- 產品與解決方案
- 行業解決方案
- 服務
- 支持
- 合作夥伴
- 關於我們
07-端口安全配置
本章節下載： 07-端口安全配置 (590.96 KB)
目 錄
1.7.5 將Sticky MAC地址設置為動態類型的安全MAC地址
1.13 配置指定VLAN內端口安全功能允許同時接入的最大MAC地址數
1.30.2 端口安全userLoginWithOUI模式配置舉例
1.30.3 端口安全macAddressElseUserLoginSecure模式配置舉例
端口安全既可以通過端口安全模式增強網絡接入的安全性，又能為802.1X認證、MAC地址認證及Web認證及靜態用戶提供基於MAC的接入控製管理。
· 通過檢測端口收到的數據幀中的源MAC地址來控製非授權設備或主機對網絡的訪問。
· 通過檢測從端口發出的數據幀中的目的MAC地址來控製對非授權設備的訪問。
· 通過定義各種端口安全模式，控製端口上的MAC地址學習或定義端口上的組合認證方式，讓設備學習到合法的源MAC地址，以達到相應的網絡管理效果。
Need To Know特性通過檢測從端口發出的數據幀的目的MAC地址，保證數據幀隻能被發送到已經通過認證或被端口學習到的MAC所屬的設備或主機上，從而防止非法設備竊聽網絡數據。
入侵檢測特性對端口接收到的數據幀進行檢測，源MAC地址未被端口學習到的報文或未通過認證的報文，被認為是非法報文，如果發現非法報文，則對接收非法報文的端口采取相應的安全策略，包括端口被暫時斷開連接、永久斷開連接或MAC地址被阻塞一段時間，以保證端口的安全性。
端口安全模式分為兩大類：控製MAC學習類和認證類。
· 控製MAC學習類：無需認證，包括端口自動學習MAC地址和禁止MAC地址學習兩種模式。
· 認證類：利用MAC地址認證和802.1X認證機製來實現，包括單獨認證和組合認證等多種模式。
配置了安全模式的端口上收到用戶報文後，首先查找MAC地址表，如果該報文的源MAC地址已經存在於MAC地址表中，則端口轉發該報文，否則根據端口所采用的安全模式進行MAC地址學習或者觸發相應的認證，並在發現非法報文後觸發端口執行相應的安全防護措施（Need To Know、入侵檢測）或發送Trap告警。缺省情況下，端口出方向的報文轉發不受端口安全限製，若觸發了端口Need To Know，則才受相應限製。關於各模式的具體工作機製，以及是否觸發Need To Know、入侵檢測的具體情況請參見表1-1。
|
端口安全采用方式 |
安全模式 |
觸發的安全防護措施 |
|
|
關閉端口安全特性 |
noRestrictions（缺省情況） 表示端口的安全功能關閉，端口處於無限製狀態 |
無 |
|
|
autoLearn |
NTK/入侵檢測 |
||
|
secure |
|||
|
userLogin |
NTK（ntkauto方式） |
||
|
userLoginSecure |
NTK/入侵檢測 |
||
|
userLoginSecureExt |
|||
|
userLoginWithOUI |
|||
|
macAddressWithRadius |
NTK/入侵檢測 |
||
|
Or |
macAddressOrUserLoginSecure |
NTK/入侵檢測 |
|
|
macAddressOrUserLoginSecureExt |
|||
|
Else |
macAddressElseUserLoginSecure |
||
|
macAddressElseUserLoginSecureExt |
|||
|
And |
macAddressAndUserLoginSecureExt |
||
由於安全模式種類較多，為便於記憶，部分端口安全模式的名稱可按如下規則理解：
· “userLogin”表示基於端口的802.1X認證。userLogin之後，若攜帶“Secure”，則表示基於MAC地址的802.1X認證；若攜帶“Ext”，則表示可允許多個802.1X用戶認證成功，否則表示僅允許一個802.1X用戶認證成功。
· “macAddress”表示MAC地址認證。
· “Else”之前的認證方式先被采用，失敗後根據請求認證的報文協議類型決定是否轉為“Else”之後的認證方式。
· “Or”之後的認證方式先被采用，失敗後轉為“Or”之前的認證方式。
· “And”之前的認證方式先被采用，成功後再根據請求認證的報文協議類型進行“And”之後的認證方式。
· autoLearn
該模式下，端口不會將自動學習到的MAC地址添加為MAC地址表中的動態MAC地址，而是將這些地址添加到安全MAC地址表中，稱之為安全MAC地址。也可以通過port-security mac-address security命令手工配置端口下的安全MAC地址。
隻有源MAC地址為安全MAC地址、通過命令mac-address dynamic或mac-address static手工配置的MAC地址的報文，才能通過該端口。當端口下的安全MAC地址數超過端口安全允許學習的最大安全MAC地址數後，端口模式會自動轉變為secure模式。之後，該端口停止添加新的安全MAC。
· secure
該模式下，禁止端口學習MAC地址，隻有源MAC地址為端口上的安全MAC地址、通過命令mac-address dynamic或mac-address static手工配置的MAC地址的報文，才能通過該端口。有關MAC地址的詳細配置，請參見“二層技術-以太網交換”中的“MAC地址表”。
· userLogin
此模式下，端口對接入用戶采用基於端口的802.1X認證方式。端口下支持接入多個802.1X用戶，且第一個802.1X用戶認證成功後，其它用戶無須認證就可接入。
· userLoginSecure
此模式下，端口對接入用戶采用基於MAC地址的802.1X認證方式，且最多隻允許一個802.1X認證用戶接入。
· userLoginSecureExt
該模式與userLoginSecure模式類似，但端口支持多個802.1X認證用戶接入。
· userLoginWithOUI
該模式與userLoginSecure模式類似，但端口上除了允許一個802.1X認證用戶接入之外，還額外允許一個特殊用戶接入，該用戶報文的源MAC的OUI與設備上配置的OUI值相符。
此模式下，報文首先進行OUI匹配，OUI匹配失敗的報文再進行802.1X認證，OUI匹配成功和802.1X認證成功的報文都允許通過端口。
OUI（Organizationally Unique Identifier，全球統一標識符）是MAC地址的前24位（二進製），是IEEE（Institute of Electrical and Electronics Engineers，電氣和電子工程師學會）為不同設備供應商分配的一個全球唯一的標識符。
macAddressWithRadius：端口對接入用戶采用MAC地址認證，且允許多個用戶接入。
· macAddressOrUserLoginSecure
端口同時處於userLoginSecure模式和macAddressWithRadius模式，且允許一個802.1X認證用戶及多個MAC地址認證用戶接入。
此模式下，802.1X認證優先級大於MAC地址認證：報文首先觸發802.1X認證，默認情況下，如果802.1X認證失敗再進行MAC地址認證；若開啟了端口的MAC地址認證和802.1X認證並行處理功能，則端口配置了802.1X單播觸發功能的情況下，當端口收到源MAC地址未知的報文，會向該MAC地址單播發送EAP-Request幀來觸發802.1X認證，但不等待802.1X認證處理完成，就同時進行MAC地址認證。
· macAddressOrUserLoginSecureExt
與macAddressOrUserLoginSecure類似，但允許端口下有多個802.1X和MAC地址認證用戶。
· macAddressElseUserLoginSecure
端口同時處於macAddressWithRadius模式和userLoginSecure模式，但MAC地址認證優先級大於802.1X認證。允許端口下一個802.1X認證用戶及多個MAC地址認證用戶接入。
非802.1X報文直接進行MAC地址認證。802.1X報文先進行MAC地址認證，如果MAC地址認證失敗再進行802.1X認證。
· macAddressElseUserLoginSecureExt
與macAddressElseUserLoginSecure類似，但允許端口下有多個802.1X和MAC地址認證用戶。
· macAddressAndUserLoginSecureExt
此模式下，對接入用戶先進行MAC地址認證，認證成功後作為臨時MAC地址認證用戶，僅能訪問802.1X Guest VLAN的資源。之後，端口收到同一MAC地址用戶的802.1X協議報文時，再進行802.1X認證。802.1X認證成功後，臨時MAC地址認證用戶下線，802.1X用戶上線成功。
· 由於端口安全特性通過多種安全模式提供了802.1X和MAC地址認證的擴展和組合應用，因此在需要靈活使用以上兩種認證方式的組網環境下，推薦使用端口安全特性。無特殊組網要求的情況下，無線環境中通常使用端口安全特性。而在僅需要802.1X、MAC地址認證特性來完成接入控製的組網環境下，推薦單獨使用相關特性。關於802.1X、MAC地址認證特性的詳細介紹和具體配置請參見“安全配置指導”中的“802.1X”、“MAC地址認證”。
· 僅支持在二層以太網接口上配置端口安全功能，且不支持在二層聚合組的成員端口上開啟端口安全功能。
· 當用戶認證成功後被授權重定向URL或設備上開啟EAD快速部署功能時，用戶報文進入的VLAN裏必須有三層接口（比如VLAN接口）存在，否則將導致HTTPS重定向失敗。
(1) 配置端口安全基本功能
¡ 使能端口安全
¡ 配置端口安全模式
¡ （可選）配置端口安全允許的最大安全MAC地址數
¡ （可選）配置安全MAC地址
¡ （可選）配置Need To Know特性
¡ （可選）配置入侵檢測特性
(2) （可選）配置端口安全擴展功能
¡ 配置指定VLAN內端口安全功能允許同時接入的最大MAC地址數
¡ 配置開放認證模式
以上端口安全擴展功能，在未使能端口安全，但開啟802.1X或MAC地址認證功能的情況下也適用。
(3) （可選）配置端口安全告警功能
(4) （可選）配置端口安全接入用戶日誌信息功能
· 當端口安全處於使能狀態時，不能開啟端口上的802.1X以及MAC地址認證，且不能修改802.1X端口接入控製方式和端口授權狀態，它們隻能隨端口安全模式的改變由係統更改。
· 可以通過undo port-security enable命令關閉端口安全。但需要注意的是，在端口上有用戶在線的情況下，關閉端口安全會導致在線用戶下線。
· 執行使能或關閉端口安全的命令後，端口上的如下配置會被自動恢複為以下缺省情況：
¡ 802.1X端口接入控製方式為macbased；
¡ 802.1X端口的授權狀態為auto。
有關802.1X認證配置的詳細介紹可參見“安全配置指導”中的“802.1X”。有關MAC地址認證配置的詳細介紹可參見“安全配置指導”中的“MAC地址認證”。
在使能端口安全之前，需要關閉全局的802.1X和MAC地址認證。
(1) 進入係統視圖。
system-view
(2) 使能端口安全。
port-security enable
缺省情況下，端口安全功能處於關閉狀態。
· 在端口安全未使能的情況下，端口安全模式可以進行配置但不會生效。
· 端口上有用戶在線的情況下，改變端口的安全模式會導致在線用戶會下線。
· 如果端口上已經配置了端口安全模式，則不允許開啟802.1X認證和MAC地址認證。
· 當端口安全已經使能且當前端口安全模式不是noRestrictions時，若要改變端口安全模式，必須首先執行undo port-security port-mode命令恢複端口安全模式為noRestrictions模式。
