交换机端口安全实验

实验拓扑图

实验需求

按照图示配置IP地址

1.在SW1所有连接PC的接口上配置开启802.1X验证，使接入的终端需要进行身份验证

2.创建一个用户身份验证的用户。用户名为wangdaye，密码为123456

3.创建一个端口隔离组，实现三台PC无法互相访问

实现

1.PC配置IP地址部分

2.在SW1上开启802.1X身份验证

分析：开启802.1X验证需要首先在系统视图下开启全局802.1X，再到接口视图下开启802.1X

步骤1：在SW1的系统视图下开启全局802.1X

点击查看代码

<H3C>sys
System View: return to User View with Ctrl+Z.
[H3C]sysname SW1
[SW1]dot1x
[SW1]interface g1/0/1
[SW1-GigabitEthernet1/0/1]dot1x
[SW1-GigabitEthernet1/0/1]interface g1/0/2
[SW1-GigabitEthernet1/0/2]dot1x
[SW1-GigabitEthernet1/0/2]interface g1/0/3
[SW1-GigabitEthernet1/0/3]dot1x

3.创建一个用户身份验证的用户。用户名为wangdaye，密码为123456

　　分析：用于802.1X验证的用户类型必须是network，且服务类型为lan-access，否则将无法用于802.1X验证。用于身份验证的用户无需配置身份权限

点击查看代码

[SW1]local-user qijingchun class network
New local user added.
[SW1-luser-network-qijingchun]password simple 123456
[SW1-luser-network-qijingchun]service-type lan
[SW1-luser-network-qijingchun]service-type lan-access

> 由于802.1X的验证无法在模拟器环境中实现，所以这里不做实验效果测试

4.创建一个端口隔离组，实现三台PC无法互相访问

　　分析：端口隔离组用于同vlan内部的端口隔离，属于同一个隔离组的接口无法互相访问，不同隔离组的接口才可以互相访问，所以需要把SW1的三个接口都加入到同一个隔离组

步骤1：在SW1上创建编号为1号的隔离组

[SW1]port-isolate group 1
步骤2：把g1/0/1、g1/0/2、g1/0/3接口都加入到该隔离组

点击查看代码

[SW1]interface g1/0/1
[SW1-GigabitEthernet1/0/1]port-isolate enable group 1
[SW1-GigabitEthernet1/0/1]interface g1/0/2
[SW1-GigabitEthernet1/0/2]port-isolate enable group 1
[SW1-GigabitEthernet1/0/2]interface g1/0/3
[SW1-GigabitEthernet1/0/3]port-isolate enable group 1

由于端口隔离的验证无法在模拟器环境中实现，所以这里不做实验效果测试