谈谈IP-MAC端口绑定三种方式的优劣

谈谈IP、MAC与交换机端口绑定的方法

Jack Zhai 信息安全管理者都希望在发生安全事件时，不仅可以定位到计算机，而且定位到使用者的实际位置，利用MAC与IP的绑定是常用的方式，IP地址是计算机的“姓名”，网络连接时都使用这个名字；MAC地址则是计算机网卡的“身份证号”，不会有相同的，因为在厂家生产时就确定了它的编号。IP地址的修改是方便的，也有很多工具软件，可以方便地修改MAC地址，“身份冒充”相对容易，网络就不安全了。

遵从“花瓶模型”信任体系的思路，对用户进行身份鉴别，大多数人采用基于802.1x协议的身份认证技术(还可以基于应用的身份认证、也可以是基于Cisco 的EOU技术的身份认证)，目的就是实现用户账号、IP、MAC的绑定，从计算机的确认到人的确认。

身份认证模式是通过计算机内安全客户端软件，完成登录网络的身份鉴别过程，MAC地址也是通过客户端软件送给认证服务器的，具体的过程这里就不多说了。

一、问题的提出与要求

有了802.1x的身份认证，解决的MAC绑定的问题，但还是不能定位用户计算机的物理位置，因为计算机接入在哪台交换机的第几个端口上，还是不知道，用户计算机改变了物理位置，管理者只能通过其他网管系统逐层排查。那么，能否可以把交换机端口与IP、MAC一起绑定呢？这样计算机的物理位置就确定了。

首先这是有关安全标准的要求：

1)重要安全网络中，要求终端安全要实现MAC\IP\交换机端口的绑定

2)有关专用网络中，要求未使用的交换机端口要处于关闭状态(未授权前不

打开)

其次，实现交换机端口绑定的目标是：

??防止外来的、未授权的计算机接入网络(访问网络资源)

??当有计算机接入网络时，安全监控系统能够立即发现该计算机的MAC与IP，以及接入的交换机端口信息，并做出身份验证，属于未授权的能够报警或终止计算机的继续接入，或者禁止它访问到网络的任何资源

??当有安全事件时，可以根据用户绑定的信息，定位到机器(MAC与IP)、定位到物理位置(交换机端口)、定位到人(用户账号、姓名、电话…)

二、实现交换机端口信息绑定的策略

根据接入交换机的安全策略，可以把端口信息绑定分为两种方式：静态方式与动态方式

1、静态方式：固定计算机的位置，只能在预先配置好的交换机端口接入，

未配置(授权申请)的不能接入网络。

静态的意思就是关闭交换机的MAC地址学习功能，计算机只能从网络唯一允许的位置接入网络，否则交换机不给予数据转发，所以只要该计算机登录，必然是固定的位置。

2、动态方式：计算机可以随机接入交换机的不同端口，在网络准入身份认

证的同时，从交换机中动态提取计算机所在的交换机端口信息，动态地与MAC、IP等信息一起绑定。

动态的意思是安全系统在计算机接入网络时，自动搜索到交换机的端口信息，当然这个信息只能来自于交换机，不可能来自于客户端软件。

三、交换机端口绑定方案一：协议改造

标准的802.1x协议中，交换机负责控制端口与数据端口的管理，但没有把端口信息加载在认证数据包中，一些交换机厂家扩展了802.1x协议(私有协议)，增加了端口信息，显然这种方案属于动态绑定方式。

方案的要点：

??所有接入层的交换机要支持该私有扩展协议(交换机必须是同一厂家的)

??终端安全系统的服务器要支持扩展的认证协议(增加交换机端口)

方案的优缺点：

??优点是绑定协议实现完整

??缺点是网络交换机都需要是一个厂家的，因为私有协议是难以互通的，同时终端安全系统也需要是定制的

四、交换机端口绑定方案二：主动查询

修改交换机上的协议是困难的，但我们可以主动探测端口信息，交换机支持网管功能，通过查询交换机内的FDB表(交换机内用来维护转发的信息表，内容包括对应端口、MAC、Vlan)，就可以获得端口信息，显然这种方案也是动态绑定方式。

实现步骤：

1)用户通过客户端软件进行身份认证

2)交换机把认证请求发送给服务器

3)服务器通过SNMP协议查询交换机的FDB表，确认此时该PC所在的交换

机端口号信息

4)认证服务器确认账号/MAC/IP/端口号，给出认证通过信息

5)用户认证通过，开始访问业务

方案的要点：

??交换机支持网管功能(snmp协议)，支持FDB表的查询

??终端安全系统的服务器要定制支持FDB查询功能

方案的优缺点：

??优点是可以采用不同厂家的交换机，只要支持网管snmp协议即可

五、交换机端口绑定方案三：静态绑定

安全性要求比较高的网络，交换机端口的分配是确定的，未分配的端口默认是关闭的，因此，需要动态查询的“机会”应该说是没有的，既然是确定的，就直接“写入”到交换机内，不轻易改动，所以叫静态方式。

