目的：隔離同一交換機上屬于相同Vlan的端口之間的互訪。 　　實現： 　　1、Cisco29系列交換機可以做基于2層的端口安全，即mac地址與端口進行綁定。 　　2、Cisco3550以上交換機均可做基于2層和3層的端口安全，即mac地址與端口綁定以及mac地址與ip地址綁定。 　　3、以cisco3550交換機為例 　　做mac地址與端口綁定的可以實現兩種應用： 　　a、設定一端口只接受第一次連接該端口的計算機mac地址，當該端口第一次獲得某計算機mac地址后，其他計算機接入到此端口所發送的數據包則認為非法，做丟棄處理。 　　b、設定一端口只接受某一特定計算機mac地址，其他計算機均無法接入到此端口。 　　4、破解方法：網上前輩所講的破解方法有很多，主要是通過更改新接入計算機網卡的mac地址來實現，但本人認為，此方法實際應用中基本沒有什么作用，原因很簡單，如果不是網管，其他一般人員平時根本不可能去注意合法計算機的mac地址，一般情況也無法進入合法計算機去獲得mac地址，除非其本身就是該局域網的用戶。 　　5、實現方法： 　　針對第3條的兩種應用，分別不同的實現方法 　　a、接受第一次接入該端口計算機的mac地址： 　　Switch#config terminal 　　Switch(config)#interface interface-id 進入需要配置的端口 　　Switch(config-if)#switchport mode access 設置為交換模式 　　Switch(config-if)#switchport port-security 打開端口安全模式 　　Switch(config-if)#switchport port-security violation {protect 　 restrict 　 shutdown } 　　//針對非法接入計算機，端口處理模式 {丟棄數據包，不發警告 　 丟棄數據包，在console發警告 　 關閉端口為err-disable狀態， 　　除非管理員手工激活，否則該端口失效。 　　b、接受某特定計算機mac地址： 　　Switch#config terminal 　　Switch(config)#interface interface-id 　　Switch(config-if)#switchport mode access 　　Switch(config-if)#switchport port-security 　　Switch(config-if)#switchport port-security violation {protect 　 restrict 　 shutdown } 　　//以上步驟與a同 　　Switch(config-if)#switchport port-security mac-address sticky 　　Switch(config-if)#switchport port-security aging static //打開靜態映射 　　Switch(config-if)#switchport port-security mac-address sticky XXXX.XXXX.XXXX 　　//為端口輸入特定的允許通過的mac地址 　　mac地址與ip地址綁定基本原理： 　　在交換機內建立mac地址和ip地址對應的映射表。端口獲得的ip和mac地址將匹配該表，不符合則丟棄該端口發送的數據包。 　　實現方法： 　　Switch#config terminal 　　Switch(config)#arp 1.1.1.1 0001.0001.1111 arpa 　　該配置的主要注意事項：需要將網段內所有IP都建立MAC地址映射，沒有使用的IP地址可以與0000.0000.0000建立映射。 　　否則該綁定對于網段內沒有建立映射的IP地址無效。 　　注意：保護端口只對同一VLAN內的端口有效，對不同VLAN的端口無效。 　　因為一般不同VLAN訪問都做了路由，而相同VLAN內的保護端口是不能訪問的了。

轉載于:https://blog.51cto.com/yueyuanyuan/311394

與50位技術專家面對面20年技術見證，附贈技術全景圖

總結

以上是生活随笔為你收集整理的CISCO 2950，3550交换机的端口隔离的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。