09-安全配置指導

07-端口安全配置

1.5 配置端口安全允許的最大安全MAC地址數

1.6 配置端口安全模式

1.7 配置端口安全的特性

1.7.1 配置Need To Know特性

1.12 配置NAS-ID Profile

1.15 配置端口安全接入用戶日誌信息功能

1.16 端口安全顯示和維護

1.17 端口安全典型配置舉例

1.17.1 端口安全autoLearn模式配置舉例

1.17.2 端口安全userLoginWithOUI模式配置舉例

1.17.3 端口安全macAddressElseUserLoginSecure模式配置舉例

1.18 常見配置錯誤舉例

1.18.1 端口安全模式無法設置

1.18.2 無法配置安全MAC地址

1 端口安全

1.1 端口安全簡介

1.1.1 概述

端口安全是一種基於MAC地址對網絡接入進行控製的安全機製，是對已有的802.1X認證和MAC地址認證的擴充。這種機製通過檢測端口收到的數據幀中的源MAC地址來控製非授權設備或主機對網絡的訪問，通過檢測從端口發出的數據幀中的目的MAC地址來控製對非授權設備的訪問。

端口安全的主要功能是通過定義各種端口安全模式，讓設備學習到合法的源MAC地址，以達到相應的網絡管理效果。啟動了端口安全功能之後，當發現非法報文時，係統將觸發相應特性，並按照預先指定的方式進行處理，既方便用戶的管理又提高了係統的安全性。這裏的非法報文是指：

· MAC地址未被端口學習到的用戶報文；

· 未通過認證的用戶報文。

1.1.2 端口安全的特性

1. Need To Know特性（NTK）

Need To Know特性通過檢測從端口發出的數據幀的目的MAC地址，保證數據幀隻能被發送到已經通過認證或被端口學習到的MAC所屬的設備或主機上，從而防止非法設備竊聽網絡數據。

2. 入侵檢測（Intrusion Protection）特性

入侵檢測特性指通過檢測從端口收到的數據幀的源MAC地址，對接收非法報文的端口采取相應的安全策略，包括端口被暫時斷開連接、永久斷開連接或MAC地址被過濾（默認3分鍾，不可配），以保證端口的安全性。

1.1.3 端口安全模式

端口安全模式可大致分為兩大類：控製MAC學習類和認證類。

· 控製MAC學習類：無需認證，包括端口自動學習MAC地址和禁止MAC地址學習兩種模式。

· 認證類：利用MAC地址認證和802.1X認證機製來實現，包括單獨認證和組合認證等多種模式。

配置了安全模式的端口上收到用戶報文後，首先查找MAC地址表，如果該報文的源MAC地址已經存在於MAC地址表中，則端口轉發該報文，否則根據端口所采用的安全模式進行相應的處理，並在發現非法報文後觸發端口執行相應的安全防護措施（Need To Know、入侵檢測）或發送Trap告警。缺省情況下，端口出方向的報文轉發不受端口安全限製，若觸發了端口Need To Know，則才受相應限製。關於各模式的具體工作機製，以及是否觸發Need To Know、入侵檢測的具體情況請參見表1-1。