实现步骤：

1)关闭交换机的端口MAC学习功能，把计算机的MAC配置在交换机端口上，

并把计算机的MAC与交换机端口信息，输入到终端安全服务器的资源管理中2)用户通过客户端软件进行身份认证

mac地址表与交换机端口绑定实例

1查看交换机的MAC地址表； Switch#show mac-address Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- 1 0001.c7c7.229 2 DYNAMIC Fa0/1（动态学习的MAC地址） 1 0060.5c5a.7bae DYNAMIC Fa0/4 1 0090.0ce9.8c00 DYNAMIC Fa0/2 1 00d0.baeb.e344 DYNAMIC Fa0/3 2将上面的MAC地址表和交换机端口进行绑定； Switch#config t 进入全局配置模式 Switch(config)#interface range FastEthernet 0/1-4 多接口的配置模式0/1-4 Switch(config-if-range)#switchport mode access 将交换机的端口设置成access,明确其与计算机相连 Switch(config-if-range)#switchport port-security 启用交换机端口安全 switchport port-security violation shutdown 违反安全规则讲端口关闭 Switch(config-if-range)#switchport port-security mac-address sticky 将交换机的端口 与MAC地址表进行绑定 3再次查看MAC地址表； Switch#show mac-address-table Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- 1 0001.c7c7.229 2 Fa0/1

三、vlan端口与mac地址绑定

VLAN端口的MAC地址绑定 这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置它属于哪个组。这种划分VLAN方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时，VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样，VLAN就必须不停地配置。 一、实验目的 1．掌握cisco-3550基于VLAN端口的MAC地址绑定 二、实验内容 1．把PC2的MAC地址帮定在交换机指定端口上 五、实验步骤 方案：基于端口的mac地址绑定 1．启动交换机，并进入到特权模式 Switch>enable Switch# 2．恢复到厂商设置 Switch#erase startup-config 擦除配置 Switch#reload Switch>en Switch#conf t switch#show vlan

3．pc1 插入交换机第5口，pc2插入交换机第9口. 4．把pc1 MAC地址与vlan 1 的第5口进行绑定。 Switch#conf t Switch(config)#mac-address-table static 000C.7611.817F vlan 1 interface f0/5 Switch(config)#exit Switch#show mac-address-table //显示mac-address-table状态 5. 把pc2 MAC地址与vlan 1 的第9口进行绑定。 操作同上大家练习一下 6.配置vlan1的ip地址，操作参照上节课内容 Switch#config termainl Switch(config)#int vlan 1 （进入VLAN 1） Switch(config-vlan)#ip address 192.168.3.1 255.255.255.0 (设置Vlan1的IP) Switch(config-vlan)#no shutdown 激活该vlan Switch(config-vlan)#exit Switch#show running-config (查看正在起作用的命令) 7．验证结果： pc1 ip为192.168.3.3 网关为：192.168.3.1 pc2 ip为192.168.3.2 网关为：192.168.3.1 pc1 与 pc2可以互通，如果把pc1插入交换机其它端口，则不能互通。

网管心得——IP地址与MAC地址绑定策略

网管心得——IP地址与MAC地址绑定策略 TCP/IP网络是一个四层协议结构的网络，从下往上依次为网络接口层、网络层、传输层和应用层。 为什么要绑定MAC与IP地址，使它们一一对应呢？因为影响网络安全的因素很多，IP 地址盗用或地址欺骗就是其中一个常见且危害极大的因素。网络中，许多应用都是基于IP 的，比如流量统计、用户账号控制等都把IP地址作为标志用户的一个重要的参数。如果有人盗用了合法地址并伪装成合法用户，网络上传输的数据就可能被破坏，甚至盗用，造成无法弥补的损失。 相对来说，盗用外部网络的IP地址比较困难，因为路由器等网络互连设备一般都会设置通过各个端口的IP地址范围，不属于该IP地址范围的报文将无法通过这些互连设备。但如果盗用的是网络内部合法用户的IP地址，这样网络互连设备显然就无能为力了。 对于网络内部的IP地址被盗用，当然也有相应的解决办法。绑定MAC地址与IP地址就是防止内部IP地址被盗用的一种常用的、简单的、有效的措施。 目前，很多单位的内部网络，尤其是学校校园网都采用了MAC地址与IP地址的绑定技术。许多防火墙(硬件防火墙和软件防火墙)为了防止网络内部的IP地址被盗用，也都内置了MAC地址与IP地址的绑定功能。 MAC与IP地址绑定原理，虽然IP地址的修改非常容易，但是MAC地址是存储在网卡的EEPROM中，而且网卡的MAC地址是唯一确定的。因此，为了防止内部人员进行非法IP 盗用(例如盗用权限更高人员的IP地址，以获得权限外的信息)，可以将内部网络的IP地址与MAC地址绑定，盗用者即使修改了IP地址，也因MAC地址不匹配而盗用失败，并且由于网卡MAC地址的唯一确定性，可以根据MAC地址查出使用该MAC地址的网卡，进而查出非法盗用者。

实验 二层交换机端口与MAC地址的绑定(教师用)

