Сообщения без ответов | Активные темы Текущее время: 16 июл 2020, 19:02



Ответить на тему  [ Сообщений: 20 ] 
работа с Port-security 
Автор Сообщение

Зарегистрирован: 20 янв 2010, 10:53
Сообщения: 103
Привет всем, необходимо на коммутаторах настроить Port-security

допустим к порту уже подключен и работает ноут.

введенны команды:

telecombook(config)#interface fa 0/1
telecombook(config-if)#switchport port-security
telecombook(config-if)#switchport port-security mac-address sticky
telecombook(config-if)#switchport port-security maximum 1
telecombook(config-if)#switchport port-security violation restrict


Ноут подключен - мак записывается в таблицу ! Все работает нормально.

Теперь приходит новый сотрудник со своим ноутом и просит подключить его к этому порту !

Что нужно сделать чтоб стереть старый мак. и записать новый ? (при этом чтоб мак. записался автоматически, ручками его не вбиваем)

пробовали вводить:

telecombook#clear port-security dynamic interface Fa0/1
telecombook(config)#interface fa 0/1
telecombook(config-if)#sh
telecombook(config-if)#no sh

старый мак. стирается, а новый не не записываться (((((

Заранее всем спасибо !!!


13 ноя 2010, 11:29
Профиль

Зарегистрирован: 17 ноя 2008, 21:02
Сообщения: 200
clear port-security sticky interface F0/1?


13 ноя 2010, 12:53
Профиль

Зарегистрирован: 20 янв 2010, 10:53
Сообщения: 103
Спасибо помогло, вчера эту же команду вводили ни в какую не хотел запоминать ( Видно что-то с компом было не то !

Вопрос в продолжении темы :
если за портом стоит коммутатор на котором висят 3 компа - какую команду вводить ?
telecombook(config-if)#switchport port-security maximum 3
или
telecombook(config-if)#switchport port-security maximum 4

мак коммутатора учитывается ?
И аналогичный вопрос если за портом стоит Хаб ?


13 ноя 2010, 14:00
Профиль

Зарегистрирован: 01 янв 1970, 03:00
Сообщения: 4526
:) читай основы L2
Не учитывается.


13 ноя 2010, 14:17
Профиль

Зарегистрирован: 20 окт 2009, 18:55
Сообщения: 962
imperorr писал(а):
:) читай основы L2
Не учитывается.

смело на самом деле. зависит от коммутатора. если управляемый - учитывать. если нет - не учитывать.


13 ноя 2010, 14:43
Профиль

Зарегистрирован: 20 янв 2010, 10:53
Сообщения: 103
Проблемы продолжаются
На коммутаторе cisco 2950 IOS 12.1 (22) EA6
команда
clear port-security Stiky interface Fa0/1

проходит мак адреса удаляются, все ОK !

А на боевом оборудовании коммутаторе cisco 3560 IOS 12.2 (25) SEE2

команды

clear port-security Stiky interface Fa0/1 - нет !!!
есть команда:

clear port-security Stiky interface Fa0/1 access

но после ввода этой команды маки удаляутся, а новые запоминать отказываются ((((

в чем проблема ???


13 ноя 2010, 14:44
Профиль

Зарегистрирован: 01 янв 1970, 03:00
Сообщения: 4526
Так даже если управляемый, пересылка траффика L2, подмены отправителя или получателя не происходит?

Как управляемость коммутатора L2 влияет?:)


13 ноя 2010, 15:00
Профиль

Зарегистрирован: 01 янв 1970, 03:00
Сообщения: 33
а вот так попробуй:

conf t
int fa 3/02
shutdown
no switchport port-security mac-address sticky
switchport port-security mac-address sticky
no shutdown
end

У меня тоже нет команды clear на интерфейсе


13 ноя 2010, 15:13
Профиль

Зарегистрирован: 20 янв 2010, 10:53
Сообщения: 103
imperorr писал(а):
Так даже если управляемый, пересылка траффика L2, подмены отправителя или получателя не происходит?