表1-1 端口安全模式描述表

安全模式			工作機製	NTK/入侵檢測
缺省情況	noRestrictions		表示端口的安全功能關閉，端口處於無限製狀態	無效
端口控製MAC地址學習		autoLearn	端口可通過手工配置或自動學習MAC地址，這些地址將被添加到安全MAC地址表中，稱之為安全MAC地址當端口下的安全MAC地址數超過端口安全允許學習的最大安全MAC地址數後，端口模式會自動轉變為secure模式。之後，該端口停止添加新的安全MAC，隻有源MAC地址為安全MAC地址、通過命令mac-address dynamic或mac-address static手工配置的MAC地址的報文，才能通過該端口該模式下，端口不會將自動學習到的MAC地址添加為MAC地址表中的動態MAC地址	可觸發
端口控製MAC地址學習		secure	禁止端口學習MAC地址，隻有源MAC地址為端口上的安全MAC地址、手工配置的MAC地址的報文，才能通過該端口	可觸發
端口采用802.1X認證	userLogin		對接入用戶采用基於端口的802.1X認證此模式下，端口下的第一個802.1X用戶認證成功後，其它用戶無須認證就可接入	無效
	userLoginSecure		對接入用戶采用基於MAC地址的802.1X認證此模式下，端口最多隻允許一個802.1X認證用戶接入	可觸發
	userLoginWithOUI		該模式與userLoginSecure模式類似，但端口上除了允許一個802.1X認證用戶接入之外，還額外允許一個特殊用戶接入，該用戶報文的源MAC的OUI與設備上配置的OUI值相符此模式下，報文首先進行OUI匹配，OUI匹配失敗的報文再進行802.1X認證，OUI匹配成功和802.1X認證成功的報文都允許通過端口
	userLoginSecureExt		對接入用戶采用基於MAC的802.1X認證，且允許端口下有多個802.1X用戶
端口采用MAC地址認證	macAddressWithRadius		對接入用戶采用MAC地址認證此模式下，端口允許多個用戶接入	可觸發
端口采用802.1X和MAC地址認證組合認證	macAddressOrUserLoginSecure		端口同時處於userLoginSecure模式和macAddressWithRadius模式，且允許一個802.1X認證用戶及多個MAC地址認證用戶接入此模式下，802.1X認證優先級大於MAC地址認證：報文首先觸發802.1X認證，默認情況下，如果802.1X認證失敗再進行MAC地址認證；若開啟了端口的MAC地址認證和802.1X認證並行處理功能，則端口配置了802.1X單播觸發功能的情況下，當端口收到源MAC地址未知的報文，會向該MAC地址單播發送EAP-Request幀來觸發802.1X認證，但不等待802.1X認證處理完成，就同時進行MAC地址認證	可觸發
	macAddressElseUserLoginSecure		端口同時處於macAddressWithRadius模式和userLoginSecure模式，但MAC地址認證優先級大於802.1X認證。允許端口下一個802.1X認證用戶及多個MAC地址認證用戶接入非802.1X報文直接進行MAC地址認證。802.1X報文先進行MAC地址認證，如果MAC地址認證失敗再進行802.1X認證
	macAddressOrUserLoginSecureExt		與macAddressOrUserLoginSecure類似，但允許端口下有多個802.1X和MAC地址認證用戶
	macAddressElseUserLoginSecureExt		與macAddressElseUserLoginSecure類似，但允許端口下有多個802.1X和MAC地址認證用戶

· 當多個用戶通過認證時，端口下所允許的最大用戶數與端口安全模式相關，取端口安全所允許的最大安全MAC地址數與相應模式下允許認證用戶數的最小值。例如，userLoginSecureExt模式下，端口下所允許的最大用戶為配置的端口安全所允許的最大安全MAC地址數與802.1X認證所允許的最大用戶數的最小值。

· 手工配置MAC地址的具體介紹請參見“二層技術-以太網交換命令參考”中的“MAC地址表”。

由於安全模式種類較多，為便於記憶，部分端口安全模式的名稱可按如下規則理解：

· “userLogin”表示基於端口的802.1X認證。userLogin之後，若攜帶“Secure”，則表示基於MAC地址的802.1X認證；若攜帶“Ext”，則示可允許多個802.1X用戶認證成功，否則表示僅允許一個802.1X用戶認證成功。

· “macAddress”表示MAC地址認證；

· “Else”之前的認證方式先被采用，失敗後根據請求認證的報文協議類型決定是否轉為“Else”之後的認證方式。

· “Or”之後的認證方式先被采用，失敗後轉為“Or”之前的認證方式。

1.2 端口安全配置限製和指導

· 由於端口安全特性通過多種安全模式提供了802.1X和MAC地址認證的擴展和組合應用，因此在需要靈活使用以上兩種認證方式的組網環境下，推薦使用端口安全特性。無特殊組網要求的情況下，無線環境中通常使用端口安全特性。而在僅需要802.1X、MAC地址認證特性來完成接入控製的組網環境下，推薦單獨使用相關特性。關於802.1X、MAC地址認證特性的詳細介紹和具體配置請參見“安全配置指導”中的“802.1X”、“MAC地址認證”。