模块六 二层交换机端口与MAC 地址绑定 【场景构建】 在日常工作中，经常会发生用户随意插拔交换机上的网线，给网管员在网络管理上带来一定的不便。同时也会出现在一个交换机端口下连接另一个Hub 或交换机，导致网络线路的拥堵。 当网络中某机器由于中毒进而引发大量的广播数据包在网络中洪泛时，网络管理员的唯一想法就是尽快地找到根源主机并把它从网络中暂时隔离开。当网络的布置很随意时，任何用户只要插上网线，在任何位置都能够上网，这虽然使正常情况下的大多数用户很满意，但一旦发生网络故障，网管人员却很难快速准确定位根源主机。 希望通过一定的方法，固定每台计算机连接的交换机端口，方便网管员日常的维护与更新。 [实验目的] 1、 了解什么是交换机的MAC 绑定功能； 2、 熟练掌握MAC 与端口绑定的静态、动态方式。 【知识准备】 通过端口绑定特性，网络管理员可以将用户的MAC 地址和IP 地址绑定到指定的端口上。进行绑定操作后，交换机只对从该端口收到的指定MAC 地址和IP 地址的用户发出的报文进行转发，提高了系统的安全性，增强了对网络安全的监控。 我们通常说的MAC 地址与交换机端口绑定其实就是交换机端口安全功能。端口安全功能能让您配置一个端口只允许一台或者几台确定的设备访问那个交换机；能根据MAC 地址确定允许访问的设备；允许访问的设备的MAC 地址既可以手工配置，也可以从交换机“学到”；当一个未批准的MAC 地址试图访问端口的时候，交换机会挂起或者禁用该端口等等。 【实验一】 二层交换机端口静态绑定MAC 地址 1.1 实验设备 1、2950-24交换机1台 2、PC 机2台 3、交叉线1根 4、直通网线2根 1.2 组网图 PC1 PC2 SW0 1.3 实验设备IP 地址及要求

改MAC地址的方法破解MAC地址绑定

改MAC地址的方法破解MAC地址绑定 修改MAC地址的方法 网卡的MAC地址是固化在网上EPROM中的物理地址，是一块网卡的“身份证”，通常为48位。 在平常的应用中，有很多方面与MAC地址相关，如有些软件是和MAC地址绑定的，没有允许的MAC地址，软件就无法运行； 局域网里，管理人员常常将IP与客户机的MAC地址绑定，以方便管理，万一用户的网卡坏掉了，自行更改网卡后必须向管理人员申请更改绑定的MAC地址，这样就比较麻烦。在这种时候，如果我们能够更改一下网卡的MAC地址，那就方便多了。 实际上，修改网卡的MAC地址是很容易的，我们既可以在作系统中通过软件来修改网卡的MAC地址，而实际的网卡MAC地址不变，以达到欺骗软件的目的；也可以用工具直接更改网卡的实际MAC地址。 一、瞒天过海 1.修改注册表 几乎所有的网卡驱动程序都可以被NdisReadNetworkAddress参数调用，以便从注册表中读取一个用户指定的MAC地址。当驱动程序确定这个MAC地址是有效的，就会将这个MAC地址编程入其硬件寄存器中，而忽略网卡固有的MAC地址。我们通过手工修改W indows的注册表就可以达到目的。 在Winodws 98下运行Windows的注册表编辑器，展开“HKEY_LOCAL_MACHINE＼System＼Current ControlSet＼Services＼Class＼Net”，会看到类似“0000”、“0001”、“0002”的子键。从“0000”子键开始点击，依次查找子键下的“DriverDesc”键的内容，直到找到与我们查找的目标完全相同的网卡注册表信息为止。 当找到正确的网卡后，点击下拉式菜单“编辑/新建/字符串”，串的名称为“Networkaddre ss”，在新建的“Networkaddress”串名称上双击鼠标就可以输入数值了。输入你想指定的新的MAC地址值。新的MAC地址应该是一个12位的十六进制数字或字母，其间没有“-”，类似“0 00000000000”的这样的数值（注意，在Windows 98和Windows 2000/XP中具体键值的位置稍有不同，大家可通过查找功能来寻找）。 在“NetworkAddress”下继续添加一个名为“ParamDesc”的字串值，它将作为“Network Address”项的描述，数值可以取为“MAC Address”。再把它的内容修改为你想设定的内容. 2.修改网卡属性 大部分的网卡都可以通过在控制面板中修改网卡属性来更改其MAC地址，笔者的3C OM 3C905B-TX和RTL8139芯片的网卡都可以这样轻松修改。

交换机端口与MAC绑定

交换机端口与MAC绑定 一、实验目的 1、了解什么是交换机的MAC绑定功能； 2、熟练掌握MAC与端口绑定的静态、动态方式。 二、应用环境 1、当网络中某机器由于中毒进而引发大量的广播数据包在网络中洪泛时，网络管理员的唯一想法就是尽快地找到根源主机并把它从网络中暂时隔离开。当网络的布置很随意时，任何用户只要插上网线，在任何位置都能够上网，这虽然使正常情况下的大多数用户很满意，但一旦发生网络故障，网管人员却很难快速准确定位根源主机，就更谈不上将它隔离了。端口与地址绑定技术使主机必须与某一端口进行绑定，也就是说，特定主机只有在某个特定端口下发出数据帧，才能被交换机接收并传输到网络上，如果这台主机移动到其他位置，则无法实现正常的连网。这样做看起来似乎对用户苛刻了一些，而且对于有大量使用便携机的员工的园区网并不适用，但基于安全管理的角度考虑，它却起到了至关重要的作用。 2、为了安全和便于管理，需要将MAC地址与端口进行绑定，即，MAC地址与端口绑定后，该MAC地址的数据流只能从绑定端口进入，不能从其他端口进入。该端口可以允许其他MAC 地址的数据流通过。但是如果绑定方式采用动态lock的方式会使该端口的地址学习功能关闭，因此在取消lock之前，其他MAC的主机也不能从这个端口进入。 三、实验设备 1、 DCS-3926S交换机1台 2、 PC机2台 3、 Console线1根 4、直通网线2根 四、实验拓扑 五、实验要求 1、交换机IP地址为192.168.1.11/24，PC1的地址为192.168.1.101/24；PC2的地址为192.168.1.102/24。 2、在交换机上作MAC与端口绑定； 3、 PC1在不同的端口上ping 交换机的IP，检验理论是否和实验一致。 4、 PC2在不同的端口上ping 交换机的IP，检验理论是否和实验一致。 六、实验步骤 第一步：得到PC1主机的mac地址 Microsoft Windows XP [版本 5.1.2600]

