计算机网络设备实践教程:端口绑定

通过端口地址绑定功能可以方便地管理接入的设备，如禁止某台计算机接入网络。交换机端口地址绑定支持两种方式：仅绑定IP地址，IP地址与MAC地址同时绑定。

1.仅绑定IP地址

以图4-5为例，首先测试PC2与PC3的连通性，在此基础上配置二层交换机的f0/2端口，绑定IP地址为1.1.123.2，配置指令如下。

默认情况下交换机的各端口没有启用端口安全功能，在配置各项具体功能前，需要通过配置指令“switchport port-security”将其启用。将端口f0/2绑定了IP地址1.1.123.2后进行测试，更改PC2的IP地址为1.1.123.22，与原本能够通信的PC3进行“ping”测试，结果如图4-6所示。

图4-6　配置IP绑定后测试PC2与其他计算机的连通性

图4-6使用“netsh”指令更改了PC2的IP地址并进行查看，使用“ping”指令测试PC2与PC1和PC3的连通性，发送测试数据包1次，尽管设置了比较长的超时时间（3000 ms），但是返回的结果提示还是：“请求超时”，说明交换机的端口f0/2没有接受PC2发出的数据包，导致3000 ms后也没有收到应答报文。

将PC2的IP地址更改回1.1.123.2后，再次测试，结果显示可以通信，如图4-7所示。

图4-7　还原PC2的IP后测试与其他计算机的连通性

端口绑定IP地址不会对MAC做限制，更改PC2的MAC地址仍然能够接入网络。在特权模式下可以通过“show port-security binding address int fa0/2”指令查看安全地址绑定信息。(www.xing528.com)

2.同时绑定MAC地址与IP地址

在交换机上配置端口f0/2，同时绑定MAC地址与IP地址，配置指令如下：

更改PC2的MAC地址，如改为4016.9ff2.2677，测试其与PC1和PC3的连通性。结果显示依然可以通信。原因是PC2的IP地址当前为1.1.123.2，在交换机上查看安全地址绑定信息会发现，存在一条表项，对IP地址为1.1.123.2的数据包MAC地址没有限制。

更改PC2的IP地址为1.1.123.22，测试其与PC1和PC3的连通性，结果显示不可以通信。原因是PC2当前不是绑定表中的4016.9ff2.2666，接着更改PC2的MAC地址为4016.9ff2.2666，测试其与PC1和PC3的连通性，结果显示可以通信。接着再次更改PC2的IP地址为1.1.123.222，测试其与PC1和PC3的连通性，结果显示不可以通信。原因很简单，绑定表中不存在IP地址为1.1.123.222的表项。

交换机的全局配置模式下同样可以配置端口地址绑定，配置指令如下。

在PC2上测试PC1和PC3的连通性，因为添加了IP地址为1.1.123.222的表项，所以可以通信。通过“no”命令可以删除绑定的表项，为了后续的实验不受影响，删除所有的地址绑定。