Как управляемость коммутатора L2 влияет?:)


Коллеги, я допустим согласен с Ilya при связи с компом за конечным коммутатором обратный пакет от компа будет с сорсом мак. компа, а при соединении (конфигурировании) конечного коммутатора обратный пакет будет с сорсом мак. КОММУТАТОРА . И все это будет проходить через один и тот же порт промежуточного коммутатора на котором настроен единственный сорс мак. Разве нет ?

ВСЕ это можно проверить эмпирическим путем - ПОДСКАЖИТЕ все таки как это заставить работать

LeeoN писал(а):
Проблемы продолжаются
На коммутаторе cisco 2950 IOS 12.1 (22) EA6
команда
clear port-security Stiky interface Fa0/1

проходит мак адреса удаляются, все ОK !

А на боевом оборудовании коммутаторе cisco 3560 IOS 12.2 (25) SEE2

команды

clear port-security Stiky interface Fa0/1 - нет !!!
есть команда:

clear port-security Stiky interface Fa0/1 access

но после ввода этой команды маки удаляутся, а новые запоминать отказываются ((((

в чем проблема ???


13 ноя 2010, 15:16
Профиль

Зарегистрирован: 20 янв 2010, 10:53
Сообщения: 103
friench писал(а):
а вот так попробуй:

conf t
int fa 3/02
shutdown
no switchport port-security mac-address sticky
switchport port-security mac-address sticky
no shutdown
end

У меня тоже нет команды clear на интерфейсе



команду clear port-security нельзя вводить в режиме конфигурирования интерфейса (telecombook(config-if)#) !!!!
Она вводиться в привилегированном режиме (telecombook#) Попробуй !

За совет спасибо, сейчас будем юзать !


13 ноя 2010, 15:21
Профиль

Зарегистрирован: 01 янв 1970, 03:00
Сообщения: 40
Посмотри не проскакивает ли mac компа, который подключаешь, на этом же коммутаторе на других портах. Если есть удали его командой clear port-security sticky address <твой mac>. У меня тоже такая проблема была не мог понять в чем дело.


13 ноя 2010, 15:42
Профиль

Зарегистрирован: 20 окт 2009, 18:55
Сообщения: 962
LeeoN писал(а):
команду clear port-security нельзя вводить в режиме конфигурирования интерфейса (telecombook(config-if)#) !!!!
Она вводиться в привилегированном режиме (telecombook#) Попробуй !

За совет спасибо, сейчас будем юзать !

Код:
SW1#clear port-security sticky interface fa 0/1
SW1#sh ver
Cisco IOS Software, C3560 Software (C3560-ADVIPSERVICESK9-M), Version 12.2(40)SE, RELEASE SOFTWARE (fc3)


команда есть, после нее sticky отрабатывает нормально.
по поводу управляемости коммутатора - уже ответили.


13 ноя 2010, 15:47
Профиль

Зарегистрирован: 01 янв 1970, 03:00
Сообщения: 4526
[Касательно управляемого] :) так это и так понятно, как само собой разумеющееся. А я то думал, что другое))


13 ноя 2010, 16:11
Профиль

Зарегистрирован: 20 янв 2010, 10:53
Сообщения: 103
Ilya писал(а):
команда есть, после нее sticky отрабатывает нормально.
по поводу управляемости коммутатора - уже ответили.



sw3506TS_62#sh version
Cisco IOS Software, C3560 Software (C3560-IPBASE-M), Version 12.2(25)SEE2, RELEA
SE SOFTWARE (fc1)

sw3506TS_62#clear port-security sticky interface fa 0/28
% Incomplete command.