神州数码端口和MAC地址绑定实验

实验十八、交换机端口与MAC绑定 一、 实验目的 1、了解什么是交换机的MAC绑定功能； 2、熟练掌握MAC与端口绑定的静态、动态方式。 二、 应用环境 1、当网络中某机器由于中毒进而引发大量的广播数据包在网络中洪泛时，网络管理员 的唯一想法就是尽快地找到根源主机并把它从网络中暂时隔离开。当网络的布置很 随意时，任何用户只要插上网线，在任何位置都能够上网，这虽然使正常情况下的 大多数用户很满意，但一旦发生网络故障，网管人员却很难快速准确定位根源主机，就更谈不上将它隔离了。端口与地址绑定技术使主机必须与某一端口进行绑定，也 就是说，特定主机只有在某个特定端口下发出数据帧，才能被交换机接收并传输到 网络上，如果这台主机移动到其他位置，则无法实现正常的连网。这样做看起来似 乎对用户苛刻了一些，而且对于有大量使用便携机的员工的园区网并不适用，但基 于安全管理的角度考虑，它却起到了至关重要的作用。 2、为了安全和便于管理，需要将MAC地址与端口进行绑定，即，MAC地址与端口绑定 后，该MAC地址的数据流只能从绑定端口进入，不能从其他端口进入。该端口可以 允许其他MAC地址的数据流通过。但是如果绑定方式采用动态lock的方式会使该 端口的地址学习功能关闭，因此在取消lock之前，其他MAC的主机也不能从这个 端口进入。 三、 实验设备 1、DCS-3926S交换机1台 2、PC机2台 3、Console线1根 4、直通网线2根 四、 实验拓扑

五、 实验要求 1、交换机IP地址为192.168.1.11/24，PC1的地址为192.168.1.101/24；PC2的地址为 192.168.1.102/24。 2、在交换机上作MAC与端口绑定； 3、PC1在不同的端口上ping 交换机的IP，检验理论是否和实验一致。 4、PC2在不同的端口上ping 交换机的IP，检验理论是否和实验一致。 六、 实验步骤 第一步：得到PC1主机的mac地址 Microsoft Windows XP [版本 5.1.2600] (C) 版权所有 1985-2001 Microsoft Corp. C:\>ipconfig/all Windows IP Configuration Host Name . . . . . . . . . . . . : xuxp Primary Dns Suffix . . . . . . . : https://www.sodocs.net/doc/4714889909.html, Node Type . . . . . . . . . . . . : Broadcast IP Routing Enabled. . . . . . . . : No WINS Proxy Enabled. . . . . . . . : No Ethernet adapter 本地连接: Connection-specific DNS Suffix . : Description . . . . . . . . . . . : Intel(R) PRO/100 VE Network Connecti on Physical Address. . . . . . . . . : 00-A0-D1-D1-07-FF Dhcp Enabled. . . . . . . . . . . : Yes Autoconfiguration Enabled . . . . : Yes Autoconfiguration IP Address. . . : 169.254.27.232 Subnet Mask . . . . . . . . . . . : 255.255.0.0 Default Gateway . . . . . . . . . : C:\> 我们得到了PC1主机的mac地址为：00-A0-D1-D1-07-FF。 第二步：交换机全部恢复出厂设置，配置交换机的IP地址 switch(Config)#interface vlan 1 switch(Config-If-Vlan1)#ip address 192.168.1.11 255.255.255.0 switch(Config-If-Vlan1)#no shut switch(Config-If-Vlan1)#exit switch(Config)# 第三步：使能端口的MAC地址绑定功能 switch(Config)#interface ethernet 0/0/1 switch(Config-Ethernet0/0/1)#switchport port-security switch(Config-Ethernet0/0/1)# 第四步：添加端口静态安全MAC地址，缺省端口最大安全MAC地址数为1