· 端口安全模式為macAddressWithRadius、macAddressElseUserLoginSecure、macAddressElseUserLoginSecureExt、userLoginSecure、userLoginSecureExt、macAddressOrUserLoginSecure、macAddressOrUserLoginSecureExt或userLoginWithOUI時，設備支持RADIUS擴展屬性下發重定向URL。即：用戶認證後，設備會根據RADIUS服務器下發的重定向URL屬性，將用戶的HTTP或HTTPS請求重定向到指定的Web認證頁麵。Web認證通過後，RADIUS服務器記錄用戶的MAC地址，並通過DM報文強製Web用戶下線。此後該用戶再次發起802.1X認證或MAC地址認證，由於RADIUS服務器上已記錄該用戶和其MAC地址的對應信息，用戶可以成功上線。
· 端口安全模式為macAddressAndUserLoginSecureExt時，為了保證802.1X客戶端可以發起認證，建議通過dot1x unicast-trigger命令開啟端口上的802.1X單播觸發功能。此模式下，MAC地址認證的Guest VLAN不生效，如有需要請配置802.1X Guest VLAN。此外，配置本模式後，如果不需要對臨時MAC地址認證用戶進行計費，請單獨為MAC地址認證用戶配置ISP域，並指定計費方式為不計費。
· 若需要對用戶的HTTPS請求進行重定向，需要在設備上配置對HTTPS報文進行重定向的內部偵聽端口號，具體配置請參見“三層技術-IP業務配置指導”中的“HTTP重定向”。
在配置端口安全模式之前，端口上首先需要滿足以下條件：
· 802.1X認證關閉。
· MAC地址認證關閉。
· 對於autoLearn模式，還需要提前設置端口安全允許的最大安全MAC地址數。但是如果端口已經工作在autoLearn模式下，則無法更改端口安全允許的最大安全MAC地址數。
(1) 進入係統視圖。
system-view
(2) 配置允許通過認證的用戶OUI值。
port-security oui index index-value mac-address oui-value
缺省情況下，不存在允許通過認證的用戶OUI值。
該命令僅在端口安全模式為userLoginWithOUI時必選。在這種情況下，端口除了可以允許一個802.1X的接入用戶通過認證之外，僅允許一個與某OUI值匹配的用戶通過認證。
(3) 進入接口視圖。
interface interface-type interface-number
(4) 配置端口的安全模式。
port-security port-mode { autolearn | mac-and-userlogin-secure-ext | mac-authentication | mac-else-userlogin-secure | mac-else-userlogin-secure-ext | secure | userlogin | userlogin-secure | userlogin-secure-ext | userlogin-secure-or-mac | userlogin-secure-or-mac-ext | userlogin-withoui }
缺省情況下，端口處於noRestrictions模式。
端口安全允許某個端口下有多個用戶接入，但是允許的用戶數不能超過規定的最大值。
配置端口允許的最大安全MAC地址數有兩個作用：
· 控製端口允許接入網絡的最大用戶數。對於采用802.1X、MAC地址認證或者兩者組合形式的認證類安全模式，端口允許的最大用戶數取本命令配置的值與相應模式下允許認證用戶數的最小值；
· 控製autoLearn模式下端口能夠添加的最大安全MAC地址數。如果配置了vlan關鍵字，但未指定具體的vlan-id-list時，可控製接口允許的每個VLAN內的最大安全MAC地址數；否則表示控製指定vlan-id-list內的最大安全MAC地址數。
端口安全允許的最大安全MAC地址數與“二層技術-以太網交換配置指導/MAC地址表”中配置的端口最多可以學習到的MAC地址數無關，且不受其影響。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置端口安全允許的最大安全MAC地址數。
port-security max-mac-count max-count [ vlan [ vlan-id-list ] ]
缺省情況下，端口安全不限製本端口可保存的最大安全MAC地址數。
安全MAC地址是一種特殊的MAC地址，保存配置後重啟設備，不會丟失。在同一個VLAN內，一個安全MAC地址隻能被添加到一個端口上。
安全MAC地址可以通過以下兩種途徑生成：
· 由autoLearn安全模式下的使能端口安全功能的端口自動學習。
· 通過命令行手動添加。
缺省情況下，所有的安全MAC地址均不老化，除非被管理員通過命令行手工刪除，或因為配置的改變（端口的安全模式被改變，或端口安全功能被關閉）而被係統自動刪除。但是，安全MAC地址不老化會帶來一些問題：合法用戶離開端口後，若有非法用戶仿冒合法用戶源MAC接入，會導致合法用戶不能繼續接入；雖然該合法用戶已離開，但仍然占用端口MAC地址資源，而導致其它合法用戶不能接入。因此，讓某一類安全MAC地址能夠定期老化，可提高端口接入的安全性和端口資源的利用率。
表1-2 安全MAC地址相關屬性列表
|
類型 |
生成方式 |
配置保存機製 |
老化機製 |
|
靜態 |
手工添加（未指定sticky關鍵字） |
安全MAC地址在保存配置文件並重啟設備後，仍然存在 |
不老化 |
|
Sticky |
手工添加（指定sticky關鍵字），或端口自動學習 |
Sticky MAC地址在保存配置文件並重啟設備後，仍然存在，且其老化定時器會重新開始計時 Sticky MAC地址可通過配置轉換為動態類型的MAC地址。動態類型的安全MAC地址不能被保存在配置文件中，設備重啟後會被丟失 |
支持兩種老化機製： · 定時老化。若老化時間為0，則表示不老化（缺省） · 無流量老化。設備會定期檢測端口上的安全MAC地址是否有流量產生，若某安全MAC地址在配置的Sticky MAC地址老化時間內沒有任何流量產生，則才會被老化 |
當端口下的安全MAC地址數目超過端口允許學習的最大安全MAC地址數後，端口安全模式變為secure模式。該模式下，禁止端口學習MAC地址，隻有源MAC地址為端口上的安全MAC地址或通過命令mac-address dynamic或mac-address static手工配置的MAC地址的報文，才能通過該端口。
在配置安全MAC地址之前，需要完成以下配置任務：
· 設置端口安全允許的最大MAC地址數。
· 配置端口安全模式為autoLearn。
· 當前的接口必須允許指定的VLAN通過或已加入該VLAN，且該VLAN已存在。
(1) 進入係統視圖。
system-view
(2) 配置安全MAC地址的老化時間。
port-security timer autolearn aging [ second ] time-value
缺省情況下，安全MAC地址不會老化。
(3) 在係統視圖或接口視圖下配置安全MAC地址。
¡ 在係統視圖下配置安全MAC地址。
port-security mac-address security [ sticky ] mac-address interface interface-type interface-number vlan vlan-id
¡ 依次執行以下命令在接口視圖下配置安全MAC地址。
interface interface-type interface-number
port-security mac-address security [ sticky ] mac-address vlan vlan-id
缺省情況下，未配置安全MAC地址。
與相同VLAN綁定的同一個MAC地址不允許同時指定為靜態類型的安全MAC地址和Sticky MAC地址。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置安全地址的老化方式為無流量老化。
port-security mac-address aging-type inactivity
缺省情況下，安全MAC地址按照配置的老化時間進行老化，即在配置的安全MAC地址的老化時間到達後立即老化，不論該安全MAC地址是否還有流量產生。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 將Sticky MAC地址設置為動態類型的安全MAC地址。
port-security mac-address dynamic
缺省情況下，Sticky MAC地址能夠被保存在配置文件中，設備重啟後也不會丟失。
Need To Know特性用來限製端口上出方向的報文轉發，可支持以下幾種限製方式：
· ntkonly：僅允許目的MAC地址為已知MAC地址的單播報文通過。
· ntk-withbroadcasts：允許廣播地址報文、目的MAC地址為已知MAC地址的單播報文通過。
· ntk-withmulticasts：允許廣播地址報文、組播地址報文和目的MAC地址為已知MAC地址的單播報文通過。
· ntkauto：僅當有用戶認證上線後，才允許廣播地址報文、組播地址報文和目的MAC地址為已知MAC地址的單播報文通過。
配置了Need To Know的端口在以上任何一種方式下都不允許目的MAC地址未知的單播報文通過。
並非所有的端口安全模式都支持Need To Know特性，配置時需要先了解各模式對此特性的支持情況，具體請參見表1-1。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置端口Need To Know特性。
port-security ntk-mode { ntk-withbroadcasts | ntk-withmulticasts | ntkauto | ntkonly }
缺省情況下，端口沒有配置Need To Know特性，即所有報文都可成功發送。
當設備檢測到一個非法的用戶通過端口試圖訪問網絡時，入侵檢測特性用於配置設備可能對其采取的安全措施，包括以下三種方式：
· blockmac：表示將非法報文的源MAC地址加入阻塞MAC地址列表中，源MAC地址為阻塞MAC地址的報文將被丟棄。此MAC地址在被阻塞一段時間後恢複正常。阻塞時長可通過port-security timer blockmac命令配置。
· disableport：表示將收到非法報文的端口永久關閉。
· disableport-temporarily：表示將收到非法報文的端口暫時關閉一段時間。關閉時長可通過port-security timer disableport命令配置。
macAddressElseUserLoginSecure或macAddressElseUserLoginSecureExt安全模式下工作的端口，對於同一個報文，隻有MAC地址認證和802.1X認證均失敗後，才會觸發入侵檢測特性。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置入侵檢測特性。
port-security intrusion-mode { blockmac | disableport | disableport-temporarily }
缺省情況下，不進行入侵檢測處理。
(4) 退回係統視圖。
quit
(5) （可選）配置係統暫時關閉端口的時間。
port-security timer disableport time-value
缺省情況下，係統暫時關閉端口的時間為20秒。
(6) （可選）配置將非法報文的源MAC地址加入阻塞MAC地址列表的時間。
port-security timer blockmac time-value
缺省情況下，將非法報文的源MAC地址加入阻塞MAC地址列表的時間為180秒。
