华为网络设备上常用的安全技术：
概述：
文章目录：
安全技术1：ACL（访问控制列表）
安全技术2：AM（访问管理配置）
安全技术3：MAC绑定
安全技术4：ARP绑定
安全技术5：AAA
安全技术6：802.1x
安全技术1：ACL
案例1-1：标准ACL实验
1. 组网需求
2. 组网图
3. 配置步骤
应用acl之前测试：192.168.1.100可以通过telnet访问192.168.1.1
应用acl：
user-interface vty 0 4
应用acl之后测试：192.168.1.100不可以通过telnet访问192.168.1.1
192.168.1.100修改IP地址之后在尝试登录，可成功登录
案例1-2：高级ACL实验
1. 组网需求
2. 组网图
3. 配置步骤
#192.168.10.100pc去ping测试192.168.1.200pc
#192.168.1.200pc去ping测试192.168.10.100pc
#配置ACL 3000
rule 10 deny icmp source 192.168.10.100 0 destination 192.168.1.200 0
rule 10 deny icmp source 192.168.10.100 0 destination 192.168.1.200 0 (0 times matched)
zhuchaobo-pc修改ip地址为192.168.1.20之后在进行测试：可以通信。
案例1-3：二层ACL实验二层访问控制列表
1. 组网需求
2. 组网图
注：zhujunjie-pc的192.168.100.100和MAC地址为：88ae-1dd6-489d
Huawei Versatile Routing Platform Software
3. 配置步骤
配置二层ACL之前:测试
IP Address MAC Address VLAN ID Port Name Aging Type
192.168.100.200 206a-8a2e-c911 1 Ethernet0/22 20 Dynamic
rule 10 deny ingress 88ae-1dd6-489d 0000-0000-0000 interface Ethernet 0/1 egress 206a-8a2e-c911 0000-0000-0000 interface Ethernet 0/22
rule 10 deny ingress 88ae-1dd6-489d 0000-0000-0000 interface Ethernet0/1 egress 206a-8a2e-c911 0000-0000-0000 interface Ethernet0/22
#测试
#取消应用后，再测试
undo packet-filter link-group 4000 rule 10
安全技术2：AM访问管理配置
说明：am访问管理配置
供者可以不使用认证计费服务器以及DHCP 服务器，而使用以太网交换机提
供的一种低成本简单可行的替代方案。在这个低成本的替代方案中用到了交
换机的两个特×××：端口和IP 地址的绑定、端口间的二层隔离。
[Quidway-Ethernet0/1] am ip-pool 202.10.20.1 20
[Quidway-Ethernet0/1] am isolate ethernet0/2
案例2-1：AM二层端口隔离
1. 组网需求
使以太网交换机端口e0/1与端口e0/2二层隔离。
2. 组网图
3. 配置步骤
隔离：
端口e 0/1中客户192.168.1.1与e 0/2的客户192.168.1.2ping测试：
启用am之前：
启用am之后：
此时，更换端口之e0/3和e0/4之后，在测试
案例2-2：AM二层端口地址池：
1. 组网需求
以太网交换机端口e0/1 上访问管理IP 地址池为192.168.1.1~192.168.1.8/24；端口e0/2 上访问管理IP 地址池为192.168.1.9~192.168.1.19/24；
2. 组网图
3. 配置步骤
启用am之前测试：
启用am之后测试：e 0/2的客户192.168.1.9将ip地址修改为192.168.1.100，此时无法通信
安全技术3：IP-MAC绑定
说明：
华为三层设备上可以做到ip和mac绑定，来预防ARP对网络造成的影响
添加MAC 地址表项
mac-address { static | dynamic |blackhole } mac-address interface
interface-type interface-number vlan vlan-id
设置端口最多可以学习到的MAC 地址数量
mac-address max-mac-count count
显示地址表信息
display mac-address[ display-option ]
案例3：IP-MAC绑定实验
3.配置步骤
mac static 1111-2222-3333 interface Ethernet 0/1 vlan 1
安全技术4：ARP绑定
说明：
如将ARP 映射表绑定，就可以防止一般的ARP欺骗***。防止ARP病毒***的最有效手段：双向静态ARP绑定
arp ip-address mac-address VLANID{ interface_type interface_num | interface_name }
显示ARP 映射表show arp [ static | dynamic | all ]
打开ARP 调试信息开关debug arp packet
案例4：ARP绑定实验
1. 组网需求
?关闭 ARP 表项检查功能。
?设置交换机上动态 ARP 表项的老化时间为10 分钟。
?增加一个静态ARP 表项，IP 地址为192.168.1.1，对应的MAC 地址为
2. 组网图
3. 配置步骤
4. 取消绑定，测试：
安全技术5：AAA
案例5：AAA配置举例（Telnet用户本地认证配置）
经典案例请参考我的博客：
1. 组网需求
# 创建本地用户telnet。
# 配置Telnet用户采用AAA认证方式。
# 配置缺省system域采用的认证方式。
#客户端登陆测试
安全技术6：dot1x
802.1x协 议是一种基于端口的网络接入控制（Port Based Network Access Control）协议。“基于端口的网络接入控制”是指在局域网接入设备的端口这一级对所接入的设备进行认证和控制。连接在端口上的用户设备如果能通过认 证，就可以访问局域网中的资源；如果不能通过认证，则无法访问局域网中的资源。
案例6：802.1x典型配置举例
经典案例请参考我的博客：
1. 组网需求
本地802.1x接入用户的用户名为localuser，密码为localpass，使用明文输入，闲置切断功能处于打开状态。
2. 组网图
# 开启全局802.1x特性。
# 开启指定端口Ethernet 1/0/1的802.1x特性。
# 设置接入控制方式（该命令可以不配置，因为端口的接入控制在缺省情况下就是基于MAC地址的）。
[Sysname] dot1x port-method macbased interface Ethernet 1/0/1
# 创建RADIUS方案radius1并进入其视图。
# 设置主认证/计费RADIUS服务器的IP地址。
[Sysname-radius-radius1] primary authentication 10.11.1.1
# 设置备份认证/计费RADIUS服务器的IP地址。
[Sysname-radius-radius1] secondary authentication 10.11.1.2
[Sysname-radius-radius1] secondary accounting 10.11.1.1
# 设置系统与认证RADIUS服务器交互报文时的加密密码。
# 设置系统与计费RADIUS服务器交互报文时的加密密码。
# 设置系统向RADIUS服务器重发报文的时间间隔与次数。
# 设置系统向RADIUS服务器发送实时计费报文的时间间隔。
# 指示系统从用户名中去除用户域名后再将之传给RADIUS服务器。
[Sysname-radius-radius1] user-name-format without-domain
# 创建域aabbcc.net并进入其视图。
# 指定radius1为该域用户的RADIUS方案，若RADIUS服务器无效，则使用本地认证方案。
[Sysname-isp-aabbcc.net] scheme radius-scheme radius1 local
# 设置该域最多可容纳30个用户。
# 启动闲置切断功能并设置相关参数。
原文出处：http://xjzhujunjie.blog.51cto.com/3582724/822590
# 配置域aabbcc.net为缺省用户域。
# 添加本地接入用户。
[Sysname-luser-localuser] password simple localpass