华为路由器ipmac地址绑定保存配置

1、登录学校路由器：Telnet 学校公网地址（不知道自己的互联网出口地址的可以看一下电脑的网关地址），然后 回车 如：telnet 回车或者Telnet 电脑ip的网关 2、提示你输入路由的用户名和密码，在输入密码的时候是看不到输入的字符的，因为密码设置的为cipher模式。然后敲回车。 3、输入dis arp，查看arp缓存信息 这里记录者目前电脑通过自动获取的IP地址信息。老师们可以将其复制到excel表格里，但是最好能确定mac地址所对应的是哪一台电脑。 4、然后执行system命令，敲回车，进入全局模式会变成[twzx] 5、在全局模式下关闭DHCP ，执行命令undo dhcp enable 回车，下面所有设备将不能自动获取地址，如图 5、在全局模式下输入user-bind static ip-address mac-address xxxx-xxxx-xxxx 敲回车 如下图：对进行绑定（删除绑定在命令前面加入undo） 6、在全局模式下输入：dis dhcp static user-bind all 可查看绑定信息。如图 0001-0001-0001 mac地址的电脑使用。其他mac地址无法使用该IP地址。 8、还有一种方法：使用arp static ，这样也可以做绑定。绑定如图： 以上通过arp绑定的方法需要将局域网内的所有IP与mac进行，例如 一个局域网中有4台电脑，通过arp static绑定了4个电脑对应的ip与mac地址，但是这4台电脑还可以修改为没有做绑定的IP地址进行上网 2222-2222 （黎明） -3333-3333 （刘德华） -4444-4444 （周润发） -5555-5555 （梁朝伟）。 现在黎明的电脑进行了地址绑定，但是黎明可以手动将电脑的地址修改为 所以我们要将子网内的所有地址和mac地址进行绑定 -0000-0000 （这个mac地址一定要用一个假的不存在的地址） 0000-0000 （同样） ……………… 这样绑定以后上面4位明星的电脑只能用他们的地址。 如果现在局域网中又加入一台电脑，想要让他上网的话，假如给他一个地址1 那么需要将192.168.1.6 0000-0000-0000 这条删除，命令是undo。然后在执行arp static 192.168.1.6 mac地址 做完以后记得保存，在视图模式下， 后面输入system 回车后进入全局模【TWZX】， 保存要从全局模式退出，进入视图模式，命令是：【TWZX】quit 回车

7.动态实现MAC地址与端口绑定

在模拟器中将设备如下图中连接起来并配置IP: PC0----→ fa0/1 （192.168.10.10/24）PC1----→ fa0/11 （192.168.10.11/24）PC1----→(备用) （192.168.10.12/24） 下面我们用PC1pingPC0如下图：

可以看到是通的，我们使用show mac-address-tablel来看看： Switch#show mac-address-table Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- 1 000a.416e.5768 DYNAMIC Fa0/11 1 0010.11a0.421a DYNAMIC Fa0/1 可以看到两个端口所对应的两台PC的MAC类型是动态的 下面我们来配置交换机： Switch#config Configuring from terminal, memory, or network [terminal]? Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#interface fastEthernet 0/1 Switch(config-if)#switchport port-security mac-address sticky （自动绑定MAC与端口）Switch(config-if)#exit Switch(config)#exit Switch#write Building configuration...

cisco交换机ip和mac地址绑定

cisco交换机ip和mac地址绑定 虽然在TCP/IP网络中，计算机往往需要设置IP地址后才能通讯，然而，实际上计算机之间的通讯并不是通过IP地址，而是借助于网卡的MAC地址。IP地址只是被用于查询欲通讯的 目的计算机的MAC地址。 ARP协议是用来向对方的计算机、网络设备通知自己IP对应的MAC地址的。在计算机的 ARJ 缓存中包含一个或多个表，用于存储IP地址及其经过解析的以太网MAC地址。一台计算机与另一台IP地址的计算机通讯后，在ARP缓存中会保留相应的MAC地址。所以，下次和同一个IP地址的计算机通讯，将不再查询MAC地址，而是直接引用缓存中的MAC地址。 在交换式网络中，交换机也维护一张MAC地址表，并根据MAC地址，将数据发送至目的计算 机。 为什么要绑定MAC与IP 地址：IP地址的修改非常容易，而MAC地址存储在网卡的EEPROM 中，而且网卡的MAC地址是唯一确定的。因此，为了防止内部人员进行非法IP盗用(例如盗用权限更高人员的IP地址，以获得权限外的信息)，可以将内部网络的IP地址与MAC地址绑定，盗用者即使修改了IP地址，也因MAC地址不匹配而盗用失败:而且由于网卡MAC地址的唯一确定性，可以根据MAC地址查出使用该MAC地址的网卡，进而查出非法盗用者。 目前，很多单位的内部网络，都采用了MAC地址与IP地址的绑定技术。下面我们就针对Cisco 的交换机介绍一下IP和MAC绑定的设置方案。 在Cisco中有以下三种方案可供选择，方案1和方案2实现的功能是一样的，即在具体的交换机端口上绑定特定的主机的MAC地址（网卡硬件地址），方案3是在具体的交换机端口上同时绑定特定的主机的MAC地址（网卡硬件地址）和IP地址。 1.方案1——基于端口的MAC地址绑定 思科2950交换机为例，登录进入交换机，输入管理口令进入配置模式，敲入命令： Switch#config terminal ＃进入配置模式 Switch(config)# Interface fastethernet 0/1 ＃进入具体端口配置模式 Switch(config-if)#Switchport port-secruity ＃配置端口安全模式 Switch(config-if )switchport port-security mac-address MAC(主机的MAC地址) ＃配置该端口要绑定的主机的MAC地址 Switch(config-if )no switchport port-security mac-address MAC(主机的MAC地址) ＃删除绑定主机的MAC地址