802.1X用戶或MAC地址認證用戶通過本地認證或RADIUS認證時，本地設備或遠程RADIUS服務器會把授權信息下發給用戶。通過此配置可實現端口是否忽略這類下發的授權信息。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置當前端口不應用RADIUS服務器或設備本地下發的授權信息。
port-security authorization ignore
缺省情況下，端口應用RADIUS服務器或設備本地下發的授權信息。
允許MAC遷移功能是指，允許在線的802.1X用戶、MAC地址認證用戶或Web認證用戶遷移到設備的其它端口上或遷移到同一端口下的其它VLAN接入後可以重新認證上線。
對於遷移到設備其它端口接入的用戶，缺省情況下，如果用戶從某一端口上線成功，則該用戶在未從當前端口下線的情況下無法在設備的其它端口上（無論該端口是否與當前端口屬於同一VLAN）發起認證，也無法上線。若開啟了允許MAC地址遷移功能，則允許在線用戶離開當前端口在設備的其它端口上（無論該端口是否與當前端口屬於同一VLAN）發起認證。如果該用戶在後接入的端口上認證成功，則當前端口會將該用戶立即進行下線處理，保證該用戶僅在一個端口上處於上線狀態。
對於Trunk和Hybrid端口下的用戶，在用戶報文攜帶VLAN Tag時可以遷移到同一端口下的其它VLAN（指不同於上一次發起認證時所在的VLAN）內接入。缺省情況下，如果用戶從端口下的某個VLAN上線成功，則當該用戶遷移到同一端口下的其它VLAN內發起認證，用戶認證失敗。若開啟了允許MAC地址遷移功能，則用戶在新VLAN可以認證成功，並且端口會對遷移前的在線用戶立即進行下線處理，保證該用戶僅在一個VLAN上處於上線狀態。
缺省情況下，端口開啟MAC VLAN功能後，若用戶上線成功並授權了VLAN，則當用戶通過MAC遷移方式在其它端口上線時，用戶發送的802.1X、MAC地址認證或Web認證報文中會攜帶初始認證端口授權的VLAN信息。此時新端口會對用戶認證的報文中攜帶的VLAN信息進行檢查，如果用戶所在VLAN不在新端口允許通過的VLAN範圍內，則不允許用戶進行MAC遷移。為了避免這種情況的發生，可以開啟允許MAC遷移不檢查VLAN功能。
通常，不建議開啟該功能，隻有在用戶漫遊遷移需求的情況下建議開啟此功能。
如果用戶進行MAC地址遷移前，服務器在線用戶數已達到上限，則用戶MAC地址遷移不成功。
對於遷移到同一端口下的其它VLAN內接入的用戶，MAC地址認證的多VLAN模式優先級高於MAC遷移功能。當開啟端口的多VLAN模式（通過mac-authentication host-mode multi-vlan命令，詳細配置請參見“安全配置指導”中的“MAC地址認證”）後，設備直接允許用戶在新的VLAN通過，無需再次認證。
對於遷移到其它端口上接入的用戶，如果設備允許MAC遷移，且用戶上線的端口配置了MAC VLAN功能，則建議在MAC遷移的目的端口開啟允許MAC遷移不檢查VLAN功能。
當在Trunk類型端口下開啟MAC遷移時不檢查VLAN功能，並對用戶進行802.1X認證時，需要配置端口發送802.1X協議報文不攜帶VLAN Tag功能，詳細介紹請參見“安全配置指導”中的“802.1X”。
(1) 進入係統視圖。
system-view
(2) 開啟允許MAC遷移功能。
port-security mac-move permit [ port | vlan ]
缺省情況下，允許MAC遷移功能處於關閉狀態。
(3) （可選）配置允許MAC遷移不檢查VLAN功能。
a. 進入接口視圖。
interface interface-type interface-number
b. 開啟允許MAC遷移不檢查VLAN功能。
port-security mac-move bypass-vlan-check
缺省情況下，允許MAC遷移不檢查VLAN功能處於關閉狀態。
接口上開啟授權失敗用戶下線功能後，當服務器下發的授權信息（目前僅支持ACL、User Profile）在設備上不存在或者設備下發授權信息失敗時，設備將強製用戶下線。該功能用於配合服務器上的用戶授權控製策略，它僅允許接口上成功下發了授權信息的用戶在線。
對於授權VLAN失敗的情況，設備會直接讓用戶下線，與此功能無關。
開啟本功能時：
· 若不指定任何參數，用戶下線之後，設備再次收到該用戶的報文就對其進行認證處理。
· 若指定quiet-period參數，則表示開啟用戶授權失敗下線靜默功能。用戶下線後，設備將其加入對應認證類型的靜默隊列，並根據對應認證類型的靜默定時器的值來確定用戶認證失敗以後，設備停止對其提供認證服務的時間間隔。在靜默期間，設備不對來自認證失敗用戶的報文進行認證處理，直接丟棄；靜默期後，設備再次收到該用戶的報文，則對其進行認證處理。
若開啟本功能時指定了quiet-period參數則需要先完成如下配置：
· 對於802.1X用戶，通過dot1x quiet-period命令開啟802.1X認證靜默定時器功能，並通過dot1x timer quiet-period命令設置靜默定時器的值。
· 對於MAC地址認證用戶，通過mac-authentication timer quiet命令配置MAC地址認證靜默定時器的值。
(1) 進入係統視圖。
system-view
(2) 開啟授權失敗用戶下線功能。
port-security authorization-fail offline [ quiet-period ]
缺省情況下，授權失敗用戶下線功能處於關閉狀態，即授權失敗後用戶保持在線。
通常情況下，端口上端口安全功能允許接入的MAC地址包括：
· 端口上MAC地址認證成功用戶的MAC地址；MAC地址認證Guest VLAN、Critical VLAN中用戶的MAC地址。
· 802.1X認證成功用戶的MAC地址；802.1X認證Guest VLAN、Auth-Fail VLAN、Critical VLAN中用戶的MAC地址。
· Web認證成功用戶的MAC地址；Web認證Auth-Fail VLAN中用戶的MAC地址。
由於係統資源有限，如果當前端口上允許接入的MAC地址數過多，接入MAC地址之間會發生資源的爭用，因此適當地配置端口安全功能允許同時接入的最大MAC地址數可以使屬於當前端口的用戶獲得可靠的性能保障。當指定VLAN內，端口允許接入的MAC地址數超過最大值後，該VLAN內新接入的MAC地址將被拒絕。
配置的端口上指定VLAN內端口安全功能允許同時接入的最大MAC地址數，不能小於當前端口上相應VLAN已存在的MAC地址數；否則，本次配置不生效。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置指定VLAN內端口安全功能允許同時接入的最大MAC地址數。
port-security mac-limit max-number per-vlan vlan-id-list
缺省情況下，不限製端口上端口安全功能允許同時接入的最大MAC地址數。
開啟開放認證模式後，端口上的802.1X、MAC地址認證用戶在接入時即使接入信息不正確（包含不存在的用戶名或者錯誤的密碼兩種情況）也可以正常接入並訪問網絡。在這種模式下接入的用戶被稱為open用戶，此類用戶不支持授權和計費，但可通過display dot1x connection open、display mac-authentication connection open命令可以查看用戶信息。當開啟端口安全的開放認證模式後，不影響接入信息正確的用戶正常上線，此類不屬於open用戶。
· 開啟了全局端口安全的開放認證模式後，開放認證模式在所有端口生效；未開啟全局端口安全開放認證模式時，開放認證模式以端口上配置為準。
· 開放認證模式優先級低於802.1X的Auth-Fail VLAN和MAC地址認證的Guest VLAN，即如果端口上配置了802.1X的Auth-Fail VLAN或MAC地址認證的Guest VLAN，密碼錯誤的接入用戶會加入認證失敗VLAN，開放認證模式不生效。有關802.1X、MAC地址認證的詳細介紹，請參見“安全配置指導”中的“802.1X”和“MAC地址認證”。
(1) 進入係統視圖。
system-view
(2) 配置全局開放認證模式。
port-security authentication open global
缺省情況下，全局端口安全的開放認證模式處於關閉狀態。
(3) 進入接口視圖。
interface interface-type interface-number
(4) 配置端口開放認證模式。
port-security authentication open
缺省情況下，接口端口安全的開放認證模式處於關閉狀態。
開啟802.1X認證、MAC地址認證或端口安全功能並配置了端口安全模式為userLogin、userLoginSecure、userLoginWithOUI、userLoginSecureExt、macAddressWithRadius、macAddressOrUserLoginSecure、macAddressElseUserLoginSecure、macAddressOrUserLoginSecureExt或macAddressElseUserLoginSecureExt時，若配置了端口安全的Free VLAN功能，則Free VLAN內的流量不需要進行認證，設備直接轉發。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置端口安全的Free VLAN。
port-security free-vlan vlan-id-list
缺省情況下，未配置端口安全的Free VLAN。
用戶的接入VLAN可標識用戶的接入位置，而在某些應用環境中，網絡運營商需要使用接入設備發送給RADIUS服務器的NAS-Identifier屬性值來標識用戶的接入位置，因此接入設備上需要建立用戶接入VLAN與指定的NAS-ID之間的綁定關係。這樣，當用戶上線時，設備會將與用戶接入VLAN匹配的NAS-ID填充在RADIUS請求報文中的NAS-Identifier屬性中發送給RADIUS服務器。
NAS-ID Profile可以在係統視圖下或者接口視圖下進行配置，接口上的配置優先，若接口上沒有配置，則使用係統視圖下的全局配置。
如果指定了NAS-ID Profile，則此Profile中定義的綁定關係優先使用；如果未指定NAS-ID Profile或指定的Profile中沒有找到匹配的綁定關係，則使用設備名作為NAS-ID。
NAS-ID與VLAN的綁定關係的配置請參考“安全配置指導”中的“AAA”。
(1) 進入係統視圖。
system-view
(2) 在係統視圖或接口視圖下指定引用的NAS-ID Profile。
¡ 係統視圖下指定引用的NAS-ID Profile。
port-security nas-id-profile profile-name
¡ 依次執行以下命令在接口視圖下指定引用的NAS-ID Profile。
interface interface-type interface-number
port-security nas-id-profile profile-name
缺省情況下，未指定引用的NAS-ID Profile。
本功能僅在Triple認證環境中生效。Triple認證允許在接入用戶的二層端口上同時開啟Web認證、MAC地址認證和802.1X認證功能，不同類型的終端報文可觸發不同的認證過程,具體介紹請參加“安全配置指導”中的“Triple配置”。配置本功能後，任意終端報文，都將先觸發MAC地址認證。
端口允許多種認證過程同時進行，且某一種認證失敗不會影響同時進行的其它認證過程。一旦終端通過某一種認證，其它認證過程的進行情況有所不同：
· 如果終端通過MAC地址認證仍可以進行802.1X認證，但不會再進行Web認證。如果802.1X認證成功，則端口上生成的802.1X認證用戶信息會覆蓋已存在的MAC地址認證用戶信息。否則，用戶依然保持MAC地址認證在線，且允許再次觸發802.1X認證，但不能再次觸發Web認證。
