锐捷端口安全技术白皮书 锐捷网络 网络解决方案第一品牌公司

《锐捷端口安全技术白皮书 锐捷网络 网络解决方案第一品牌公司》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、端口安全技术白皮书锐捷端口安全技术白皮书摘要端口安全是一种基于二层地址或三层地址对网络接入进行控制的安全机制，因此安全地址可以是仅MAC的，仅IP的，也可以是IP+MAC的。在端口打开端口安全功能后,该端口除了源地址为安全地址之外的报文都不允许通过。安全地址可以动态学习，也可以静态配置，同时，还可以限制端口的最大安全地址个数，以及配置安全地址的老化功能。当安全端口的安全地址达到最大限制数之后，如果该端口还收到一个非安全地址报文时，则安全端口会产生违例事件，违例的处理模式有三种，分别为：(1)Protect:：当安全地址个数满后，安全端口将丢弃非安全地址的所

2、有报文；(2)Restrict：当违例产生时，将发送一个Trap通知；(3)Shutdown：当违例产生时，将关闭端口并发送一个Trap通知。本技术白皮书针对我司所有交换机设备的端口安全进行说明，包括S20系列，S21系列，S23系列，S26系列，S29系列，S32系列，S3750系列，S3760系列，S5750系列，S5760系列，S76系列，S86系列以及S96系列。关键词端口安全安全地址安全端口违例福建星网锐捷网络有限公司未经本公司同意，严禁以任何形式拷贝端口安全技术白皮书技术白皮书修订记录日期修订版本修改章节修改描述作者2008/8/31.00福建

3、星网锐捷网络有限公司未经本公司同意，严禁以任何形式拷贝端口安全技术白皮书目录摘要1关键词11缩略语22概述32.1端口安全的提出32.2我们的现状32.3端口安全的术语概述42.3.1安全端口42.3.2安全地址42.4产品支持43技术介绍43.1原理43.1.1二层安全地址53.1.2三层安全地址74锐捷端口安全技术特点84.1各款交换机的安全地址参数比较84.2实时响应，生效迅速，性能稳定94.3端口安全功能限制94.4方便易用的端口安全104.5其他注意事项124.5.1端口安全的默认配置124.5.2Trap信息的提示124.5.3容量计算124.

4、5.4端口安全与其他安全功能的关系144.6典型应用165结束语17福建星网锐捷网络有限公司未经本公司同意，严禁以任何形式拷贝17端口安全技术白皮书缩略语（1）防网关arp欺骗：端口上检查arp报文的源ip是否是配置的网关ip，如果是，则将该报文丢弃，防止非法用户冒充网关进行ARP欺骗。（2）过滤地址：用户配置需过滤的MAC地址，如果收到的报文二层MAC地址与该MAC地址匹配，则该报文被过滤掉。（3）静态地址：静态绑定到端口的MAC。如果收到该MAC的报文，则直接转发到绑定端口。（4）ACLs：即接入控制列表(AccessControlLists)，俗称为

5、防火墙，在有的文档中还称之为包过滤。ACLs通过定义一些规则对网络设备接口上的数据报文进行控制：允许通过或丢弃。按照其使用的范围，可以分为安全ACLs和QoSACLs。（5）安全通道：安全通道也是一个访问控制链表，安全通道可以基于全局安装和接口安装，它与一般ACL的不同体现在优先级上，安全通道的优先级比端口安全，802.1X和安全ACL高，即进入交换机的报文如果匹配上了安全通道的ACL表项就允许通过了，而不再匹配802.1X，安全ACL和端口安全的条件；如果报文流不匹配安全通道的ACL表项，那么再去匹配端口安全、802.1X和安全ACL的条件。（6）PBR

6、：即策略路由，是一种比基于目标网络进行路由更加灵活的数据包路由转发机制。应用了策略路由，设备将通过路由图决定如何对需要路由的数据包进行处理，路由图决定了一个数据包的下一跳转发设备。（7）DOT1X：即符合IEEE802 1x标准，是一种基于端口的网络存取控制标准，为LAN提供点对点式的安全接入。（8）DHCPsnooping：DHCPSnooping就是DHCP窥探，通过对Client和服务器之间的DHCP交互报文进行窥探，实现对用户的监控，同时DHCPSnooping起到一个DHCP报文过滤的功能，通过合理的配置实现对非法服务器的过滤。（9）GSN：即锐

7、捷全局安全方案，由四个元素组成，包括锐捷安全策略管理平台（RGSecuritypolicyManagementPlatform）；锐捷安全客户端（RGSecurityAgent）；锐捷安全修复系统（RGRestoreSystem）；锐捷安全设备（RGSecuritySwitch）。福建星网锐捷网络有限公司未经本公司同意，严禁以任何形式拷贝17端口安全技术白皮书1概述1.1端口安全的提出端口安全是在交换机内建立MAC，IP，或MAC+IP与端口的对应关系表，用以对该端口收到的报文进行控制。当该端口收到符合对应关系的报文时，进行正常转发，当收到的不符合该对应关

8、系的报文则丢弃，通过在端口绑定地址的方法来限制端口的接入访问。端口