如何突破IP与MAC地址绑定限制上网

2. Windows 2000/XP： 一般而言，可以直接更改，呵呵，可能你没找到位置：网上邻居－右击属性－本地连接－右击属性－配置（最上面网卡栏）－高级－MAC ADDRESS，看见右边的“值”了吗？那就是你现在的物理地址，改成你想要的，注意中间不留空格也不用“－”符号。完成了。 如果这样搞不定，说明你以前安装系统时不规范。但也可通过如下方法让你的网卡属性中出 现MAC ADDRESS选项。（引述） 第一步，单击“开始”→“运行”→输入“Regedit”，打开注册表编辑器，按Ctrl+F打开查找窗，输入“DriverDesc”单击确定。双击找到的内容,即为你要修改的网卡的信息描述，左边数形列表显示当前主键（比如0000） HKEY_LOCAL_MACHINE\SYSTEM\CONTROLSET001\CONTROL\CLASS\{4D36E972-E325-11CE-BF C1-08002BE10318\0000(第一块网卡)\Ndi\ params。第二步，在相应的0000下新建一串值，命名为NetworkAddress，键值设为你要的MAC地址，注意要连续写，如112233445566。第三步，重新启动计算机，你就会发现网卡MAC地址已经改变为你所设置的地址。然而，如果你要经常改换地址的话在注册表里改来改去的方法就实在是太繁琐了。不用担心，再进行下面两项修改后你就会发现以后修改MAC地址竟是如此简单！ 第四步，在相应的0000下的Ndi\Params中加一项，主键名为NetworkAddress，(然后在该主键下添加名为default的串值，其值设为你要设的MAC 地址，同样也要连续地写。)第五步，在NetworkAddress 主键下继续添加名为ParamDesc的字符串，其值可设为“MAC Address”。 全部设置完成了，关闭注册表，重新启动计算机，打开“网络邻居”的属性，选择相应的网卡，单击“属性”选择“高级”选项卡，属性中会多出MAC Address的选项，也就是在上面第二步在注册表中添加的NetworkAddress项，以后只要在此处的设置值中修改MAC地址就可以了。 许多的公司是限制员工利用公司电脑上网的，原因可能是怕受到病毒威胁，也或者是节约资源，给其他需要网络的同事提供更流畅的网络。 这就给这部分被限制上网的朋友们提出了一个难题：被限制不能上网了？那还有没有办法再突破封锁继续上网呢？要再突破封锁也是可以实现的，这里我说一下IP与MAC地址绑定并被锁定限制上网的方法如何巧妙化解。 化解方法：手动修改IP和MAC地址。 既然IP与MAC地址绑定，修改MAC肯定也要修改IP。 一般MAC地址在网卡中是固定的，当然也有网络高手会想办法去修改自己的MAC地址。修改自己的MAC地址有两种方法，一种是硬件修改，另外一种是软件修改。硬件的方法就是直接对网卡进行操作，修改保存在网卡的EPROM里面的MAC地址，通过网卡生产厂家提供的修改程序可以更改存储器里的地址。那么什么叫做EPROM呢？EPROM是电子学中一种存储器的专业术语，它是可擦写的，也就是说一张白纸你用钢笔写了一遍以后就不能再用橡皮擦去了，而EPROM这张白纸用铅笔写后可以再擦去，可以反复改变其中数据的存储器。当然软件修改的方法就相对来说要简单得多了，在Windows中，网卡的MAC保存在注册表中，实际使用也是从注册表中提取的，所以只要修改注册表就可以改变MAC。 Windows 2000/XP中的修改：同样打开注册表编辑器： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\4D36E970-E325-11CE-BFC1-0 8002BE10318 中的0000，0001，0002中的DriverDesc，如果在0000找到，就在0000下面添加字符串变量，命名为“NetworkAddress”，值为要设置的MAC地址，例如：000102030405

Cisco中IP地址与MAC地址绑定总结

Cisco中IP地址与MAC地址绑定总结 IP地址与MAC地址的关系：IP地址是根据现在的IPv4标准指定的，不受硬件限制比较容易记忆的地址，长度4个字节。而MAC地址却是用网卡的物理地址，保存在网卡的EPROM里面，与硬件有关系，比较难于记忆，长度为6个字节。 虽然在TCP／IP网络中，计算机往往需要设置IP地址后才能通讯，然而，实际上计算机之间的通讯并不是通过IP地址，而是借助于网卡的MAC地址。IP地址只是被用于查询欲通讯的目的计算机的MAC地址。 ARP协议是用来向对方的计算机、网络设备通知自己IP对应的MAC地址的。在计算机的ARJ 缓存中包含一个或多个表，用于存储IP地址及其经过解析的以太网MAC地址。一台计算机与另一台IP地址的计算机通讯后，在ARP缓存中会保留相应的MAC地址。所以，下次和同一个IP地址的计算机通讯，将不再查询MAC地址，而是直接引用缓存中的MAC地址。 在交换式网络中，交换机也维护一张MAC地址表，并根据MAC地址，将数据发送至目的计算机。 为什么要绑定MAC与IP 地址：IP地址的修改非常容易，而MAC地址存储在网卡的EEPROM 中，而且网卡的MAC地址是唯一确定的。因此，为了防止内部人员进行非法IP盗用（例如盗用权限更高人员的IP地址，以获得权限外的信息），可以将内部网络的IP地址与MAC地址绑定，盗用者即使修改了IP地址，也因MAC地址不匹配而盗用失败：而且由于网卡MAC地址的唯一确定性，可以根据MAC地址查出使用该MAC地址的网卡，进而查出非法盗用者。 目前，很多单位的内部网络，都采用了MAC地址与IP地址的绑定技术。下面我们就针对Cisco 的交换机介绍一下IP和MAC绑定的设置方案。 在Cisco中有以下三种方案可供选择，方案1和方案2实现的功能是一样的，即在具体的交换机端口上绑定特定的主机的MAC地址（网卡硬件地址），方案3是在具体的交换机端口上同时绑定特定的主机的MAC地址（网卡硬件地址）和IP地址。 1.方案1——基于端口的MAC地址绑定 思科2950交换机为例，登录进入交换机，输入管理口令进入配置模式，敲入命令： Switch#config terminal ＃进入配置模式 Switch(config)# Interface fastethernet 0/1 ＃进入具体端口配置模式 Switch(config-if)#Switchport port-secruity ＃配置端口安全模式 Switch(config-if )switchport port-security mac-address MAC(主机的MAC地址)