· 如果MAC地址認證失敗，終端通過了802.1X認證或者Web認證，則端口上其他認證會立即終止，且不能被再次觸發。
配置本功能後，將導致正在認證的用戶認證失敗，用戶需要重新觸發認證才能上線。為了避免造成認證用戶無法上線，請勿隨意配置本功能修改認證方式順序。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置端口的認證順序為MAC地址認證、802.1X認證和Web認證。
port-security triple-auth-order mac-dot1x-web
缺省情況下，Triple認證環境中，不同類型的終端報文最先觸發的認證方式不同。
認證前域是指，802.1X用戶、MAC地址認證以及Web地址用戶進入認證流程前所處的ISP域。認證前域應用場景包括：
· 首次接入網絡（僅適用於802.1X、Web認證用戶）；
· 認證失敗且未配置認證失敗域；
· 服務器不可達但未配置逃生域。
接口上配置了認證前域時，在此接口上接入的認證用戶將被授予指定認證前域內配置的相關授權屬性（目前包括ACL、VLAN），並根據授權信息獲得相應的網絡訪問權限。若此用戶後續認證成功，則會被AAA下發新的授權信息。
如果當前認證前域中的ACL、VLAN授權配置發生變化，則新配置僅對新生成的認證前用戶生效，已經存在的用戶繼續使用舊配置。
端口安全認證前域功能與其它認證模塊的逃生功能互斥：
· 端口安全認證前域功能與802.1X認證的Guest VLAN、Auth-fail VLAN、Critical VLAN互斥。
· 端口安全認證前域功能與MAC地址認證的Guest VLAN、Critical VLAN互斥。
· 端口安全認證前域功能與Web認證的Auth-fail VLAN互斥。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置端口安全用戶的認證前域。
port-security pre-auth domain isp-name
缺省情況下，未配置端口安全用戶的認證前域。
在用戶認證過程中，當重定向URL指定的Web服務器不可達時，用戶將無法到達指定的Web認證頁麵，從而無法正常上線。配置URL不可達逃生域後，在重定向URL不可達時，用戶可以在逃生域中上線，並訪問其中的資源。
本特性僅適用於MAC地址認證和Web認證用戶。
本功能與802.1X、MAC地址認證和Web認證模塊的Guest VLAN、Auth-fail VLAN、Critical VLAN互斥。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置端口安全用戶重定向URL不可達時的逃生域。
port-security url-unavailable domain isp-name
缺省情況下，未指定端口安全用戶認證過程中重定向URL不可達時的逃生域。
在網絡環境中，對於打印機等啞終端，管理員一般為其分配靜態IP地址。對於這類用戶，為了更加靈活地進行認證，管理員可以將其配置為靜態用戶。配置為靜態用戶後，隻要在靜態用戶所連接的接口上使能了802.1X認證、MAC地址認證以及Web認證中的任意一種，設備就能夠使用靜態用戶的IP地址等信息作為用戶名進行認證。
對於不同靜態用戶的上線處理原則：
· 當IP地址不同，MAC地址也不同時，認為是不同靜態用戶，都可以正常認證上線；
· 當MAC相同時，無論IP地址是否相同，已有該MAC用戶在線時不會再觸發認證，IP地址變化時設備可以通過port-security static-user update-ip enable命令更新靜態用戶的IP地址。
· 當IP地址相同，MAC不同時：
¡ 如果該IP地址綁定了MAC地址，則以綁定的MAC地址上線，其餘MAC地址不會再進行認證；
¡ 如果該IP地址沒有綁定MAC地址，隻要IP地址屬於配置的靜態用戶的IP地址，接口都將允許所有不同MAC地址的用戶通過認證上線。
本命令隻對未上線的靜態用戶生效，刪改配置不會影響在線靜態用戶的狀態。
公網或同一私網下，配置靜態用戶的IP地址範圍不能相互重疊。
當靜態用戶使用的用戶名為IP或MAC地址時，設備上不能開啟MAC地址認證自動恢複功能，否則當設備重啟或故障恢複時，靜態用戶會被當作MAC地址認證用戶恢複上線。MAC地址認證自動恢複功能的詳細介紹請參見“安全配置指導”中的“MAC地址認證”。
(1) 進入係統視圖。
system-view
(2) 配置端口接入認證的靜態用戶。
port-security static-user { ip | ipv6 } start-ip-address [ end-ip-address ] [ vpn-instance vpn-instance-name ] [ domain isp-name | [ interface interface-type interface-number [ detect ] ] vlan vlan-id | mac mac-address | keep-online ] *
缺省情況下，未配置端口接入認證的靜態用戶。
(3) （可選）配置靜態用戶上線時使用的用戶名形式。
port-security static-user user-name-format { ip-address | mac-address | system-name }
缺省情況下，靜態用戶的用戶名為接入設備名稱Sysname和用戶IP地址的結合，格式為SysnameIP。
(4) （可選）靜態用戶用戶名為MAC地址時的賬號格式。
port-security static-user user-name-format mac-address { one-section | { six-section | three-section } delimiter { colon | hyphen } } [ uppercase ] [ password-with-mac ]
缺省情況下，使用用戶的MAC地址作為用戶名時，密碼為空。MAC地址格式為三段式，以短橫線作為分隔符，且字母為小寫。
(5) （可選）配置靜態用戶密碼。
port-security static-user password { cipher | simple } string
缺省情況下，未配置靜態用戶密碼。
(6) （可選）配置靜態用戶下線檢測定時器的值。
port-security static-user timer offline-detect time-value
缺省情況下，靜態用戶下線檢測定時器的值為5分鍾。
(7) （可選）配置設備主動發送ARP報文觸發靜態用戶認證的周期。
port-security static-user timer detect-period time-value
缺省情況下，設備主動發送ARP報文觸發靜態用戶認證的周期為3分鍾。
通過port-security static-user命令配置靜態用戶的IP地址範圍後，IP地址處於此範圍內的終端將作為靜態用戶進行認證。終端作為靜態用戶在線後，某些終端可能會向接入認證設備發送異常的ARP報文，這類異常ARP報文的源地址不是靜態用戶的IP地址，觸發設備更新終端的IP地址，更新地址後終端不再是靜態用戶，導致終端下線。
缺省情況下，當收到異常ARP報文時，若源地址非靜態用戶的IP地址，設備不會更新靜態用戶的IP地址，避免導致在線靜態用戶下線。當想要跟蹤終端IP地址的變化情況時，可以選擇開啟本功能，允許設備更新靜態用戶的IP地址。
本功能需要配合DHCP Snooping、ARP Snooping、DHCPv6 Snooping或ND Snooping功能使用，隻有使能相應的Snooping功能，才能收到該Snooping模塊通知的IP地址的變化情況。
(1) 進入係統視圖。
system-view
(2) 配置允許設備更新靜態用戶的IP地址。
port-security static-user update-ip enable
缺省情況下，不允許設備更新靜態用戶的IP地址。
由於係統資源有限，如果當前端口上接入的用戶過多，接入用戶之間會發生資源的爭用，因此適當地配置該值可以使屬於當前端口的用戶獲得可靠的性能保障。當接入此端口的靜態用戶數達到最大值後，新接入的靜態用戶將被拒絕通過此端口上線。
(1) 進入係統視圖。
system-view
(2) 進入接口視圖。
interface interface-type interface-number
(3) 配置端口上最多允許同時接入的靜態用戶數。
port-security static-user max-user max-number
缺省情況下，端口上最多允許同時接入的靜態用戶數為4294967295。
配置靜態用戶的IP地址範圍後，匹配上靜態用戶IP的終端能作為靜態用戶認證上線，但在實際使用中存在以下問題：
· 終端發送的第一個報文不可控，當終端首先發送的是不攜帶IP地址的二層報文時，終端無法匹配上靜態用戶的IP，反而會先觸發MAC地址認證。
· 當用戶終端支持IPv4和IPv6雙棧協議時，如果僅配置了靜態用戶的IPv4地址，但終端首先發送的是IPv6報文，則同樣會先觸發MAC地址認證。
為了解決如上問題，可以選擇將MAC地址作為靜態用戶的匹配條件。
配置本功能後，MAC地址匹配上指定ACL規則的用戶將隻允許作為靜態用戶認證上線，不允許觸發其它方式的認證。
本功能中指定的ACL必須是二層ACL，且隻能配置指定源MAC地址範圍的permit類型的規則。
(1) 進入係統視圖。
system-view
(2) 配置靜態用戶MAC地址的匹配規則。
port-security static-user match-mac acl acl-number
缺省情況下，未配置靜態用戶MAC地址的匹配規則。
為了實現用戶快速完成端口安全認證配置，設備使用端口安全認證模板統一管理接入認證的配置信息。通過在認證模板下綁定802.1X和MAC地址認證接入模板、配置認證順序等，滿足用戶基本的接入控製需求。
接口綁定端口安全認證模板後，將使用端口安全認證模板下的配置對接入用戶進行認證：
· 對於接口視圖和端口安全認證模板視圖下均支持配置的功能（命令行形式可能存在差異），無論當前端口安全認證模板下是否已配置，接口下的此類功能配置都會被立即刪除。如需使用上述功能，請在接口綁定的端口安全認證模板視圖下配置。
· 對於接口視圖下支持但認證模板視圖下不支持的配置，在接口下配置後仍會正常生效。
· 端口采用的認證方式由端口安全認證模板下綁定的接入模板類型（802.1X接入模板、MAC地址認證接入模板）決定。
綁定端口安全認證模板的接口僅支持采用基於MAC的認證方式完成認證，即除了綁定MAC地址認證接入模板外，當認證模板下綁定802.1X接入模板時，同樣默認采用基於MAC的802.1X認證方式。
一個端口安全認證模板可以被不同接口綁定，但一個接口隻能綁定一個端口安全認證模板，如需綁定其它端口安全認證模板，請先解除原有綁定。
當接口上綁定的認證模板已經生效，刪除已引用的認證模板會導致在線用戶異常掉線。
建議同一接口上端口安全認證模板功能與基於端口的802.1X接入控製方式（執行dot1x port-method portbased命令）不要同時配置，否則可能造成認證功能異常。
(1) 進入係統視圖。
system-view
(2) 創建端口安全認證模板並進入認證模板視圖。
port-security authentication-profile name profile-name
缺省情況下，不存在端口安全認證模板。
(3) 在端口安全認證模板下綁定802.1X接入模板。
dot1x access-profile profile-name
缺省情況下，端口安全認證模板下未綁定802.1X接入模板。
(4) 在端口安全認證模板下綁定MAC地址認證接入模板。
mac-authentication access-profile profile-name
缺省情況下，端口安全認證模板未綁定MAC地址認證接入模板。
(5) 退出端口安全認證模板視圖。
quit
(6) 進入接口視圖。
