2024年5月31日发(作者：)
Cisco 2960 交换机中如何绑定 IP 与 MAC 地址
00
0
1.方案1——基于端口的MAC 地址绑定
000
思科2950 交换机为例，登录进入交换机，输入管理口令进入配置模式，敲入命令：
000
Switch#config terminal ＃进入配置模式
000
Switch(config)# Interface fastethernet 0/1 ＃进入具体端口配置模式
Switch(config-if)#Switchport port-secruity ＃配置端口安全模式
000
Switch(config-if )switchport port-security mac-address MAC(主机的MAC 地址) ＃
配置该端口要绑定的主机的 MAC 地址
000
Switch(config-if )no switchport port-security mac-address MAC(主机的 MAC地址) ＃
删除绑定主机的MAC地址
000
注意：
000
以上命令设置交换机上某个端口绑定一个具体的MAC 地址，这样只有这个主机可以使用
网络，
如果对该主机的网卡进行了更换或者其他 PC机想通过这个端口使用网络都不可用，除非删
000
除或 修改该端口上绑定的MAC 地址，才能正常使用。
以上功能适用于思科2950、3550、4500、6500系列交换机
000
000
2.方案2——基于MAC地址的扩展访问列表
Switch(config)Mac access-list extended MAC10 ＃定义一个MAC 地址访
问控制列表并且命名该列表名为 MAC10
000
000
Switch(config)permit host 0009.6bc4.d4bf any ＃定义MAC 地址为0009.6bc4.d4bf
的主机可以访问任意主机
000
Switch(config)permit any host 0009.6bc4.d4bf ＃定义所有主机可以访问
MAC 地址为0009.6bc4.d4bf的主机
Switch(config-if )interface Fa0/20 #进入配置具体端口的模式
000
000
Switch(config-if )mac access-group MAC10 in ＃在该端口上应用名为
MAC10 的访问列表（即前面我们定义的访问策略）
Switch(config)no mac access-list extended MAC10 ＃清除名为MAC10 的访
000
问列表
000
此功能与应用一大体相同，但它是基于端口做的MAC 地址访问控制列表限制，可以限定特
定源MAC地址与目的地址范围。
000
注意：
000
以上功能在思科 2950、3550、4500、6500系列交换机上可以实现，但是需要注意的是 2950、
3550 需要交换机运行增强的软件镜像（Enhanced Image）。
000
3.方案3——IP 地址的MAC 地址绑定
000
只能将应用1或2 与基于IP 的访问控制列表组合来使用才能达到IP-MAC 绑定功能。
000
Switch(config)Mac access-list extended MAC10 ＃定义一个MAC 地址访问控制列表并且
命名该列表名为 MAC10
Switch(config)permit host 0009.6bc4.d4bf any ＃定义MAC 地址为0009.6bc4.d4bf 的主机可
000
以访问任意主机
Switch(config)permit any host 0009.6bc4.d4bf ＃定义所有主机可以访问MAC 地址为
000
0009.6bc4.d4bf的主机
该列表名为 IP10
000
Switch(config)Ip access-list extended IP10 ＃定义一个IP 地址访问控制列表并且命名
000
Switch(config)Permit 192.168.0.1 0.0.0.0 any ＃定义IP 地址为192.168.0.1
的主机可以访问任意主机
000
Permit any 192.168.0.1 0.0.0.0 ＃定义所有主机可以访问IP 地址为
192.168.0.1 的主机
000
Switch(config-if )interface Fa0/20 #进入配置具体端口的模式
Switch(config-if )mac access-group MAC10 in ＃在该端口上应用名为 MAC10 的
访问列表（即前面我们定义的访问策略）
000
000
Switch(config-if )Ip access-group IP10 in ＃在该端口上应用名为 IP10 的访问列表（即前面
我们定义的访问策略）
000
Switch(config)no mac access-list extended MAC10 ＃清除名为MAC10 的访问列表
0
00
Switch(config)no Ip access-group IP10 in ＃清除名为IP10的访问列表
上述所提到的应用1 是基于主机MAC地址与交换机端口的绑定，方案2 是基于MAC 地
000
址的访问控制列表，前两种方案所能实现的功能大体一样。如果要做到IP 与 MAC 地址的
绑定只能按照
000
方案3 来实现，可根据需求将方案1或方案2 与IP 访问控制列表结合起来使用以达到自
己想要的效果。
注意：以上功能在思科 2950、3550、4500、6500 系列交换机上可以实现，但是需要注意的
000
是 2950 3550 需要交换机运行增强的软件镜像（Enhanced Image）。
后注：从表面上看来，绑定 MAC 地址和 IP地址可以防止内部IP 地址被盗用，但实际上
000
由于各 层协议以及网卡驱动等实现技术，MAC地址与IP 地址的绑定存在很大的缺陷，并
不能真正防止内部IP 地址被盗用。
000
0
发布评论