华为-防止MAC地址欺骗以及MAC泛红-静态MAC绑定与黑洞MAC

配置

拓扑

 

 

命令

<Huawei>system-view 
#进入系统视图

[Huawei]sysname SW1
#重命名为SW1

[SW1]vlan 10
#创建vlan10

[SW1-vlan10]quit
#返回上一层

[SW1]port-group VLAN10-group
#创建端口组名字为VLAN10-group

[SW1-port-group-vlan10-group]group-member g0/0/1 to g0/0/5
#将g0/0/1到g0/0/5加入到组

[SW1-port-group-vlan10-group]port link-type access 
#将组里所有接口改为access

[SW1-port-group-vlan10-group]port default vlan 10
#将组里所有接口默认VLAN改为VLAN10

[SW1-port-group-vlan10-group]port-security enable
#将组里所有端口安全打开

[SW1-port-group-vlan10-group]port-security mac-address sticky 
#将组里所有MAC都设置为粘连（类似绑定）

#默认一个端口最大MAC数量为1，也可以用以下命令更改
[SW1-port-group-vlan10-group]port-security max-mac-num 10
#该为10个，这里就不做更改

[SW1-port-group-vlan10-group]quit
#返回上一层

[SW1]interface g0/0/1
#进入接口g0/0/1

[SW1-GigabitEthernet0/0/1]port-security protect-action protect
#设置为如果违反端口安全则丢包

[SW1-GigabitEthernet0/0/1]int g0/0/2
#进入接口g0/0/2

[SW1-GigabitEthernet0/0/2]port-security protect-action restrict 
#设置为如果违反端口安全则向交换机发送日志并丢包
#此设置为默认设置，所以不设置也是此条

[SW1-GigabitEthernet0/0/2]int g0/0/3
#进入接口g0/0/3

[SW1-GigabitEthernet0/0/3]port-security protect-action shutdown 
#设置为如果违反端口安全则向交换机发送日志，丢包并将端口shutdown
#需要管理员重新开启

[SW1-GigabitEthernet0/0/3]quit
#返回上一层

[SW1]mac-address static 5489-984E-0AAE GigabitEthernet 0/0/4 vlan 10 
#将MAC地址5489-984E-0AAE 与接口g0/0/4 Vlan10 绑定在一起
#绑定后MAC地址在此端口有新MAC表时类型会变为Secutiy


[SW1]interface g0/0/4
#进入接口g0/0/4

[SW1-GigabitEthernet0/0/4]mac-address learning disable action discard
#禁止端口学习MAC地址（模拟器不能模拟）

[SW1-GigabitEthernet0/0/4]quit
#返回上一层

[SW1]mac-address blackhole 5489-9887-03F8 vlan 10 
#将MAC地址5489-9887-03F8 vlan10 设置为黑洞MAC表（类型黑名单）

测试

 

 

#首先用PC 1 ping PC 2 3 4 5
#PC 5是不通的因为他是黑洞MAC
#下面我们来看一下交换机的MAC表

 

 

我们更改接口下的PC会出现什么呢

PC 1：
因为PC 1 设置的protect模式，所以如果他换PC也就是MAC变了
即无法通信，交换机不会有日志，接口也不会down

PC 2：
因为PC 2 设置的restrict模式，也就是默认模式，他如果换MAC了
即无法通信，交换机上会有日志，接口不会down

PC 3：
因为PC 3 设置的shutdown模式，所以如果他换MAC了
即无法通信，交换机上会有日志，接口也会down掉
需要管理员再次开启

PC 4：
因为PC 4 设置的静态MAC地址，并且设置了让交换机的g0/0/4端口
不自动学习MAC所以他MAC换掉应该也是无法通信的，但模拟器模拟不出来
所以模拟器上的结果的可以通信。没有设置不自动学习MAC就可以通信

PC 5：
因为PC 5 设置了一个黑洞MAC地址也就是PC 5的MAC所以
不管源MAC还是目标MAC只要有黑洞MAC的都无法通信

 

原文地址：https://www.cnblogs.com/qiaotingbo/p/10397842.html