interface interface-type interface-number
(7) 在接口下綁定端口安全認證模板。
port-security authentication-profile profile-name
缺省情況下，接口未綁定端口安全認證模板。
端口采用802.1X和MAC地址組合認證功能時，用戶可以根據需要自行配置端口的接入認證順序。
· dot1x-mac認證順序下，如果想要端口加入到802.1X Guest VLAN之前進行MAC地址認證並下發授權VLAN，可以通過port-security auth-order dot1x-mac parallel開啟端口MAC地址認證和802.1X認證並行處理功能，並配置端口延遲加入802.1X Guest VLAN功能。關於端口延遲加入802.1X Guest VLAN配置命令的詳細介紹，請參見“安全命令參考”中的“802.1X”。
· mac-dot1x認證順序下，如果希望接入用戶隻有在MAC地址認證和802.1X認證均認證成功後才能上線，可以通過port-security auth-order mac-dot1x multiple開啟端口多步認證功能。
通過配置port-security auth-order命令修改端口的接入認證順序後，將導致正在認證的用戶認證失敗，用戶需要重新觸發認證才能上線。為了避免造成認證用戶無法上線，請勿隨意配置本功能修改認證方式順序。
開啟了MAC地址認證和802.1X認證並行處理功能後，不建議配置端口的MAC地址認證延遲功能。
(1) 進入係統視圖。
system-view
(2) 進入端口安全認證模板視圖。
port-security authentication-profile name profile-name
缺省情況下，不存在端口安全認證模板。
(3) 配置端口安全認證順序。
port-security auth-order { dot1x-mac [ parallel ] | mac-dot1x [ multiple ] }
缺省情況下，端口收到源MAC地址未知的報文後，按照802.1X認證完成後再進行MAC地址認證的順序進行處理。
缺省情況下，接入端口由UP變DOWN時在線用戶會立即下線，端口UP後用戶需要重新認證上線。為了避免端口頻繁震蕩時用戶需要反複重新認證上線，可以根據需要對在線用戶配置如下兩種處理措施：
· keep-online：接入端口DOWN時在線用戶始終保持在線，接入端口UP後無需重新認證。
· offline-delay：接入端口DOWN時在線用戶延遲下線。
¡ 在延遲時間內，用戶保持在線狀態，端口由DOWN變UP無需重新認證。
¡ 到達延遲時間後，若端口仍為DOWN，則在線用戶下線。端口UP後，該用戶需要重新認證上線。
本命令僅在鏈路異常導致端口自動DOWN的情況下生效，對手動執行shutdown命令導致端口DOWN的情況不生效。
本命令僅在接入端口UP時配置才能生效，接入端口DOWN後，執行本命令修改或刪除配置均不生效。
(1) 進入係統視圖。
system-view
(2) 進入端口安全認證模板視圖。
port-security authentication-profile name profile-name
缺省情況下，不存在端口安全認證模板。
(3) 配置接入端口DOWN時對在線用戶的處理措施。
port-security link-down action { keep-online | offline-delay delay-value }
缺省情況下，接入端口DOWN時在線用戶會立即下線。
缺省情況下，設備使用0.0.0.0作為ARP探測報文的源IP地址，但網絡中可能存在部分用戶不支持回應源IP地址為0.0.0.0的ARP探測報文，此時可以由本功能中指定的IP地址和用戶IP地址計算出新的源IP地址。
ARP探測報文的源IP地址由用戶地址和本功能中指定的IP地址計算得出，計算公式為：IP = (用戶IP & 配置mask) | (配置IP & ~配置mask)，其中“~mask”表示反向掩碼，如255.255.255.0的反向掩碼為0.0.0.255。例如，當用戶IP地址為192.168.8.1/24時，如果本功能配置的IP地址為1.1.1.11/255.255.255.0，則ARP探測報文的源IP地址為192.168.8.11/24。
本功能僅對配置後上線的新用戶生效。
(1) 進入係統視圖。
system-view
(2) 配置計算ARP探測報文源IP地址所需的地址和掩碼。
port-security packet-detect arp-source-ip factor ip-address { mask | mask-length }
缺省情況下，未配置計算ARP探測報文源IP地址所需的地址和掩碼，ARP探測報文的源IP地址固定為0.0.0.0。
端口安全支持配置兩種類型的非認證成功在線用戶定時器：
· 周期性重認證定時器：設備以此間隔為周期對處於指定域內的802.1X認證、MAC地址認證或Web認證在線用戶發起重認證。
· 用戶老化定時器：到達配置的老化時間後，802.1X認證、MAC地址認證或Web認證在線用戶將離開指定的域。
(1) 進入係統視圖。
system-view
(2) 配置端口非認證成功在線用戶定時器的值。
port-security timer { reauth-period { auth-fail-domain | preauth-domain } | user-aging { auth-fail-domain | critical-domain | preauth-domain } } time-value
缺省情況下，周期性重認證定時器的值為600秒，用戶老化定時器的值為23小時。
網絡拓撲改變時，STP（Spanning Tree Protocol，生成樹協議）模塊會發送TC（Topology Change，拓撲改變）事件報文通知相關設備網絡拓撲發生變化。
開啟本功能後，當TC隔離組內的網絡拓撲改變，導致成員端口上的在線用戶流量轉發異常時，設備可以根據報文探測結果或TC隔離組成員端口狀態遷移用戶，避免某些用戶無法主動發送用戶報文觸發遷移，同時通過免認證實現遷移用戶的快速重新上線。
本功能實現過程如下：
· 當隔離組的某成員端口處於UP狀態且收到TC事件報文後，設備將查詢從該端口上線的認證用戶，並通過隔離組的另一個成員端口每隔一個探測周期通過另一個成員端口向該成員端口上的在線用戶發送ARP/NS探測報文：
¡ 如果另一個成員端口收到了用戶的回應報文，則該用戶將跳過認證流程，直接遷移到另一個成員端口上線。
¡ 如果另一個成員端口在探測達到最大次數時仍未收到回應報文，則設備認為本隔離組所在網絡拓撲不變，不遷移用戶。
· 當由於隔離組的某成員端口DOWN導致網絡拓撲改變時，設備不會等收到STP模塊發送的TC事件報文，也不會主動從另一個成員端口探測用戶，會立即將用戶從該成員端口免認證遷移到另一個成員端口。遷移後，可通過在新端口上開啟下線檢測或ARP/NS報文探測功能判斷用戶是否能正常上線。
關於TC隔離組的詳細介紹，請參見“二層技術-以太網交換配置指導”中的“生成樹”。
本功能僅對靜態用戶、MAC地址認證用戶和802.1X用戶生效。
建議隔離組兩個成員端口上的所有配置保持一致，否則可能導致用戶遷移失敗。
(1) 進入係統視圖。
system-view
(2) 配置允許用戶在隔離組的成員端口間免認證遷移。
port-security topology-change free-mac-move
缺省情況下，網絡拓撲改變時，不允許用戶在隔離組的成員端口間免認證遷移。
(3) 配置網絡拓撲改變時，設備主動發送ARP/NS探測報文的周期。
port-security topology-change detect-period time-value
缺省情況下，網絡拓撲改變時，設備主動發送ARP/NS探測報文的周期為5秒。
(4) 配置網絡拓撲改變時，設備主動發送ARP/NS探測報文的最大次數。
port-security topology-change detect-retry retries
缺省情況下，當網絡拓撲改變時，設備發送探測報文的最大次數為3。
開啟端口安全告警功能後，該模塊會生成告警信息，用於報告該模塊的重要事件。生成的告警信息將發送到設備的SNMP模塊，通過設置SNMP中告警信息的發送參數，來決定告警信息輸出的相關屬性。有關告警信息的詳細介紹，請參見“網絡管理和監控配置指導”中的“SNMP”。
(1) 進入係統視圖。
system-view
(2) 打開指定告警信息的開關。
snmp-agent trap enable port-security [ address-learned | dot1x-failure | dot1x-logoff | dot1x-logon | intrusion | mac-auth-failure | mac-auth-logoff | mac-auth-logon ] *
缺省情況下，所有告警信息的開關處於關閉狀態。
端口安全接入用戶日誌信息是為了滿足網絡管理員維護的需要，對用戶的接入信息進行記錄。設備生成的端口安全日誌信息會交給信息中心模塊處理，信息中心模塊的配置將決定日誌信息的發送規則和發送方向。關於信息中心的詳細描述請參見“網絡管理和監控配置指導”中的“信息中心”。
為了防止設備輸出過多的端口安全接入用戶日誌信息，一般情況下建議關閉此功能。
(1) 進入係統視圖。
system-view
(2) 開啟端口安全接入用戶日誌信息功能。
port-security access-user log enable [ failed-authorization | mac-learning | violation | vlan-mac-limit ] *
缺省情況下，端口安全接入用戶日誌信息功能處於關閉狀態。
配置本命令時，如果未指定任何參數，將同時開啟所有參數對應的日誌功能。
在完成上述配置後，在任意視圖下執行display命令可以顯示配置後端口安全的運行情況，通過查看顯示信息驗證配置的效果。
|
操作 |
命令 |
|
顯示端口安全的配置信息、運行情況和統計信息 |
display port-security [ interface interface-type interface-number ] |
|
顯示端口接入在線用戶的表項信息 |
display port-security access-user [ access-type { dot1x | mac-auth | web-auth | static } | domain domain-name | online-type { auth-fail-domain | critical-domain | preauth-domain | success | url-unavailable-domain } | slot slot-number ] * [ brief ] |
|
顯示端口安全認證模板的配置信息 |
display port-security authentication-profile [ name profile-name ] |
|
顯示安全MAC地址信息 |
display port-security mac-address security [ interface interface-type interface-number ] [ vlan vlan-id ] [ count ] |
|
顯示阻塞MAC地址信息 |
display port-security mac-address block [ interface interface-type interface-number ] [ vlan vlan-id ] [ count ] |
|
顯示靜態用戶的配置信息 |
display port-security static-user |
|
顯示在線靜態用戶的信息 |