· 在二層以太網接口視圖下開啟端口安全之前，請保證接口未加入二層聚合組。

1.3 端口安全配置任務簡介

表1-2 端口安全配置任務簡介

配置任務		說明	詳細配置
使能端口安全		必選	1.4
配置端口安全允許的最大安全MAC地址數		可選	1.5
配置端口安全模式		必選	1.6
配置端口安全的特性	配置Need To Know特性	根據實際組網需求選擇其中一種或多種特性	1.7
配置端口安全的特性	配置入侵檢測模式	根據實際組網需求選擇其中一種或多種特性	1.7
配置安全MAC地址		可選	1.8
配置當前端口不應用下發的授權信息		可選	1.9
配置允許MAC遷移功能		可選	1.10
配置授權失敗用戶下線功能		可選	1.11
配置NAS-ID Profile		可選	1.12
配置開放認證模式		可選	1.13
配置Trap功能		可選	1.14
配置端口安全接入用戶日誌信息功能		可選	1.15

1.4 使能端口安全

在使能端口安全之前，需要關閉全局的802.1X和MAC地址認證。

當端口安全處於使能狀態時，不能開啟端口上的802.1X以及MAC地址認證，且不能修改802.1X端口接入控製方式和端口授權狀態，它們隻能隨端口安全模式的改變由係統更改。

表1-3 使能端口安全

操作	命令	說明
進入係統視圖	system-view	-
使能端口安全	port-security enable	缺省情況下，端口安全處於關閉狀態

可以通過undo port-security enable命令關閉端口安全。但需要注意的是，在端口上有用戶在線的情況下，關閉端口會導致在線用戶下線。

執行使能或關閉端口安全的命令後，端口上的如下配置會被自動恢複為以下缺省情況：

· 802.1X端口接入控製方式為macbased；

· 802.1X端口的授權狀態為auto。

有關802.1X認證配置的詳細介紹可參見“安全配置指導”中的“802.1X”。有關MAC地址認證配置的詳細介紹可參見“安全配置指導”中的“MAC地址認證”。

1.5 配置端口安全允許的最大安全MAC地址數

端口安全允許某個端口下有多個用戶接入，但是允許的用戶數不能超過規定的最大值。

配置端口允許的最大安全MAC地址數有兩個作用：

· 控製端口允許接入網絡的最大用戶數。對於采用802.1X、MAC地址認證或者兩者組合形式的認證類安全模式，端口允許的最大用戶數取本命令配置的值與相應模式下允許認證用戶數的最小值；

· 控製autoLearn模式下端口能夠添加的最大安全MAC地址數。

端口安全允許的最大安全MAC地址數與“二層技術-以太網交換配置指導/MAC地址表”中配置的端口最多可以學習到的MAC地址數無關，且不受其影響。

表1-4 配置端口安全允許的最大安全MAC地址數

操作	命令	說明
進入係統視圖	system-view	-
進入接口視圖	interface interface-type interface-number	-
配置端口安全允許的最大安全MAC地址數	port-security max-mac-count max-count [ vlan [ vlan-id-list ] ]	缺省情況下，端口安全不限製本端口可保存的最大安全MAC地址數對於autolearn模式，可配置指定VLAN內允許的最大安全MAC地址數。當配置vlan參數，但不指定具體的vlan-id-list時，表示的是接口允許的每個VLAN內的最大安全MAC地址數；否則表示指定vlan-id-list內的最大安全MAC地址數。

1.6 配置端口安全模式

1. 配置限製和指導

· 在端口安全未使能的情況下，端口安全模式可以進行配置但不會生效。

· 端口上有用戶在線的情況下，改變端口的安全模式會導致在線用戶會下線。

· 端口安全模式為mac-authentication、mac-else-userlogin-secure、mac-else-userlogin-secure-ext、userlogin-secure、userlogin-secure-ext、userlogin-secure-or-mac、userlogin-secure-or-mac-ext或 userlogin-withoui時，設備支持RADIUS擴展屬性下發重定向URL。即：當用戶認證時，可以根據RADIUS服務器下發的重定向URL屬性到指定的Web認證界麵進行認證。Web認證通過後，RADIUS服務器記錄用戶的MAC地址，並通過DM報文強製Web用戶下線。此後該用戶再次發起802.1X認證或MAC地址認證，由於RADIUS服務器上已記錄該用戶和其MAC地址的對應信息，用戶可以成功上線。

