)
Настройка Port Security на коммутаторе QSW-3310/3300/3750-28TX
Функция Port Security представляет собой привязку безопасных MAC-адресов к заданному порту. Пакеты, с подходящим MAC-адресом источника пересылаются нормально, а все прочие - блокируются.
Безопасные MAC-адреса
Коммутатор поддерживает такие типы безопасных MAC-адресов:
Статические MAC-адреса:
-
задаются статически в режиме настройки интерфейса
-
добавляются в текущую конфигурацию коммутатора и, после перезагрузки коммутатора, не удаляются
Динамические MAC-адреса:
-
динамически выучиваются
-
удаляются при перезагрузке коммутатора
Sticky MAC-адреса:
-
могут быть статически настроены или динамически выучены
-
добавляются в текущую конфигурацию коммутатора. Если эти адреса сохранены в конфигурационном файле, после перезагрузки коммутатора, их не надо заново перенастраивать
Режимы реагирования на нарушения безопасности
Нарушением безопасности для port security считаются ситуации:
-
максимальное количество безопасных MAC-адресов было добавлено в таблицу адресов и хост, чей MAC-адрес не записан в таблице адресов пытается получить доступ через интерфейс
-
адрес, выученный или настроенный как безопасный на одном интерфейсе, появился на другом безопасном интерфейсе в том же VLAN'е
На интерфейсе могут быть настроены режимы реагирования на нарушения безопасности:
Protect (по умолчанию) — когда количество безопасных MAC-адресов достигает максимального ограничения, настроенного на порту, пакеты с неизвестным MAC-адресом отправителя отбрасываются до тех пор, пока не будет удалено достаточное количество безопасных MAC-адресов, чтобы их количество было меньше максимального значения, или увеличено максимальное количество разрешенных адресов. Оповещения о нарушении безопасности нет.
Restrict — когда количество безопасных MAC-адресов достигает максимального ограничения, настроенного на порту, пакеты с неизвестным MAC-адресом отправителя отбрасываются до тех пор, пока не будет удалено достаточное количество безопасных MAC-адресов, чтобы их количество было меньше максимального значения, или увеличено максимальное количество разрешенных адресов. В этом режиме при нарушении безопасности отправляется оповещение — отправляется SNMP trap и сообщение syslog.
Shutdown — нарушение безопасности приводит к тому, что интерфейс переводится в состояние error-disabled и немедленно отключается, а также выключается светодиодный индикатор порта. Отправляется SNMP trap и сообщение syslog.
Чтобы интерфейс вывести из состояния error-disabled, необходимо в настройках интерфейса его выключить и включить либо в глобальной конфигурации указать условие, при котором это произойдет автоматически, например по времени:
QSW-3310(config)#errdisable recovery cause port-security QSW-3310(config)#errdisable recovery interval 1800
Режим protect не рекомендуется настраивать для транка. Этот режим выключает запоминание адресов, когда какой-либо VLAN достигает максимума адресов, даже если порт не достиг максимального ограничения.
Примеры конфигурации
Конфигурация для Protect со статическими МАС-адресами:
QSW-3310#configure terminal QSW-3310(config)#port-security QSW-3310(config)#interface 1/0/1 QSW-3310 (Interface 1/0/1)#switchport access vlan 10 QSW-3310 (Interface 1/0/1)#port-security QSW-3310 (Interface 1/0/1)#port-security violation protect QSW-3310 (Interface 1/0/1)#port-security max-dynamic 0 QSW-3310 (Interface 1/0/1)#port-security max-static 3 QSW-3310 (Interface 1/0/1)#port-security mac-address 00:00:00:00:14:03 10 QSW-3310 (Interface 1/0/1)#port-security mac-address 00:00:00:00:14:04 10 QSW-3310 (Interface 1/0/1)#port-security mac-address 00:00:00:00:14:05 10
Конфигурация для Restrict с динамическими МАС-адресами:
QSW-3310#configure terminal QSW-3310(config)#port-security QSW-3310(config)#interface 1/0/1 QSW-3310 (Interface 1/0/1)#switchport access vlan 10 QSW-3310 (Interface 1/0/1)#port-security QSW-3310 (Interface 1/0/1)#port-security violation restrict QSW-3310 (Interface 1/0/1)#port-security max-dynamic 3 QSW-3310 (Interface 1/0/1)#port-security max-static 0
Конфигурация для Shutdown с sticky МАС-адресами:
QSW-3310#configure terminal QSW-3310(config)#port-security QSW-3310(config)#errdisable recovery cause port-security QSW-3310(config)#errdisable recovery interval 1800 QSW-3310(config)#interface 1/0/1 QSW-3310 (Interface 1/0/1)#switchport access vlan 10 QSW-3310 (Interface 1/0/1)#port-security QSW-3310 (Interface 1/0/1)#port-security violation shutdown QSW-3310 (Interface 1/0/1)#port-security max-dynamic 0 QSW-3310 (Interface 1/0/1)#port-security max-static 3 QSW-3310 (Interface 1/0/1)#snmp-server enable traps violation QSW-3310 (Interface 1/0/1)#port-security mac-address sticky
Конфигурация для Shutdown с настройкой SNMP сервера и SNMP trap:
QSW-3310(config)#snmp-server enable QSW-3310(config)#snmp-server community "RW" rw QSW-3310(config)#snmp-server host 192.168.2.5 traps version 2 "RW" QSW-3310(config)#port-security QSW-3310(config)#errdisable recovery interval 1800 QSW-3310(config)#interface 1/0/1 QSW-3310 (Interface 1/0/1)#switchport access vlan 10 QSW-3310 (Interface 1/0/1)#port-security QSW-3310 (Interface 1/0/1)#port-security violation shutdown QSW-3310 (Interface 1/0/1)#port-security max-dynamic 0 QSW-3310 (Interface 1/0/1)#port-security max-static 5 QSW-3310 (Interface 1/0/1)#snmp-server enable traps violation QSW-3310 (Interface 1/0/1)#port-security mac-address sticky
Модель: QSW-3310 / QSW-3300 / QSW-3750-28TX
Вид оборудования: Ethernet коммутаторы