display port-security static-user connection [ interface interface-type interface-number | online-type { auth-fail-domain | critical-domain | preauth-domain | success } | slot slot-number | user-name user-name ] | { ip | ipv6 } ip-address | mac mac-address ] |
|
顯示端口安全的統計計數信息 |
display port-security statistics [ slot slot-number ] |
|
強製在線靜態用戶下線 |
reset port-security static-user [ interface interface-type interface-number | { ip | ipv6 } ip-address | mac mac-address | online-type { auth-fail-domain | critical-domain | preauth-domain | success } | user-name user-name ] |
|
清除端口安全的統計計數信息 |
reset port-security statistics |
在Device的端口GigabitEthernet1/0/1上對接入用戶做如下的限製：
· 允許64個用戶自由接入，不進行認證，將學習到的用戶MAC地址添加為Sticky MAC地址，老化時間為30分鍾；
· 當安全MAC地址數量達到64後，停止學習；當再有新的MAC地址接入時，觸發入侵檢測，並將此端口關閉30秒。
圖1-1 端口安全autoLearn模式組網圖
# 使能端口安全。
<Device> system-view
[Device] port-security enable
# 設置安全MAC地址的老化時間為30分鍾。
[Device] port-security timer autolearn aging 30
# 設置端口安全允許的最大安全MAC地址數為64。
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] port-security max-mac-count 64
# 設置端口安全模式為autoLearn。
[Device-GigabitEthernet1/0/1] port-security port-mode autolearn
# 設置觸發入侵檢測特性後的保護動作為暫時關閉端口，關閉時間為30秒。
[Device-GigabitEthernet1/0/1] port-security intrusion-mode disableport-temporarily
[Device-GigabitEthernet1/0/1] quit
[Device] port-security timer disableport 30
上述配置完成後，可以使用如下顯示命令查看端口安全的配置情況。
[Device] display port-security interface gigabitethernet 1/0/1
Global port security parameters:
Port security : Enabled
M-LAG load sharing mode (criterion) : Distributed (local)
M-LAG member's authentication scope : Local M-LAG interfaces
M-LAG member configuration conflict : Unknown
AutoLearn aging time : 30 min
Disableport timeout : 30 sec
Blockmac timeout : 180 sec
MAC move : Denied
Authorization fail : Online
NAS-ID profile : Not configured
Dot1x-failure trap : Disabled
Dot1x-logon trap : Disabled
Dot1x-logoff trap : Disabled
Intrusion trap : Disabled
Address-learned trap : Disabled
Mac-auth-failure trap : Disabled
Mac-auth-logon trap : Disabled
Mac-auth-logoff trap : Disabled
Open authentication : Disabled
Traffic-statistics : Disabled
User aging period for preauth domain : 82800 sec
User aging period for Auth-Fail domain : 82800 sec
User aging period for critical domain : 82800 sec
Reauth period for preauth domain : 600 sec
Reauth period for Auth-Fail domain : 600 sec
MAC move for topology change protection : Denied
Topology change detection period : 5 sec
Max detection attempts : 3
OUI value list :
Index : 1 Value : 123401
GigabitEthernet1/0/1 is link-up
Port mode : autoLearn
Pre-auth domain : Not configured
URL-unavailable domain : Not configured
NeedToKnow mode : Disabled
Intrusion protection mode : DisablePortTemporarily
Security MAC address attribute
Learning mode : Sticky
Aging type : Periodical
Max secure MAC addresses : 64
Current secure MAC addresses : 0
Authorization : Permitted
NAS-ID profile : Not configured
Free VLANs : Not configured
Open authentication : Disabled
MAC-move VLAN check bypass : Disabled
可以看到端口安全所允許的最大安全MAC地址數為64，端口模式為autoLearn，入侵檢測保護動作為DisablePortTemporarily，入侵發生後端口被禁用時間為30秒。
配置生效後，端口允許地址學習，學習到的MAC地址數可在上述顯示信息的“Current number of secure MAC addresses”字段查看到，具體的MAC地址信息可以在接口視圖下用display this命令查看。
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] display this
#
interface GigabitEthernet1/0/1
port-security max-mac-count 64
port-security port-mode autolearn
port-security mac-address security sticky 0002-0000-0015 vlan 1
port-security mac-address security sticky 0002-0000-0014 vlan 1
port-security mac-address security sticky 0002-0000-0013 vlan 1
port-security mac-address security sticky 0002-0000-0012 vlan 1
port-security mac-address security sticky 0002-0000-0011 vlan 1
#
當學習到的MAC地址數達到64後，用命令display port-security interface可以看到端口模式變為secure，再有新的MAC地址到達將觸發入侵保護，可以通過命令display interface看到此端口關閉。30秒後，端口狀態恢複。此時，如果手動刪除幾條安全MAC地址後，端口安全的狀態重新恢複為autoLearn，可以繼續學習MAC地址。
客戶端通過端口GigabitEthernet1/0/1連接到Device上，Device通過RADIUS服務器對客戶端進行身份認證，如果認證成功，客戶端被授權允許訪問Internet資源。
· IP地址為192.168.1.2的RADIUS服務器作為主認證服務器和從計費服務器，IP地址為192.168.1.3的RADIUS服務器作為從認證服務器和主計費服務器。認證共享密鑰為name，計費共享密鑰為money。
· 所有接入用戶都使用ISP域sun的認證/授權/計費方法，該域最多可同時接入30個用戶；
· 係統向RADIUS服務器重發報文的時間間隔為5秒，重發次數為5次，發送實時計費報文的時間間隔為15分鍾，發送的用戶名不帶域名。
· 端口GigabitEthernet1/0/1同時允許一個802.1X用戶以及一個與指定OUI值匹配的設備接入。
圖1-2 端口安全userLoginWithOUI模式組網圖
· 下述配置步驟包含了部分AAA/RADIUS協議配置命令，具體介紹請參見“安全配置指導”中的“AAA”。
· 保證客戶端和RADIUS服務器之間路由可達。
(1) 配置AAA
# 配置RADIUS方案。
<Device> system-view
[Device] radius scheme radsun
[Device-radius-radsun] primary authentication 192.168.1.2
[Device-radius-radsun] primary accounting 192.168.1.3
[Device-radius-radsun] secondary authentication 192.168.1.3
[Device-radius-radsun] secondary accounting 192.168.1.2
[Device-radius-radsun] key authentication simple name
[Device-radius-radsun] key accounting simple money
[Device-radius-radsun] timer response-timeout 5
[Device-radius-radsun] retry 5
[Device-radius-radsun] timer realtime-accounting 15
[Device-radius-radsun] user-name-format without-domain
[Device-radius-radsun] quit
# 配置ISP域。
[Device] domain sun
[Device-isp-sun] authentication lan-access radius-scheme radsun
[Device-isp-sun] authorization lan-access radius-scheme radsun
[Device-isp-sun] accounting lan-access radius-scheme radsun