mac地址绑定指导书

web网页绑定（第一部分） 说明： //后红色文字为说明 登陆设备 1.Web方式登陆交换机，打开IE浏览器。 在地址栏中输入交换机的IP地址http://10.16.0.6//该地址为各学校设备网关地址。按“Enter”键，出现“用户登录”对话框。如图1所示。 图1 用户登录 用户名：huawei 密码：huawei@123 成功登录Web网管系统，会显示如下系统的主页面。

配置用户静态绑定 操作步骤 新建绑定 1.单击导航栏中“安全 > 用户静态绑定”菜单，进入“用户静态绑定”界面。 2.单击“新建”，进入“新建绑定”界面。如下图所示。 图1 新建绑定 2.”接口名称”选第二项“GigabitEthernet” 3. “绑定方式”中有两种选择方式 （1）选”IP+MAC+PORT”方式时，图中红线圈中部分为必填项。

（2）单击“确定”，完成配置。完成后，所绑定的计算机只能在所绑定的交换机端口上网，不能在其它端口漫游。未绑定的计算机将不能在执行过绑定命令的端口上网。 3.选择“IP+MAC”方式时，图中红线圈中部分为必填项。 点击确定后，相应的IP+MAC绑定信息在交换机中生成，但需要在交换机中执行如下命令后才可以启用： ip source check user-bind enable. 具体命令执行方法请看文档的“telnet登陆激活端口绑定（第二部分）” 删除绑定 1.单击导航栏中“安全 > 用户静态绑定”菜单，进入“用户静态绑定”界面。 2.选择需要删除的数据，单击“删除”，系统提示是否确认删除。

3.单击“确定”，完成配置。 查看用户静态绑定信息 显示了用户静态绑定信息。用户可以根据查询条件进行查询。 操作步骤 1.单击导航树中的“安全 > 用户静态绑定”菜单，进入“用户静态绑定”界面。如图1所示。 图1 用户静态绑定 保存配置 用户在完成各种配置项后，需要保存配置。 注意： 在页面上配置完所有项目后，请务必单击导航区中的“”，否则未保存的配置信息会因为重启等操作而丢失。 保存配置有两种情况。 ?在当前配置界面单击“确定”或“应用”按钮，即把当前的配置保存到内存中。 ?单击导航区中的“”，则系统将自动保存所有页面的配置到配置文件中。

MAC地址与交换机端口绑定防黑客原理与方法详解

MAC地址与交换机端口绑定防黑客原理与方法详解 文章导读：在网络安全越来越重要的今天，高校和企业对于局域网的安全控制也越来越严格，普遍采用的做法之一就是IP地址、网卡的MAC地址和交换机端口绑定，不过MAC和交换机端口快速绑定的具体实现的原理和步骤却少有文章。 在网络安全越来越重要的今天，高校和企业对于局域网的安全控制也越来越严格，普遍采用的做法之一就是IP地址、网卡的MAC地址和交换机端口绑定，不过MAC和交换机端口快速绑定的具体实现的原理和步骤却少有文章。 寻修网https://www.sodocs.net/doc/4714889909.html,在此先解释一下，我们通常说的MAC地址和交换机端口绑定其实就是交换机端口安全功能。端口安全功能能让你设置一个端口只允许一台或几台确定的设备访问那个交换机；能根据MAC地址确定允许访问的设备；允许访问的设备的MAC地址既能手工设置，也能从交换机“学到”；当一个未批准的MAC地址试图访问端口的时候，交换机会挂起或禁用该端口等等。 一、首先必须明白两个概念： 可靠的MAC地址。设置时候有三种类型。 静态可靠的MAC地址：在交换机接口模式下手动设置，这个设置会被保存在交换机MAC 地址表和运行设置文件中，交换机重新启动后不丢失（当然是在保存设置完成后），具体命令如下： Switch(config-if)#switchport port-security mac-address Mac地址 动态可靠的MAC地址：这种类型是交换机默认的类型。在这种类型下，交换机会动态学习MAC地址，不过这个设置只会保存在MAC地址表中，不会保存在运行设置文件中，并且交换机重新启动后，这些MAC地址表中的MAC地址自动会被清除。 黏性可靠的MAC地址：这种类型下，能手动设置MAC地址和端口的绑定，也能让交换机自动学习来绑定，这个设置会被保存在MAC地址中和运行设置文件中，如果保存设置，交换机重起动后不用再自动重新学习MAC地址，虽然黏性的可靠的MAC地址能手动设置，不过CISCO官方不推荐这样做。具体命令如下： Switch(config-if)#switchport port-security mac-address sticky 其实在上面这条命令设置后并且该端口得到MAC地址后，会自动生成一条设置命令