sw3506TS_62#clear port-security sticky interface fa 0/28 ?
access access vlan
Цитата:

version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname sw3506TS_62
aaa new-model
aaa authentication login default group tacacs+ local enable
aaa authentication enable default group tacacs+ enable
aaa authorization exec default group tacacs+ local
aaa accounting exec default start-stop group tacacs+
aaa accounting commands 15 default start-stop group tacacs+
!
aaa session-id common
clock timezone Msk 3
ip subnet-zero
no ip domain-lookup
!
errdisable recovery cause security-violation
errdisable recovery interval 30
no file verify auto
spanning-tree mode pvst
spanning-tree extend system-id
!
vlan internal allocation policy ascending
buffers large min-free 300
!
interface FastEthernet0/1
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/2
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/3
description BYKOV
switchport access vlan 52
switchport mode access
!
interface FastEthernet0/4
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/5
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/6
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/7
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/8
switchport access vlan 60
switchport mode access
switchport port-security aging time 1440
switchport port-security violation restrict
switchport port-security aging type inactivity
switchport port-security mac-address sticky
!
interface FastEthernet0/9
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/10
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/11
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/12
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/13
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/14
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/15
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/16
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/17
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/18
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/19
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/20
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/21
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/22
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/23
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/24
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/25
switchport access vlan 60
switchport mode access
switchport voice vlan 52
srr-queue bandwidth share 10 10 60 20
srr-queue bandwidth shape 10 0 0 0
mls qos trust device cisco-phone
mls qos trust cos
auto qos voip cisco-phone
spanning-tree portfast
!
interface FastEthernet0/26
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/27
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/28
switchport access vlan 60
switchport mode access
switchport port-security violation restrict
switchport port-security mac-address sticky
!
interface FastEthernet0/29
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/30
switchport access vlan 60
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 52,60
switchport mode trunk
!
interface FastEthernet0/31
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/32
description Lazovskiy
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/33
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/34
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/35
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/36
switchport access vlan 53
switchport mode access
!
interface FastEthernet0/37
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/38
switchport access vlan 60
switchport mode access
shutdown
!
interface FastEthernet0/39
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/40
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/41
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/42
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/43
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/44
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/45
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/46
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/47
switchport access vlan 60
switchport mode access
!
interface FastEthernet0/48
description ELTECO UPS
switchport access vlan 50
switchport mode access
!
interface GigabitEthernet0/1
switchport trunk encapsulation dot1q
switchport mode trunk
mls qos trust cos
!
interface GigabitEthernet0/2
switchport trunk encapsulation dot1q
switchport mode trunk
mls qos trust cos
!
interface GigabitEthernet0/3
shutdown
!
interface GigabitEthernet0/4
shutdown
!
interface Vlan1
no ip address
shutdown
!
interface Vlan50
ip address 10.21.17.62 255.255.255.0
!
ip classless
ip http server
ip http authentication local
!
snmp-server community mars RO
snmp-server enable traps snmp authentication linkdown linkup coldstart warmstart
snmp-server enable traps tty
snmp-server enable traps cluster
snmp-server enable traps fru-ctrl
snmp-server enable traps entity
snmp-server enable traps cpu threshold
snmp-server enable traps vtp
snmp-server enable traps vlancreate
snmp-server enable traps vlandelete
snmp-server enable traps flash insertion removal
snmp-server enable traps port-security
snmp-server enable traps envmon
snmp-server enable traps mac-notification
snmp-server enable traps copy-config
snmp-server enable traps config
snmp-server enable traps hsrp
snmp-server enable traps rtr
snmp-server enable traps bridge newroot topologychange
snmp-server enable traps stpx inconsistency root-inconsistency loop-inconsistency
snmp-server enable traps syslog
snmp-server enable traps vlan-membership
snmp-server host 10.17.8.136 mars
tacacs-server host 10.17.8.134
tacacs-server host 10.17.8.135
tacacs-server host 10.17.4.197
tacacs-server host 10.17.4.198
tacacs-server host 10.17.4.133
tacacs-server host 10.17.4.134
tacacs-server directed-request

control-plane
!
banner login -----------------------------------------
| Attention! |
|Access to the given device is limited! |
| All actions are recorded! |
-----------------------------------------
| Security administrator: |
|tel.: 378-9340,378-9336,378-9903 |
----------------------------------------- 
!
line con 0
line vty 0 4
!
ntp clock-period 36028473
ntp server 10.16.255.200
end



Последний раз редактировалось LeeoN 13 ноя 2010, 16:19, всего редактировалось 2 раз(а).