[Device-isp-sun] quit
(2) 配置802.1X
# 配置802.1X的認證方式為CHAP。（該配置可選，缺省情況下802.1X的認證方式為CHAP）
[Device] dot1x authentication-method chap
# 指定端口上接入的802.1X用戶使用強製認證域sun。
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] dot1x mandatory-domain sun
[Device-GigabitEthernet1/0/1] quit
(3) 配置端口安全
# 使能端口安全。
[Device] port-security enable
# 添加5個OUI值。（最多可添加16個，此處僅為示例。最終，端口僅允許一個與某OUI值匹配的用戶通過認證）
[Device] port-security oui index 1 mac-address 1234-0100-1111
[Device] port-security oui index 2 mac-address 1234-0200-1111
[Device] port-security oui index 3 mac-address 1234-0300-1111
[Device] port-security oui index 4 mac-address 1234-0400-1111
[Device] port-security oui index 5 mac-address 1234-0500-1111
# 設置端口安全模式為userLoginWithOUI。
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] port-security port-mode userlogin-withoui
[Device-GigabitEthernet1/0/1] quit
# 查看端口安全的配置信息。
[Device] display port-security interface gigabitethernet 1/0/1
Global port security parameters:
Port security : Enabled
M-LAG load sharing mode (criterion) : Distributed (local)
M-LAG member's authentication scope : Local M-LAG interfaces
M-LAG member configuration conflict : Unknown
AutoLearn aging time : 30 min
Disableport timeout : 30 sec
Blockmac timeout : 180 sec
MAC move : Denied
Authorization fail : Online
NAS-ID profile : Not configured
Dot1x-failure trap : Disabled
Dot1x-logon trap : Disabled
Dot1x-logoff trap : Disabled
Intrusion trap : Disabled
Address-learned trap : Disabled
Mac-auth-failure trap : Disabled
Mac-auth-logon trap : Disabled
Mac-auth-logoff trap : Disabled
Open authentication : Disabled
Traffic-statistics : Disabled
User aging period for preauth domain : 82800 sec
User aging period for Auth-Fail domain : 82800 sec
User aging period for critical domain : 82800 sec
Reauth period for preauth domain : 600 sec
Reauth period for Auth-Fail domain : 600 sec
MAC move for topology change protection : Denied
Topology change detection period : 5 sec
Max detection attempts : 3
OUI value list :
Index : 1 Value : 123401
Index : 2 Value : 123402
Index : 3 Value : 123403
Index : 4 Value : 123404
Index : 5 Value : 123405
GigabitEthernet1/0/1 is link-up
Port mode : userLoginWithOUI
Pre-auth domain : Not configured
URL-unavailable domain : Not configured
NeedToKnow mode : Disabled
Intrusion protection mode : NoAction
Security MAC address attribute
Learning mode : Sticky
Aging type : Periodical
Max secure MAC addresses : Not configured
Current secure MAC addresses : 1
Authorization ：Permitted
NAS-ID profile : Not configured
Free VLANs : Not configured
Open authentication : Disabled
MAC-move VLAN check bypass : Disabled
配置完成後，如果有802.1X用戶上線，則可以通過上述顯示信息看到當前端口保存的MAC地址數為1。還可以通過display dot1x命令查看該802.1X用戶的在線情況。
此外，端口還允許一個MAC地址與OUI值匹配的用戶通過，可以通過下述命令查看。
[Device] display mac-address interface gigabitethernet 1/0/1
MAC Address VLAN ID State Port/Nickname Aging
1234-0300-0011 1 Learned GE1/0/1 Y
客戶端通過端口GigabitEthernet1/0/1連接到Device上，Device通過RADIUS服務器對客戶端進行身份認證。如果認證成功，客戶端被授權允許訪問Internet資源。
· 可以有多個MAC認證用戶接入；
· 如果是802.1X用戶請求認證，先進行MAC地址認證，MAC地址認證失敗，再進行802.1X認證。最多隻允許一個802.1X用戶接入；
· MAC地址認證設置用戶名格式為用戶MAC地址的形式；
· 上線的MAC地址認證用戶和802.1X認證用戶總和不能超過64個；
· 為防止報文發往未知目的MAC地址，啟動ntkonly方式的Need To Know特性。
圖1-3 端口安全macAddressElseUserLoginSecure模式組網圖
· RADIUS認證/計費及ISP域的配置同“1.30.2 端口安全userLoginWithOUI模式配置舉例”，這裏不再贅述。
· 保證接入用戶和RADIUS服務器之間路由可達。
# 使能端口安全。
<Device> system-view
[Device] port-security enable
# 配置MAC認證的用戶名和密碼，使用帶連字符“-”的MAC地址格式，其中字母大寫。
[Device] mac-authentication user-name-format mac-address with-hyphen uppercase
# 配置MAC地址認證用戶所使用的ISP域。
[Device] mac-authentication domain sun
# 配置802.1X的認證方式為CHAP。（該配置可選，缺省情況下802.1X的認證方式為CHAP）
[Device] dot1x authentication-method chap
# 設置端口安全允許的最大MAC地址數為64。
[Device] interface gigabitethernet 1/0/1
[Device-GigabitEthernet1/0/1] port-security max-mac-count 64
# 設置端口安全模式為macAddressElseUserLoginSecure。
[Device-GigabitEthernet1/0/1] port-security port-mode mac-else-userlogin-secure
# 指定端口上接入的802.1X用戶使用強製認證域sun。
[Device-GigabitEthernet1/0/1] dot1x mandatory-domain sun
[Device-GigabitEthernet1/0/1] quit
# 設置端口Need To Know模式為ntkonly。
[Device-GigabitEthernet1/0/1] port-security ntk-mode ntkonly
[Device-GigabitEthernet1/0/1] quit
# 查看端口安全的配置信息。
[Device] display port-security interface gigabitethernet 1/0/1
Global port security parameters:
Port security : Enabled
M-LAG load sharing mode (criterion) : Distributed (local)
M-LAG member's authentication scope : Local M-LAG interfaces
M-LAG member configuration conflict : Unknown
AutoLearn aging time : 30 min
Disableport timeout : 30 sec
Blockmac timeout : 180 sec
MAC move : Denied
Authorization fail : Online
NAS-ID profile : Not configured
Dot1x-failure trap : Disabled
Dot1x-logon trap : Disabled
Dot1x-logoff trap : Disabled
Intrusion trap : Disabled
Address-learned trap : Disabled
Mac-auth-failure trap : Disabled
Mac-auth-logon trap : Disabled
Mac-auth-logoff trap : Disabled
Open authentication : Disabled
Traffic-statistics : Disabled
User aging period for preauth domain : 82800 sec
User aging period for Auth-Fail domain : 82800 sec
User aging period for critical domain : 82800 sec
Reauth period for preauth domain : 600 sec
Reauth period for Auth-Fail domain : 600 sec
MAC move for topology change protection : Denied
