H3CNE交换机端口安全配置（802.1x 端口隔离 端口绑定）

实验 5 交换机端口安全技术

实验任务一：配置802.1X

步骤一：建立物理连接并初始化交换机配置

步骤二：检查互通性

步骤三：配置802.1X协议

实现在交换机SWA上启动802.1X协议：

首先需要分别在全局和端口开启802.1X认证功能，请在下面的空格中补充完整的命令：

[SWA] dot1x

[SWA]dot1x interface e1/0/1 e1/0/2

其次在SWA上创建本地802.1X用户，用户名为abcde”，密码为明文格式的12345，该用户的服务类型service-type是lan-access。请在如下的空格中完成该本地用户的配置命令：

[SWA]local-user abcde

[SWA-luser-h3c]service-type lan-access

[SWA-luser-h3c]password simple 12345

步骤四：802.1X 验证

配置完成后，再次在PCA上用ping命令来测试到PCB的互通性，其结果是PCA与PCB不能够互通。

导致如上结果的原因是交换机上开启了802.1X认证，需要在客户端配置802.1X认证相关属性。

PC可以使用802.1X客户端软件或Windows系统自带客户端接入交换机。本实验以Windows系统自带客户端为例说明如何进行设置。

在Windows操作系统的【控制面板】中选择【网络和Internet连接】，选取【网络连接】中的【本地连接】，点击【属性】，如下所示：

再选取【验证】，并勾选【启用此网络的IEEE802.1x验证】，如下所示：

然后点击【确定】，保存退出。

等待几秒钟后，屏幕右下角会自动弹出要求认证的相应提示，如下所示：

按提示要求点击，系统弹出对话框，要求输入用户名和密码，如下所示：

在对话框中输入用户名abcde和密码12345后，点击【确定】，系统提示通过验证。

在PCA与PCB都通过验证后，在PCA上用ping命令来测试到PCB的互通性。结果是PCA与PCB能够互通

注意：

如果Windows系统长时间没有自动弹出要求认证提示，或认证失败需要重新认证，可以将电缆断开再连接，以重新触发802.1X认证过程。

---

实验任务二：配置端口隔离

步骤一：建立物理连接并初始化交换机配置

步骤二：检查互通性

步骤三：配置端口隔离

在交换机上启用端口隔离，设置端口Ethernet1/0/1、Ethernet1/0/2为隔离组的普通端口，端口Ethernet1/0/24为隔离组的上行端口。

配置SWA：

[SWA] interface Ethernet 1/0/1

[SWA-Ethernet1/0/1] port-isolate enable

[SWA] interface Ethernet 1/0/2

[SWA-Ethernet1/0/2] port-isolate enable

[SWA] interface Ethernet 1/0/24

[SWA-Ethernet1/0/2] port-isolate uplink-port

配置完成后，通过display port-isolate group命令查看显示隔离组的信息。

步骤四：端口隔离验证

配置完成后，再次在PCA上用ping命令测试到PCB得互通性，其结果是PCA与PCB不能互通

然后将PCB从端口Ethernet1/0/2断开，把PCB连接到隔离组的上行端口Ethernet1/0/24上，再用ping命令测试，其结果是 PCA与PCB可以互通

实验任务三：配置端口绑定

步骤一：建立物理连接并初始化路由器配置

步骤二：配置端口绑定

配置PCA的IP地址为172.16.0.1/24，PCB的IP地址为172.16.0.2/24

分别查看并记录PCA和PCB的MAC地址，

之后在交换机SWA上启用端口绑定，设置端口Ethernet1/0/1与PCA的MAC地址绑定，端口Ethernet1/0/2与PCB的MAC地址绑定， 请在如下空格中补充完整的命令：

[SWA] interface ethernet 1/0/1

[SWA-Ethernet1/0/1] user-bind mac-addr 001C-233D-5695

[SWA] interface ethernet 1/0/2

[SWA-Ethernet1/0/2] user-bind mac-addr 0013-728E-4751

配置完成后，通过执行display user-bind命令查看已设置绑定的信息。

步骤三：端口绑定验证

在PCA上用ping命令来测试到PCB的互通性，其结果是 PCA与PCB可以互通

断开PC与交换机间的连接，然后将PCA连接到端口Ethernet1/0/2，PCB连接到端口Ethernet1/0/1。再重新用ping命令来测试PCA到PCB的互通性。其结果是 PCA与PCB不能互通

注意：

---

未配置端口绑定的端口允许所有报文通过。

步骤二中的MAC地址以学员实际操作的PC的MAC地址为准。