switchport port-security

[jpzueri 10]

Hallo zusammen,

 

wir habe alle Etagen-Switche ausgetauscht und habe jetzt die WS-C3750G-48PS mit der IOS-Version c3750-ipbasek9-mz.122-52.SE im Ensatz.

Ich habe die port-security auf den Ports configuriert, aber die funktioniert nicht.

Laut Cisco sollte es aber. Anbei die Porteinstellung:

 

switchport access vlan ....

switchport mode access

switchport port-security maximum 2

switchport port-security violation shutdown

switchport port-security aging time 30

switchport port-security aging type absolute

switchport port-security

srr-queue bandwidth share 20 90 11 11

priority-queue out

no snmp trap link-status

spanning-tree portfast

spanning-tree bpdufilter enable

spanning-tree bpduguard enable

 

Gemäss Cisco, sollte man nur switchport port-security eingeben und folgende Parameter sind danach default:

switchport port-security maximum 1

switchport port-security violation shutdown

 

Hat jemand eine Idee?

 

Gruß

JP

[Otaku19 33]

und was genau davon funktioniert nicht bzw wie festgestellt ?

[jpzueri 10]

der Port wird nicht deakiviert. Ich habe ein Rechner abgezogen und mein Laptop angehängt.

aber ich glaube ein Paramter fehlt.

[onedread 10]

HI

 

switchport port-security maximum 2

 

bedeutet das 2 Macadressen erlaubt sind, probier mal einen dritten ranhängen dann sollte der port abschalten.

[Otaku19 33]

hm, weiß nicht ob ein up/down am interface nicht gleich den counter zurücksetzt, versuchs mal mit sticky, da sollten die MAC Adressen ja in der config aufgenommen werden. Das Interface müsste dann bei der 3. mac dicht machen.

[jpzueri 10]

den parameter habe ich nur im forum auf 2.

in der config ist der default auf 1.

 

der fehlende Parameter war: switchport port-security mac-address sticky :)))

danke Otaku19

 

und es klappt

 

Danke für eure hilfe, habe es jetzt auch in einer Doku von cisco gefunden

 

http://www.cisco.com/en/US/docs/switches/lan/catalyst4500/12.2/25ew/configuration/guide/port_sec.pdf

 

Gruß

JP

[Otaku19 33]

ok, dann bestätigt das meine theorie mit dem down gehen...wobei, eh logo, der CAM table Eintrag verschwindet und wenn du dein laptop dranhängst ist das wieder die erste mac adresse die der switch dort lernt.

 

Ohne sticky würde man es zB verwenden um zu verhindern das jemand einen eigenen Switch oder Hub dranhängt und gleichzeitig mit mehreren Geräten den Port verwendet es einem prinzipiell egal ist welches Gerät angeschlossen wird so lange es nur eines ist.

 

Prinzipiell ist das natürlich keine schlechte Sache und besser als nichts, aber 802.1X ist state of the art für solche Dinge (und dynamisches VLAN assignment ist ja auch ne nette Sache)

[nerd 28]

Prinzipiell ist das natürlich keine schlechte Sache und besser als nichts, aber 802.1X ist state of the art für solche Dinge (und dynamisches VLAN assignment ist ja auch ne nette Sache)

 

Full ACK. Wenn du etwas Zeit und Budget hast schau dir mal die ganzen NAP Lösungen an die es so auf dem Markt gibt. Gerade in kleineren Umgebungen ist das nicht soo komplex bei der Implementierung...

[jpzueri 10]

Hi,

 

802.1X hört sich sehr gut an. Wir habe ca 3000 Port´s, auf 21 3750g-Cluster.

Hast du ein gutes Beispie an config?

 

Lg

JP

[Otaku19 33]

Catalyst 3750 Switch Software Configuration Guide, 12.2(25)SED - Configuring IEEE 802.1x Port-Based Authentication [Cisco Catalyst 3750 Series Switches] - Cisco Systems

 

Die cisco Seite ist in solchen Fällen immer die erste die man besucht

[jpzueri 10]

Hallo zusammen,

ich habe da noch eine Frage zu Port-Security.

Zwar ist folgendes Eingestellt:

 

sh port int gig2/0/45

 

Port Security : Enabled

Port Status : Secure-up

Violation Mode : Shutdown

Aging Time : 10 mins

Aging Type : Absolute

SecureStatic Address Aging : Disabled

Maximum MAC Addresses : 1

Total MAC Addresses : 1

Configured MAC Addresses : 0

Sticky MAC Addresses : 1

Last Source Address:Vlan : 0000.1111.222.3333:444

Security Violation Count : 0

 

Die Aging Time ist auf 10 min., aber warum versucht der Switch nach 3 min. den Port wieder in Betrieb zunehmen.

Ist das ein Default-Wert von Cisco?

 

Gruß

JP

[Wordo 11]

Hast du was mit err-disable recovery konfiguriert?

[jpzueri 10]

:) alles klar :) peinlich

ja, habe ich ....... :)

 

errdisable recovery interval 180