HCIP-Datacom知识库
AI 助教问 AI 助教
东方瑞通 · HCIP-Datacom

以太网交换安全与流量控制

以太网交换安全用端口隔离、端口安全、MAC 漂移防止与 MACsec 防二层欺骗；DHCP Snooping 建绑定表防伪造服务器，IP Source Guard 依绑定表过滤源 IP/MAC。

考点精讲

  1. 交换安全与流量控制构成园区接入层防欺骗体系。端口隔离让同隔离组内端口二层隔离、仅与上行口通信；端口安全限制端口学习 MAC 数量并绑定合法 MAC；MAC 漂移防止检测同一 MAC 在端口间漂移并告警/阻断，防环路与欺骗；MACsec（802.1AE）对二层帧加密。MAC 地址表安全支持静态 MAC 与黑洞 MAC（blackhole）。DHCP Snooping 区分信任端口（连合法服务器）与非信任端口（连用户），丢弃非信任端口的服务器响应，并生成 IP-MAC-端口-VLAN 绑定表；IP Source Guard 基于绑定表过滤源 IP/MAC，DAI 进一步防 ARP 欺骗。

记忆技巧

记“交换安全四招：隔离、限 MAC、防漂移、加密（MACsec）”。
流量控制记“DHCP Snooping 分信任/非信任、建绑定表，IP Source Guard 拿绑定表查源地址”。
黑洞 MAC（blackhole）丢弃指定流量，静态 MAC 绑定固定端口。

常见误区

  • 误区一：以为端口隔离能隔离所有端口。正解：只隔离同组内端口，且需与上行口通信。
  • 误区二：以为 DHCP Snooping 只是优化 DHCP 转发。正解：其核心是安全——阻止伪造服务器并为 IP Source Guard/DAI 提供绑定表。
  • 误区三：以为 IP Source Guard 与 DAI 作用相同。正解：IP Source Guard 查数据报文的源 IP/MAC，DAI 查 ARP 报文的 IP-MAC 防 ARP 欺骗。

真题思路

  • 【示例】 【示例】为防止用户私接路由器造成伪造 DHCP 服务器，应在接入交换机上配置什么技术？
    DHCP Snooping，并将用户侧端口设为非信任端口　端口聚合　STP 根保护　MSTP 多实例
    答案：A
    解析：DHCP Snooping 区分信任/非信任端口，丢弃非信任端口的 DHCP 服务器响应，从而阻止伪造 DHCP 服务器。

常见问题

Q：端口安全与端口隔离区别

A：端口安全限制端口可学习 MAC 数量/绑定，端口隔离是端口间二层隔离。

Q：DAI 和 IP Source Guard 区别

A：DAI 查 ARP 报文的 IP-MAC 防 ARP 欺骗，IP Source Guard 查数据报文的源 IP/MAC 防 IP 欺骗。

Q：MAC 漂移防止的作用

A：检测同一 MAC 在端口间快速漂移并告警/阻断，防环路与 MAC 欺骗。

相关知识

VLAN 高级技术（VLAN聚合/MUX VLAN/QinQ） DHCP 原理与配置 RSTP 与 MSTP 原理及配置

教材出处：第15章 以太网高级技术 以太网交换安全与流量控制

AI 助教

让 AI 助教带你深入学习，把你卡住的地方直接问它

随时为您答疑解惑

开始答疑