[发明专利]一种端口安全的实现方法及系统

摘要

本发明公开了一种端口安全的实现方法及系统，该方法主要包括使能交换机端口的端口安全功能，关闭该端口硬件学习MAC地址的能力；在交换机端口配置端口安全IP‑MAC规则；若在配置IP‑MAC规则时或在配置IP‑MAC规则后交换机端口的状态为up，则交换机端口发送ARP报文并根据接收到的ARP报文内容与配置的端口安全IP‑MAC规则进行匹配，对FDB表中的MAC表项执行动作。本发明所述的方法及系统能够很好的解决端口安全与各种操作系统的兼容性之间存在的问题，同时能够防止MAC地址表过大的问题；并且在实际应用中，能够有效实现银行或其他金融系统在安全访问控制策略上的应用。

主权项

一种端口安全的实现方法，其特征在于，包括：使能交换机端口的端口安全功能，关闭该端口硬件学习媒体访问控制MAC地址的能力；在交换机该端口上配置至少一条端口安全IP‑MAC规则；若在配置IP‑MAC规则时或在配置IP‑MAC规则后交换机端口的状态为连通up时，则交换机端口发送地址解析协议ARP请求报文并根据接收到的ARP报文内容与配置的端口安全IP‑MAC规则进行匹配，根据匹配结果对转发地址FDB表中的MAC表项执行相应动作；若所述交换机端口的状态为up时，交换机端口发送ARP请求报文；当配置了端口安全IP‑MAC规则的交换机端口所在的三层虚拟局域网VLAN接口配置有IP地址，则发送的ARP请求报文中源IP和源MAC选用该三层VLAN接口的IP和MAC；当配置了端口安全IP‑MAC规则的交换机端口所在的三层VLAN接口没有配置IP地址，则发送的ARP请求报文中的源IP和源MAC选用交换机其他的任一三层VLAN接口的IP和MAC；当交换机整机任一三层VLAN接口都没配置有IP，则不发送ARP请求报文。