端口配置-网络安全系统集成与建设

交换机的端口是终端设备的最直接接入点，所以端口参数配置是网络应用中比较重要的内容。其内容包括打开或关闭端口、对端口的描述、端口的双工状态、端口的速率、广播风暴控制、链路类型、端口模式、端口镜像等。

【实现过程】

（1）打开或关闭端口

进入需要打开或者关闭的端口，在这个端口下用no shutdown或者shutdown命令打开或者关闭端口。

（2）端口描述

对于一个交换机上的很多端口，每个端口可能接入的终端不同，为了便于明确各个端口接入终端的性质、单位或者其他功能用途，方便管理员管理维护，所以根据需求可以对端口进行描述。进入要描述的端口，使用description命令进行描述，description后面是描述的内容。

（3）设置以太网端口双工状态

交换机端口一般是自适应模式，特殊情况下，可能是指定全双工模式或者半双工模式，为了和终端的匹配，可以更改端口的双工模式。使用命令：duplex{auto|full|half}。

如把端口1设置成自适应模式

（4）设置以太网端口速率

交换机端口的速率一般是自适应10Mbit/s、100Mbit/s，特殊时候根据终端的情况可以更改为确定的速率。使用命令speed{10|100|auto}。

如把端口1设置成100Mbit/s的速率

（5）设置以太网端口广播风暴控制

在网络中，广播数据包是一把双刃剑。一方面广播数据包是进行正常网络连接所必须的一种数据包，因为某些必备的协议，如地址解析协议（Address Resolution Protocol，ARP）以及动态主机配置协议（Dynamic Host Configuration Protocol，DHCP）需要用到广播，所以不能简单地把广播直接扔掉；另一方面其又很容易被病毒或者黑客所利用，如通过DoS攻击等手段导致网络拥塞，因此必须要对广播数据包进行合理的控制。有不少的措施可以用来减少网络中不必要的广播数据包，如可以将网络设计成多个网段，以减少广播域内设备的数量，从而实现减少广播包的目的。不过这些传统的方案，都需要增加一些额外的设备，而且实施起来也不是很方便，所以一般在接入层交换机中可以利用交换机本身就提供的配置来进行广播抑制，即可以利用“storm⁃control broadcast level”命令语句来进行这样的控制。(www.xing528.com)

（6）设置以太网端口的链路类型

交换机端口的3种链路类型分别为：Access、Trunk、Hybird。Access类型的端口只能属于1个VLAN，一般用于连接计算机的端口；Trunk类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，一般用于交换机之间连接的端口；Hybrid类型的端口可以允许多个VLAN通过，可以接收和发送多个VLAN的报文，可以用于交换机之间连接，也可以用于连接用户的计算机。Hybrid端口和Trunk端口在接收数据时，处理方法是一样的，唯一不同之处在于发送数据时：Hybrid端口可以允许多个VLAN的报文发送时不打标签，而Trunk端口只允许默认VLAN的报文发送时不打标签。根据需求，使用“switchport[access|trunk|hybird]”命令语句进行配置。

如把端口1设置成access、trunk、hybird等模式。

（7）创建VLAN

VLAN（虚拟局域网）是由位于不同物理局域网段的设备所组成的。虽然VLAN所连接的设备来自不同的网段，但是相互之间可以进行直接通信，好像处于同一网段中一样，由此得名虚拟局域网。相比较传统的局域网布局，VLAN技术更加灵活。为了创建虚拟网络，需要对已有的网络拓扑结构进行相应的调整。使用vlandatabase、vlan命令可以创建VLAN。

注意：name后面是给这个VLAN取的别名，也可以不取。

（8）把以太网端口加入到指定的VLAN

只创建一个VLAN，这个VLAN里面若不添加任何端口就没有实际意义，也不起任何作用。所以创建VLAN后要按需要向VLAN中添加端口，也可以称为把端口放到VLAN中。可以使用“switchport access”命令语句把端口放到VLAN中去。

也可以同时把一组端口一次放到一个VLAN中去。

（9）设置以太网端口镜像

简单地说，端口镜像就是把交换机一个或者多个端口（源端口）的流量完全复制一份，从另外一个端口（目的端口）发出去，以便网络管理人员从目的端口通过分析源端口的流量来查找网络存在问题的原因。

首先确定镜像的端口，一般是管理人员分析和接入的端口，然后确定被镜像端口，一般把需要监测的端口作为被镜像的端口，例如，把端口22镜像到端口1上。