Cấu hình tính năng Port-security

[Trần Hoàng Tú]

Sơ đồ bài lab:

Yêu cầu:

Cấu hình tính năng Port-security chỉ cho phép 1 máy tính (1 địa chỉ MAC) truy nhập vào cổng F0/1 của SW2. Khi có thiết bị lạ cắm vào port này, port sẽ rơi vào trạng thái lỗi và tự động khôi phục lại sau 30 giây nếu không có thiết bị nào truy cập trái phép.

Hướng dẫn:

Trên SW2, ta gõ lệnh sau:

[FONT=courier new]SW2(config)# int f0/1
SW2(config-if)# switchport port-security
SW2(config-if)# switchport port-security mac-address [COLOR=#FF0000][B]xxxx.xxxx.xxxx[/B][/COLOR][/FONT]

Với: xxxx.xxxx.xxxx là MAC của máy tính được phép truy cập. Sau đó ta đổi địa chỉ MAC hoặc dùng máy tính khác cắm vào port F0/1 của SW2, port sẽ chuyển sang trạng thái lỗi:

*Mar  1 06:08:08.328: %PM-4-ERR_DISABLE: psecure-violation [COLOR=#FF0000][B]error detected on Fa0/1, putting Fa0/1 in err-disable state[/B][/COLOR]
*Mar  1 06:08:08.328: %PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred, caused by MAC address 9829.a645.c429 on port FastEthernet0/1.
*Mar  1 06:08:09.334: %LINEPROTO-5-UPDOWN: [COLOR=#FF0000][B]Line protocol on Interface FastEthernet0/1, changed state to down[/B][/COLOR]
*Mar  1 06:08:10.333: %LINK-3-UPDOWN:[COLOR=#FF0000][B] Interface FastEthernet0/1, changed state to down[/B][/COLOR]

Dùng lệnh “show interface f0/1" ta sẽ thấy port đang ở trạng thái err-disabled và bị down.

SW2# show interfaces f0/1
[COLOR=#FF0000][B]FastEthernet0/1 is down, line protocol is down (err-disabled)[/B][/COLOR]
Hardware is Fast Ethernet, address is 0026.983f.d101 (bia 0026.983f.d101)
...

Cắm thiết bị có địa chỉ MAC được cho phép vào, ta thấy trạng thái port vẫn không thay đổi (line protocol vẫn bị down và err-disabled). Để reset lại trạng thái port, ta phải vào interface F0/1, dùng lệnh “shut down” và “no shutdown” để port hoạt động bình thường trở lại:

SW2(config)#int f0/1
SW2(config-if)#shutdown
SW2(config-if)#no shut
*Mar 1 06:23:20.211: %LINK-3-UPDOWN: Interface FastEthernet0/1, changed state to up
*Mar 1 06:23:21.218: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to up

Để port tự động thay đổi trạng thái khi vi phạm đã chấm dứt sau 30 giây, ta dùng lệnh sau (dành cho các vi phạm của tính năng Port-Security):

SW2(config)# errdisable recovery cause psecure-violation
SW2(config)# errdisable recovery interval 30

Sau khi cấu hình, ta cắm thiết bị có địa chỉ MAC không được phép truy cập vào port rơi vào trạng thái lỗi, bị down và kiểm tra 30 giây một lần, nếu thiết bị kết nối đã thay đổi (có địa chỉ MAC hợp lệ) thì sẽ tự động hoạt động lại bình thường mà ta không cần phải dùng lệnh “shutdown” và “no shutdown”.

*Mar  1 06:38:03.540: %PM-4-ERR_RECOVER: [COLOR=#FF0000][B]Attempting to recover from psecure-violation err-disable state on Fa0/1[/B][/COLOR]
*Mar  1 06:38:07.147: %LINK-3-UPDOWN: [COLOR=#FF0000][B]Interface FastEthernet0/1, changed state to up[/B][/COLOR]
*Mar  1 06:38:08.154: %LINEPROTO-5-UPDOWN: [COLOR=#FF0000][B]Line protocol on Interface FastEthernet0/1, changed state to up[/B][/COLOR]