13 ноя 2010, 16:13
Профиль

Зарегистрирован: 01 янв 1970, 03:00
Сообщения: 33
В каких версиях IOSa эта команда есть??????
Код:
SW#sh ver
Cisco IOS Software, Catalyst 4000 L3 Switch Software (cat4000-I9S-M), Version 12.2(25)EWA4, RELEASE SOFTWARE (fc1)

Код:
SW#clear port-security ?
  dynamic  Secure MAC address auto-learned by hardware
SW#clear port-security


13 ноя 2010, 16:16
Профиль

Зарегистрирован: 20 янв 2010, 10:53
Сообщения: 103
friench писал(а):
В каких версиях IOSa эта команда есть??????
Код:
SW#sh ver
Cisco IOS Software, Catalyst 4000 L3 Switch Software (cat4000-I9S-M), Version 12.2(25)EWA4, RELEASE SOFTWARE (fc1)

Код:
SW#clear port-security ?
  dynamic  Secure MAC address auto-learned by hardware
SW#clear port-security


Неизвестно )))))


13 ноя 2010, 16:20
Профиль

Зарегистрирован: 20 янв 2010, 10:53
Сообщения: 103
friench писал(а):
В каких версиях IOSa эта команда есть??????
Код:
SW#sh ver
Cisco IOS Software, Catalyst 4000 L3 Switch Software (cat4000-I9S-M), Version 12.2(25)EWA4, RELEASE SOFTWARE (fc1)

Код:
SW#clear port-security ?
  dynamic  Secure MAC address auto-learned by hardware
SW#clear port-security


Ну где же вы CiscoGuru ??? От чего зависит наличие или отсутствие команды clear port-security ... ?


15 ноя 2010, 10:10
Профиль
Супермодератор

Зарегистрирован: 01 окт 2008, 12:24
Сообщения: 4436
Если нет команды clear, то остается дедовский способ: убиваем из конфига команду
sw port-security mac stucky [HHH.HHH.HHH]

Тогда новый МАС подцепится


15 ноя 2010, 11:57
Профиль

Зарегистрирован: 20 янв 2010, 10:53
Сообщения: 103
После долгих мучений нашелся выход !!! )))

Порядок включения port-security

switchport port-security
switchport port-security maximum 1
switchport port-security violation restrict
switchport port-security mac-address sticky


Порядок смены mac-адреса
Подключаем новый комп, затем вводим :

no switchport port-security mac-address sticky (удаляем sticky записи, включаем динамическую проверку и прослушивание mac адресов) при этом :

w3506#show port-security add
Secure Mac Address Table
------------------------------------------------------------------------
Vlan Mac Address Type Ports Remaining Age
(mins)
---- ----------- ---- ----- -------------
60 000f.fe7b.11eb SecureDynamic Fa0/28 -
------------------------------------------------------------------------

shutdown

no shutdown


затем вводим

switchport port-security mac-address sticky (записываем mac в sticky) при этом:


w3506#show port-security add
Secure Mac Address Table
------------------------------------------------------------------------
Vlan Mac Address Type Ports Remaining Age
(mins)
---- ----------- ---- ----- -------------
60 000f.fe7b.11eb SecureSticky Fa0/28 -
------------------------------------------------------------------------

Теперь все работает !

Если не выключать sticky ни за что не хочет начинать проверку маков !!!

Спасибо всем кто учавствовал в дискуссии !!!

Проблема решена, тему можно закрыть !


15 ноя 2010, 15:26
Профиль
Супермодератор

Зарегистрирован: 01 окт 2008, 12:24
Сообщения: 4436
Ну собсно я это и советовал сделать в своем предыдущем посте.


15 ноя 2010, 16:54
Профиль
Показать сообщения за:  Поле сортировки  
Ответить на тему   [ Сообщений: 20 ] 

Кто сейчас на конференции

Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 1


Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете добавлять вложения

Найти:
Перейти:  
Создано на основе phpBB® Forum Software © phpBB Group
Designed by ST Software for PTF.
Русская поддержка phpBB