Topology change detection period : 5 sec
Max detection attempts : 3
OUI value list :
GigabitEthernet1/0/1 is link-up
Port mode : macAddressElseUserLoginSecure
Pre-auth domain : Not configured
URL-unavailable domain : Not configured
NeedToKnow mode : NeedToKnowOnly
Intrusion protection mode : NoAction
Security MAC address attribute
Learning mode : Sticky
Aging type : Periodical
Max secure MAC addresses : 64
Current secure MAC addresses : 0
Authorization : Permitted
NAS-ID profile : Not configured
Free VLANs : Not configured
Open authentication : Disabled
MAC-move VLAN check bypass : Disabled
配置完成後，如果有用戶認證上線，則可以通過下述顯示信息看到當前端口上的用戶認證信息。
# 查看MAC地址認證信息。
[Device] display mac-authentication interface gigabitethernet 1/0/1
Global MAC authentication parameters:
MAC authentication : Enabled
Authentication method : PAP
M-LAG member configuration conflict : Unknown
User name format : MAC address in uppercase(XX-XX-XX-XX-XX-XX)
Username : mac
Password : Not configured
MAC range accounts : 0
MAC address Mask Username
Offline detect period : 300 s
Quiet period : 180 s
Server timeout : 100 s
Reauth period : 3600 s
User aging period for critical VLAN : 1000 s
User aging period for guest VLAN : 1000 s
Temporary user aging period : 60 s
Authentication domain : sun
HTTP proxy port list : Not configured
HTTPS proxy port list : Not configured
Online MAC-auth wired users : 3
Silent MAC users:
MAC address VLAN ID From port Port index
GigabitEthernet1/0/1 is link-up
MAC authentication : Enabled
Carry User-IP : Disabled
Authentication domain : Not configured
Auth-delay timer : Disabled
Periodic reauth : Disabled
Re-auth server-unreachable : Logoff
Guest VLAN : Not configured
Guest VLAN auth-period : 30 s
Critical VLAN : Not configured
Critical voice VLAN : Disabled
Host mode : Single VLAN
Offline detection : Enabled
Authentication order : Default
User aging : Enabled
Server-recovery online-user-sync : Enabled
URL user logoff : No
Auto-tag feature : Disabled
VLAN tag configuration ignoring : Disabled
Max online users : 4294967295
Max online preauth-domain users : 4294967295
Max online Auth-Fail-domain users : 4294967295
Auth-server-unavailable escape ：Disabled
Authentication attempts : successful 3, failed 7
Current online users : 3
MAC address Auth state
1234-0300-0011 Authenticated
1234-0300-0012 Authenticated
1234-0300-0013 Authenticated
# 查看802.1X認證信息。
[Device] display dot1x interface gigabitethernet 1/0/1
Global 802.1X parameters:
802.1X authentication : Enabled
M-LAG member configuration conflict : Unknown
CHAP authentication : Enabled
Max-tx period : 30 s
Handshake period : 15 s
Offline detect period : 300 s
Quiet timer : Disabled
Quiet period : 60 s
Supp timeout : 30 s
Server timeout : 100 s
Reauth period : 3600 s
Unicast-trigger quiet period : 0 s
Max auth requests : 2
User aging period for Auth-Fail VLAN : 1000 s
User aging period for critical VLAN : 1000 s
User aging period for guest VLAN : 1000 s
EAD assistant function : Disabled
Permit authentication-escape : Disabled
EAD timeout : 30 min
Domain delimiter : @
Max-user-alarm trigger threshold : 100%
Max-user-alarm clear threshold : 50%
Online 802.1X wired users : 1
GigabitEthernet1/0/1 is link-up
802.1X authenticaiton : Enabled
Handshake : Enabled
Handshake reply : Disabled
Handshake security : Disabled
Unicast trigger : Disabled
Periodic reauth : Disabled
Port role : Authenticator
Authorization mode : Auto
Port access control : MAC-based
Multicast trigger : Enabled
Mandatory auth domain : sun
Guest VLAN : Not configured
Auth-Fail VLAN : Not configured
Critical VLAN : Not configured
Critical voice VLAN : Disabled
Add Guest VLAN delay : Disabled
Re-auth server-unreachable : Logoff
Max online users : 4294967295
Max online preauth-domain users : 4294967295
Max online Auth-Fail-domain users : 4294967295
User IP freezing : Disabled
Reauth period : 60 s
Send Packets Without Tag : Disabled
Max Attempts Fail Number : Not configured
User aging : Enabled
Server-recovery online-user-sync : Enabled
Auth-Fail EAPOL : Disabled
Critical EAPOL : Disabled
Discard duplicate EAPOL-Start : No
Auth-server-unavailable escape : Disabled
EAPOL packets: Tx 16331, Rx 102
Sent EAP Request/Identity packets : 16316
EAP Request/Challenge packets: 6
EAP Success packets: 4
EAP Failure packets: 5
Received EAPOL Start packets : 6
EAPOL LogOff packets: 2
EAP Response/Identity packets : 80
EAP Response/Challenge packets: 6
Error packets: 0
Online 802.1X users: 1
MAC address Auth state
0002-0000-0011 Authenticated
此外，因為設置了Need To Know特性，目的MAC地址未知、廣播和多播報文都被丟棄。
無法設置端口的端口安全模式。
在當前端口的端口安全模式已配置的情況下，無法直接對端口安全模式進行設置。
首先設置端口安全模式為noRestrictions狀態，再設置新的端口安全模式。
[Device-GigabitEthernet1/0/1] undo port-security port-mode
[Device-GigabitEthernet1/0/1] port-security port-mode autolearn
無法配置安全MAC地址。
端口安全模式為非autoLearn時，不能對安全MAC地址進行設置。
設置端口安全模式為autoLearn狀態。
[Device-GigabitEthernet1/0/1] undo port-security port-mode
[Device-GigabitEthernet1/0/1] port-security max-mac-count 64
[Device-GigabitEthernet1/0/1] port-security port-mode autolearn
[Device-GigabitEthernet1/0/1] port-security mac-address security 1-1-2 vlan 1
不同款型規格的資料略有差異, 詳細信息請向具體銷售和400谘詢。H3C保留在沒有任何通知或提示的情況下對資料內容進行修改的權利!
支持