实验六交换机的VLAN配置-MAC地址绑定端口

实验六交换机的VLAN配置-MAC地址绑定端口 实验目的： 1、了解什么是交换机的MAC绑定功能； 2、熟练掌握MAC与端口绑定的静态方式。 实验环境：Packet tracer软件 实验内容： 1、把PC机的MAC地址绑定到交换机某个端口上 基本原理： 考虑到交换机使用的安全性，可以使用端口绑定技术，防止陌生计算机接入，避免了人为随意调换交换机端口。 这种划分VLAN的方法是根据每个主机的MAC地址来划分，即对每个MAC地址的主机都配置它属于哪个组。这种划分VLAN方法的最大优点就是当用户物理位置移动时，即从一个交换机换到其他的交换机时， VLAN不用重新配置，所以，可以认为这种根据MAC地址的划分方法是基于用户的VLAN，这种方法的缺点是初始化时，所有的用户都必须进行配置，如果有几百个甚至上千个用户的话，配置是非常累的。而且这种划分的方法也导致了交换机 执行效率的降低，因为在每一个交换机的端口都可能存在很多个VLAN组的成员，这样就无 法限制广播包了。另外，对于使用笔记本电脑的用户来说，他们的网卡可能经常更换，这样, VLAN就必须不停地配置。 实验步骤： 一、把MAC地址绑定到交换机的端口 PC-PT PC-PT PCI PC2 实验拓扑如上图。PC1: IP : 192.168.3.3 MAC 地址：000C.7611.8157 PC2 IP : 192.16832 MAC 地址：000C.7611.817F 注：添加主机时，默认有一个MA地址，在config选项卡中能看到，或者在运行里输入 命令ipconfig /all 查看。建议用默认的MA（地址。 1 ?启动交换机，并进入到特权模式 Switch〉enable Switch# 2 ?恢复到厂商设置 Switch# erase startup-config 擦除配置 Switch# reload Switch> en switch# show vlan

MAC地址与端口绑定

设置MAC与端口绑定的步骤和注意事项： 1．进入交换机后先要清除MAC地址表，命令如下： Switch#clear mac-address-table （注意，如果不清除MAC地址表项会导致绑定失败） 然后查看MAC地址表， Switch#show mac-address-table Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- MAC地址表里这时没有任何内容。 2．进入需要绑定的接口： Switch#conf t Switch(config)#interface fastEthernet 0/1 3．开始设置绑定前，需要先设置端口的模式， Switch(config-if)#switchport mode access 如果不设置端口模式为access，则开启端口安全的时候会收到如下提示：Command rejected: FastEthernet0/1 is a dynamic port. 4．设置端口绑定： Switch(config-if)#switchport port-security使能端口安全Switch(config-if)#switchport port-security mac-address 0000.0000.0001 ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 端口绑定MAC地址

此时再查看MAC地址表会发现0000.0000.0001(查看主机的MAC地址)被绑定在了fa 0/1端口上 Switch#show mac-address-table Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- 1 0000.0000.0001 STATIC Fa0/1 到此端口绑定成功。 5. 设置端口上安全地址的最大个数 Switch(config-if)#switchport port-security maximum ? <1-132> Maximum addresses Switch(config-if)#switchport port-security maximum 1 安全地址数为1 6．当为例产生时，可设置一下几种处理方式 Switch(config-if)#switchport port-security violation ? protect Security violation protect mode restrict Security violation restrict mode shutdown Security violation shutdown mode protect：当安全地址个数满后，安全端口将丢弃未知名地址(不是该端口的安全地址中的任何一个) 的包 restrict：当违例产生时，将发送一个通知Trap shutdown：当违例产生时，将关闭端口并发送一个通知 默认的模式是shutdown。 （如果端口由于非授权PC接入导致端口关闭，管理员需要进入到该接口输入shutdown，然后no shutdown才能重新开启该端口。推荐使用protect模式。）

H3CS5100交换机 H3C交换机绑定IP和MAC地址

H3C S5100交换机 交换机是一种用于电信号转发的网络设备。它可以为接入交换机的任意两个网络节点提供独享的电信号通路。交换机工作在数据链路层，拥有一条很高带宽的背部总线和内部交换矩阵。交换机的所有的端口都挂接在这条背部总线上，控制电路收到数据包以后，处理端口会查找内存中的地址对照表以确定目的MAC（网卡的硬件地址）的NIC（网卡）挂接在哪个端口上，通过内部交换矩阵迅速将数据包传送到目的端口，目的MAC若不存在，广播到所有的端口，接收端口回应后交换机会“自动学习”新的地址，并把它添加入内部MAC地址列表。 交换机配置信息 配置交换机必须进入交换机系统 system-view 创建VLAN和进入VLAN [H3C]VLAN 2 将接口划分到VLAN中，(下列表示将23到28接口划分到VLAN2) [H3C-vlan2]port GigabitEthernet 1/0/23 to GigabitEthernet 1/0/28 [H3C-vlan2]port GigabitEthernet 1/0/2 （把接口2划分到VLAN2） 进入接口模式（进入25接口） [H3C]interface GigabitEthernet 1/0/23 [H3C-GigabitEthernet1/0/23] am user-bind命令IP、MAC地址和端口绑定配置 [H3C]am user-bind mac-addr 001b-fc00-34e7 ip-addr 192.168.205.9 interface GigabtEthernet 1/0/23与 [H3C-GigabitEthernet1/0/23]am user-bind mac-addr 001b-fc00-34e7 ip-addr 192.168.205.9配置是完全相同的 查看配置命令：[H3C]display am user-bind 注意：同一IP或MAC地址不可以在同一模式下绑定两次，模式是指接口模式或全局模式