymac-addressAAAA.AAAA.AAAA
switchportport-securitymac-addressAAAA.AAAA.BBBB
switchportport-securitymac-addressAAAA.AAAA.CCCC
!
interfaceFastEthernet0/2
!
…………
interfaceFastEthernet0/24
!
interfaceVlan1
ipaddress192.168.1.11255.255.255.0
!
End
2.6实验验证
PC
连接的端口
PING
结果
原因
PC1
F0/1
192.168.1.11
PC2
F0/1
192.168.1.11
PC3
F0/1
192.168.1.11
PC4
F0/1
192.168.1.11
【实验三】二层交换机端口动态绑定MAC地址
3.1实验设备
1、2950-24交换机1台
2、PC机4台
3、交叉线1根
4、直通网线4根
3.2组网图
3.3实验设备IP地址及要求
设备名
IP地址
子网掩码
VLAN1
192.168.1.11
255.255.255.0
PC1
192.168.1.1
255.255.255.0
PC2
192.168.1.2
255.255.255.0
PC3
192.168.1.3
255.255.255.0
PC4
192.168.1.4
255.255.255.0
在F0/1端口使用动态绑定功能，使端口能动态学习3个MAC地址，当学习数超过设定学习的最大值，端口将停止学习。
3.4配置过程和解释
第一步：
得到PC1主机的mac地址
PC>ipconfig/all
第二步：
配置交换机的IP地址
Switch（config）#intvlan1
Switch（config-if）#ipadd192.168.1.11255.255.255.0
Switch（config-if）#noshutdown
Switch（config-if）#exit
第三步：
使能F0/1端口的MAC地址绑定功能
Switch（Config）#interfaceF0/1
Switch（config-if）#switchportmodeaccess
Switch（config-if）#switchportport-security
第四步：
动态添加端口安全MAC地址，端口最大安全MAC地址数为3
Switch（config-if）#switchportport-securitymaximum3
Switch（config-if）#switchportport-securitymac-addresssticky
命令：
switchportport-securitymac-addresssticky
noswitchportport-securitymac-addresssticky
功能：
设置端口动态学习MAC地址功能
命令模式：
端口配置模式
3.5完整的配置文档
Switch#shorun
Buildingconfiguration...
Currentconfiguration:
1259bytes
……
!
interfaceFastEthernet0/1
switchportmodeaccess
switchportport-security
switchportport-securitymaximum2
switchportport-securitymac-addresssticky
switchportport-securityviolationrestrict
switchportport-securitymac-addressstickyAAAA.AAAA.AAAA
switchportport-securitymac-addressstickyAAAA.AAAA.BBBB
switchportport-securitymac-addressstickyAAAA.AAAA.CCCC
!
interfaceFastEthernet0/2
…………
interfaceFastEthernet0/24
!
interfaceVlan1
ipaddress192.168.1.11255.255.255.0
!
End
3.6实验验证
PC
连接的端口
PING
结果
原因
PC1
F0/1
192.168.1.11
PC2
F0/1
192.168.1.11
PC3
F0/1
192.168.1.11
PC4
F0/1
192.168.1.11
课堂小结
本次课主要是学习了计算机的MAC地址与交换机上的端口的相对关系，通过将MAC地址绑定在端口上，可以达到简单的安全防护。
课后作业
课内完成
教学反思
学生对MAC地址的作用还能是能够比较好的理解，通过对端口与MAC的对应关系可以达到对计算机在网络中通讯的控制，这个是比较好应用的一个措施。
学生还能够感兴趣。
升级会员 