2. 配置準備

(1) 在配置端口安全模式之前，端口上首先需要滿足以下條件：

· 802.1X認證關閉。

· MAC地址認證關閉。

· 端口未加入業務環回組。

(2) 如果端口上已經配置了端口安全模式，則不允許開啟802.1X認證和MAC地址認證。

(3) 對於autoLearn模式，還需要提前設置端口安全允許的最大安全MAC地址數。但是如果端口已經工作在autoLearn模式下，則無法更改端口安全允許的最大安全MAC地址數。

3. 配置步驟

表1-5 配置端口安全模式

操作	命令	說明
進入係統視圖	system-view	-
（可選）配置允許通過認證的用戶OUI值	port-security oui index index-value mac-address oui-value	該命令僅在配置userlogin-withoui安全模式時必選缺省情況下，不存在允許通過認證的用戶OUI值允許通過認證的用戶OUI值可以配置多個，但在端口安全模式為userLoginWithOUI時，端口除了可以允許一個802.1X的接入用戶通過認證之外，僅允許一個與某OUI值匹配的用戶通過認證
進入接口視圖	interface interface-type interface-number	autoLearn、secure和userloginWithOUI模式隻能在二層以太網接口下配置
配置端口的安全模式	port-security port-mode { autolearn \| mac-authentication \| mac-else-userlogin-secure \| mac-else-userlogin-secure-ext \| secure \| userlogin \| userlogin-secure \| userlogin-secure-ext \| userlogin-secure-or-mac \| userlogin-secure-or-mac-ext \| userlogin-withoui }	缺省情況下，端口處於noRestrictions模式當端口安全已經使能且當前端口安全模式不是noRestrictions時，若要改變端口安全模式，必須首先執行undo port-security port-mode命令恢複端口安全模式為noRestrictions模式

OUI（Organizationally Unique Identifier，全球統一標識符）是MAC地址的前24位（二進製），是IEEE（Institute of Electrical and Electronics Engineers，電氣和電子工程師學會）為不同設備供應商分配的一個全球唯一的標識符。

1.7 配置端口安全的特性

1.7.1 配置Need To Know特性

Need To Know特性用來限製認證端口上出方向的報文轉發，可支持以下幾種限製方式：

· ntkonly：僅允許目的MAC地址為已通過認證的MAC地址的單播報文通過。

· ntk-withbroadcasts：允許廣播地址報文、目的MAC地址為已通過認證的MAC地址的單播報文通過。

· ntk-withmulticasts：允許廣播地址報文、組播地址報文和目的MAC地址為已通過認證的MAC地址的單播報文通過。

· ntkauto：僅當有用戶上線後，才允許廣播地址報文、組播地址報文和目的MAC地址為已通過認證的MAC地址的單播報文通過。

配置了Need To Know的端口在以上任何一種方式下都不允許目的MAC地址未知的單播報文通過。

並非所有的端口安全模式都支持Need To Know特性，配置時需要先了解各模式對此特性的支持情況，具體請參見表1-1。

表1-6 配置Need To Know特性

操作	命令	說明
進入係統視圖	system-view	-
進入接口視圖	interface interface-type interface-number	-
配置端口Need To Know特性	port-security ntk-mode { ntk-withbroadcasts \| ntk-withmulticasts \| ntkauto \| ntkonly }	缺省情況下，端口沒有配置Need To Know特性，即所有報文都可成功發送

1.7.2 配置入侵檢測特性

當設備檢測到一個非法的用戶通過端口試圖訪問網絡時，入侵檢測特性用於配置設備可能對其采取的安全措施，包括以下三種方式：

· blockmac：表示將非法報文的源MAC地址加入阻塞MAC地址列表中，源MAC地址為阻塞MAC地址的報文將被丟棄。此MAC地址在被阻塞3分鍾（係統默認，不可配）後恢複正常。

