Mac地址认证,是在核心交换机上做,还是在接入上做比较好?

一般来说，在企业网络中，MAC地址认证通常是在接入层交换机上实现的，而不是在核心交换机上实现的。

原因有以下几点：

1. 接入层交换机的端口数量通常比较多，而且接入的设备种类也比较复杂，因此需要更严格的安全控制；
2. 接入层交换机通常与用户设备直接相连，这样可以更快地发现并隔离安全问题；
3. 在核心交换机上实现MAC地址认证可能会对网络性能造成影响，因为核心交换机需要处理大量的MAC地址认证请求。

因此，建议在企业网络中，采用接入层交换机实现MAC地址认证，可以更好地保证网络的安全性和性能。

相关问题

在接入层交换机,如何做Mac地址认证?交换机品牌是华为

在华为接入层交换机上，可以通过以下步骤实现MAC地址认证：

1. 创建MAC地址认证域：

[Switch]mac-domain name domain-name

其中，domain-name 为域名称，可根据实际情况进行自定义。

2. 配置MAC地址认证模板：

[Switch]mac-authentication profile name profile-name
[Switch-mac-authen-profile-profile-name]authentication-mode {mac-authen|mac-bypass}
[Switch-mac-authen-profile-profile-name]authentication-order {mac-authen-first|dot1x-authen-first}
[Switch-mac-authen-profile-profile-name]authentication-scheme {mac-only|mac-domain|mac-bypass}
[Switch-mac-authen-profile-profile-name]re-authenticate {enable|disable}

其中，各参数含义如下：

- authentication-mode：指定认证模式，可选值为 mac-authen 或 mac-bypass；
- authentication-order：指定认证顺序，可选值为 mac-authen-first 或 dot1x-authen-first；
- authentication-scheme：指定认证方案，可选值为 mac-only、mac-domain 或 mac-bypass；
- re-authenticate：指定是否开启重新认证功能，可选值为 enable 或 disable。

3. 将MAC地址认证模板绑定到MAC地址认证域：

[Switch-mac-domain-domain-name]authentication-profile profile-name

其中，profile-name 为第2步中创建的MAC地址认证模板名称。

4. 配置接口的MAC地址认证方式：

[Switch]interface interface-type interface-number
[Switch-interface]interface mac-authentication {mac-authen|mac-bypass} mac-address

其中，interface-type 为接口类型，interface-number 为接口编号，mac-address 为要认证的MAC地址。

完成以上配置后，当设备接入接口时，交换机会对设备的MAC地址进行认证，如果认证通过，则设备可以正常接入网络。如果认证失败，则设备无法接入网络。

怎样在华为核心交换机上配置mac地址认证

在华为核心交换机上配置MAC地址认证，需要按照以下步骤进行操作：

1. 创建MAC地址认证模板：在交换机上创建MAC地址认证模板，指定认证方式、认证超时时间、认证失败时的行为等参数。例如，可以使用以下命令创建一个名为“auth-mac”的MAC地址认证模板：

[SW1] authentication-profile name auth-mac
[SW1-auth-mac] authentication-method mac
[SW1-auth-mac] authentication-mode multi-authen
[SW1-auth-mac] authentication timer quiet-period 3 retry-times 3
[SW1-auth-mac] authentication forbidden vlan 10

其中，authentication-method指定认证方式为MAC地址认证，authentication-mode指定认证模式为多重认证（多个认证方式同时生效），authentication-timer指定认证超时时间，authentication-forbidden指定认证失败时的行为，这里指定将不符合认证的MAC地址全部放到VLAN 10中。

2. 创建MAC地址白名单：在交换机上创建MAC地址白名单，列出允许接入网络的MAC地址。例如，可以使用以下命令创建一个名为“mac-white”的MAC地址白名单：

[SW1] mac-address authentication-profile mac-white
[SW1-mac-white] mac-address 0011-2233-4455 vlan 20
[SW1-mac-white] mac-address 00aa-bbcc-ddee vlan 20

其中，mac-address指定MAC地址白名单的配置模式，0011-2233-4455和00aa-bbcc-ddee是两个允许接入网络的MAC地址，vlan指定这些MAC地址所在的VLAN。

3. 应用MAC地址认证模板：将MAC地址认证模板应用到交换机的端口或VLAN上，指定允许接入网络的MAC地址白名单。例如，可以使用以下命令将“auth-mac”应用到端口GigabitEthernet0/0/1上，并将“mac-white”指定为允许接入网络的MAC地址白名单：

[SW1] interface GigabitEthernet0/0/1
[SW1-GigabitEthernet0/0/1] authentication profile auth-mac mac-address mac-white

在完成以上操作后，只有在MAC地址白名单中列出的MAC地址才能够接入端口GigabitEthernet0/0/1所在的VLAN。如果有其他MAC地址接入该端口，认证会失败，并将不符合认证的MAC地址放到VLAN 10中。