802.1x和端口安全问题
- 0关注
- 1收藏，5913浏览
问题描述：
现在端口基于 macbase控制（dot port-method macbased ），设置的max-user 1 。如何实现这个端口下，如果接入多个设备就会 shutdown掉。
用端口安全的方法实现的话（port-security enable），就不能启用dot1x。提示：Can't enable port security for 802.1X is enabled。 还能用什么方法实现呢。
- 2017-08-15提问
- 举报
-
(0)
最佳答案
端口安全与802.1X功能冲突，可以试试单独用端口安全实现
安全模式 | 工作机制 | NTK/入侵检测 | ||
缺省情况 | noRestrictions | 表示端口的安全功能关闭，端口处于无限制状态 | 无效 | |
端口控制MAC地址学习 | autoLearn | 端口可通过手工配置或自动学习MAC地址。这些新的MAC地址被称为安全MAC，并被添加到安全MAC地址表中 当端口下的安全MAC地址数超过端口安全允许学习的最大MAC地址数后，端口模式会自动转变为secure模式。之后，该端口停止添加新的安全MAC，只有源MAC地址为安全MAC地址、手工配置的MAC地址的报文，才能通过该端口 该模式下，端口禁止学习动态MAC地址 | 可触发 | |
secure | 禁止端口学习MAC地址，只有源MAC地址为端口上的安全MAC地址、手工配置的MAC地址的报文，才能通过该端口 | |||
端口采用802.1X认证 | userLogin | 对接入用户采用基于端口的802.1X认证 此模式下，端口下的第一个802.1X用户认证成功后，其它用户无须认证就可接入 | 无效 | |
userLoginSecure | 对接入用户采用基于MAC地址的802.1X认证 此模式下，端口最多只允许一个802.1X认证用户接入 | 可触发 | ||
userLoginWithOUI | 该模式与userLoginSecure模式类似，但端口上除了允许一个802.1X认证用户接入之外，还额外允许一个特殊用户接入，该用户报文的源MAC的OUI与设备上配置的OUI值相符 在用户接入方式为有线的情况下，802.1X报文进行802.1X认证，非802.1X报文直接进行OUI匹配，802.1X认证成功和OUI匹配成功的报文都允许通过端口 | |||
userLoginSecureExt | 对接入用户采用基于MAC的802.1X认证，且允许端口下有多个802.1X用户 | |||
端口采用MAC地址认证 | macAddressWithRadius | 对接入用户采用MAC地址认证 此模式下，端口允许多个用户接入 | 可触发 | |
端口采用802.1X和MAC地址认证组合认证 | macAddressOrUserLoginSecure | 端口同时处于userLoginSecure模式和macAddressWithRadius模式 在用户接入方式为有线的情况下，非802.1X报文进行MAC地址认证，802.1X报文直接进行802.1X认证 | 可触发 | |
macAddressElseUserLoginSecure | 端口同时处于macAddressWithRadius模式和userLoginSecure模式，但MAC地址认证优先级大于802.1X认证； 在用户接入方式为有线的情况下，非802.1X报文进行MAC地址认证。802.1X报文先进行MAC地址认证，如果MAC地址认证失败再进行802.1X认证 | |||
macAddressOrUserLoginSecureExt | 与macAddressOrUserLoginSecure类似，但允许端口下有多个802.1X和MAC地址认证用户 | |||
macAddressElseUserLoginSecureExt | 与macAddressElseUserLoginSecure类似，但允许端口下有多个802.1X和MAC地址认证用户 | |||
- 2017-08-15回答
- 评论(0)
- 举报
-
(0)
这个我也看了。 802.1x是必须要启用的。要想实现我说的功能（两个以上终端接入，接口自动shutdown掉。），如何实现？ cisco是可以的。
- 2017-08-15回答
- 评论(2)
- 举报
-
(0)
补充一下，配置入侵检测功能时，把最大MAC地址数也加上port-security max-mac-count
端口安全选择userLoginSecure这种模式，然后配置入侵检测特性：port-security intrusion-mode { blockmac | disableport | disableport-temporarily }：
· blockmac：表示将非法报文的源MAC地址加入阻塞MAC地址列表中，源MAC地址为阻塞MAC地址的报文将被丢弃。此MAC地址在被阻塞3分钟（系统默认，不可配）后恢复正常。
· disableport：表示将收到非法报文的端口永久关闭。
· disableport-temporarily：表示将收到非法报文的端口暂时关闭一段时间。关闭时长可通过port-security timer disableport命令配置。
- 2017-08-16回答
- 评论(2)
- 举报
-
(0)
[Device] port-security enable [Device] interface gigabitethernet 1/0/1 [Device-GigabitEthernet1/0/1] port-security port-mode userLoginSecure [Device-GigabitEthernet1/0/1] quit
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明