· disableport：表示將收到非法報文的端口永久關閉。

· disableport-temporarily：表示將收到非法報文的端口暫時關閉一段時間。關閉時長可通過port-security timer disableport命令配置。

表1-7 配置入侵檢測特性

操作	命令	說明
進入係統視圖	system-view	-
進入接口視圖	interface interface-type interface-number	-
配置入侵檢測特性	port-security intrusion-mode { blockmac \| disableport \| disableport-temporarily }	缺省情況下，不進行入侵檢測處理
退回係統視圖	quit	-
（可選）配置係統暫時關閉端口的時間	port-security timer disableport time-value	缺省情況下，係統暫時關閉端口的時間為20秒
（可選）配置將非法報文的源MAC地址加入阻塞MAC地址列表的時間	port-security timer blockmac time-value	缺省情況下，將非法報文的源MAC地址加入阻塞MAC地址列表的時間為180秒。

macAddressElseUserLoginSecure或macAddressElseUserLoginSecureExt安全模式下工作的端口，對於同一個報文，隻有MAC地址認證和802.1X認證均失敗後，才會觸發入侵檢測特性。

1.8 配置安全MAC地址

1. 功能簡介

安全MAC地址是一種特殊的MAC地址，保存配置後重啟設備，不會丟失。在同一個VLAN內，一個安全MAC地址隻能被添加到一個端口上。

安全MAC地址可以通過以下兩種途徑生成：

· 由autoLearn安全模式下的使能端口安全功能的端口自動學習。

· 通過命令行手動添加。

缺省情況下，所有的安全MAC地址均不老化，除非被管理員通過命令行手工刪除，或因為配置的改變（端口的安全模式被改變，或端口安全功能被關閉）而被係統自動刪除。但是，安全MAC地址不老化會帶來一些問題：合法用戶離開端口後，若有非法用戶仿冒合法用戶源MAC接入，會導致合法用戶不能繼續接入；雖然該合法用戶已離開，但仍然占用端口MAC地址資源，而導致其它合法用戶不能接入。因此，讓某一類安全MAC地址能夠定期老化，可提高端口接入的安全性和端口資源的利用率。

表1-8 安全MAC地址相關屬性列表

類型	生成方式	配置保存機製	老化機製
靜態	手工添加（未指定sticky關鍵字）	安全MAC地址在保存配置文件並重啟設備後，仍然存在	不老化
Sticky	手工添加（指定sticky關鍵字），或端口自動學習	Sticky MAC地址在保存配置文件並重啟設備後，仍然存在，且其老化定時器會重新開始計時 Sticky MAC地址可通過配置轉換為動態類型的MAC地址。動態類型的安全MAC地址不能被保存在配置文件中，設備重啟後會被丟失	支持兩種老化機製： · 定時老化。若老化時間為0，則表示不老化（缺省） · 無流量老化。設備會定期檢測端口上的安全MAC地址是否有流量產生，若某安全MAC地址在配置的Sticky MAC地址老化時間內沒有任何流量產生，則才會被老化

類型

生成方式

配置保存機製

老化機製

靜態

手工添加（未指定sticky關鍵字）

安全MAC地址在保存配置文件並重啟設備後，仍然存在

不老化

Sticky

手工添加（指定sticky關鍵字），或端口自動學習

Sticky MAC地址在保存配置文件並重啟設備後，仍然存在，且其老化定時器會重新開始計時

Sticky MAC地址可通過配置轉換為動態類型的MAC地址。動態類型的安全MAC地址不能被保存在配置文件中，設備重啟後會被丟失

支持兩種老化機製：

· 定時老化。若老化時間為0，則表示不老化（缺省）

· 無流量老化。設備會定期檢測端口上的安全MAC地址是否有流量產生，若某安全MAC地址在配置的Sticky MAC地址老化時間內沒有任何流量產生，則才會被老化

當端口下的安全MAC地址數目超過端口允許學習的最大安全MAC地址數後，該端口不會再添加新的安全MAC地址，僅接收並允許數據幀中的源MAC地址為以下兩類MAC地址的報文訪問網絡設備：

· 安全MAC地址

· 通過命令mac-address dynamic或mac-address static配置的MAC地址