Port Security mit Open vSwitch - Versionsgeschichte

Thomas.will am 3. Mai 2026 um 08:56 Uhr

2026-05-03T08:56:21Z

Thomas.will am 2. Mai 2026 um 09:41 Uhr

2026-05-02T09:41:04Z

Thomas.will: /* Hinweis */

2026-05-02T09:40:33Z

Hinweis

Thomas.will: Die Seite wurde neu angelegt: „=== Was ist Port Security? === Port Security ist eine Sicherheitsfunktion auf Layer 2, die festlegt welche MAC-Adressen an einem Switch-Port kommunizieren dür…“

2026-05-02T09:37:42Z

Die Seite wurde neu angelegt: „=== Was ist Port Security? === Port Security ist eine Sicherheitsfunktion auf Layer 2, die festlegt welche MAC-Adressen an einem Switch-Port kommunizieren dür…“

Neue Seite

=== Was ist Port Security? ===
Port Security ist eine Sicherheitsfunktion auf Layer 2, die festlegt welche MAC-Adressen an einem Switch-Port kommunizieren dürfen. Meldet sich ein unbekanntes Gerät an einem geschützten Port, wird der Traffic einfach verworfen.

Auf einem Cisco-Switch heißt das Feature ''switchport port-security''. Mit Open vSwitch erreichen wir dasselbe über '''OpenFlow'''-Regeln.

=== Funktionsweise ===
OpenFlow erlaubt es, den Switch-Traffic anhand von Regeln zu steuern. Jede Regel definiert:
* eine '''Bedingung''' — z. B. eingehender Port + MAC-Adresse
* eine '''Aktion''' — z. B. weiterleiten (normal) oder verwerfen (drop)

Die Regeln werden der Reihe nach geprüft. Die erste passende Regel gewinnt.

=== Port Security konfigurieren ===
Im folgenden Beispiel wird '''eth2''' abgesichert. Nur die MAC-Adresse '''08:00:27:86:79:13''' darf kommunizieren, alles andere wird verworfen.

Erlaubte MAC-Adresse eintragen:
<pre>
ovs-ofctl add-flow sw0 "in_port=eth2,dl_src=08:00:27:86:79:13,actions=normal"
</pre>

Alle anderen MACs auf eth2 verwerfen:
<pre>
ovs-ofctl add-flow sw0 "in_port=eth2,actions=drop"
</pre>

=== Kontrolle ===
Aktive OpenFlow-Regeln anzeigen:
<pre>
ovs-ofctl dump-flows sw0
</pre>

=== Port Security entfernen ===
Alle Regeln für eth2 löschen:
<pre>
ovs-ofctl del-flows sw0 "in_port=eth2"
</pre>

=== Hinweis ===
OpenFlow-Regeln sind '''nicht persistent''' — nach einem Reboot sind sie weg. Für eine dauerhafte Konfiguration müssen die Befehle beim Start automatisch ausgeführt werden, z. B. per Systemd-Service oder Skript.

@@ Zeile 12: / Zeile 12: @@
 === Port Security konfigurieren ===
-Im folgenden Beispiel wird '''eth2''' abgesichert. Nur die MAC-Adresse '''08:00:27:86:79:13''' darf kommunizieren, alles andere wird verworfen.
+Im folgenden Beispiel wird '''port4''' abgesichert. Nur die MAC-Adresse '''08:00:27:86:79:13''' darf kommunizieren, alles andere wird verworfen.
 Erlaubte MAC-Adresse eintragen:
 <pre>
-ovs-ofctl add-flow sw0 "in_port=eth2,dl_src=08:00:27:86:79:13,actions=normal"
+ovs-ofctl add-flow sw0 "in_port=port4,dl_src=08:00:27:86:79:13,actions=normal"
 </pre>
-Alle anderen MACs auf eth2 verwerfen:
+Alle anderen MACs auf port4 verwerfen:
 <pre>
-ovs-ofctl add-flow sw0 "in_port=eth2,actions=drop"
+ovs-ofctl add-flow sw0 "in_port=port4,actions=drop"
 </pre>
@@ Zeile 33: / Zeile 33: @@
 Alle Regeln für eth2 löschen:
 <pre>
-ovs-ofctl del-flows sw0 "in_port=eth2"
+ovs-ofctl del-flows sw0 "in_port=port4"
 </pre>
@@ Zeile 40: / Zeile 40: @@
 ===Persistente Konfiguration===
 ;post-up in /etc/network/interfaces:
-  auto eth2
+  auto port4
-  iface eth2 inet manual
+  iface port4 inet manual
-      post-up ovs-ofctl add-flow sw0 "in_port=eth2,dl_src=08:00:27:86:79:13,actions=normal"
+      post-up ovs-ofctl add-flow sw0 "in_port=port4,dl_src=08:00:27:86:79:13,actions=normal"
-      post-up ovs-ofctl add-flow sw0 "in_port=eth2,actions=drop"
+      post-up ovs-ofctl add-flow sw0 "in_port=port4,actions=drop"

@@ Zeile 38: / Zeile 38: @@
 === Hinweis ===
 OpenFlow-Regeln sind '''nicht persistent''' — nach einem Reboot sind sie weg. Für eine dauerhafte Konfiguration müssen die Befehle beim Start automatisch ausgeführt werden, z. B. per Systemd-Service oder Skript.
-===Fix===
+===Persistente Konfiguration===
 ;post-up in /etc/network/interfaces:
   auto eth2

← Nächstältere Version		Version vom 2. Mai 2026, 09:40 Uhr
Zeile 38:		Zeile 38:
	=== Hinweis ===		=== Hinweis ===
	OpenFlow-Regeln sind '''nicht persistent''' — nach einem Reboot sind sie weg. Für eine dauerhafte Konfiguration müssen die Befehle beim Start automatisch ausgeführt werden, z. B. per Systemd-Service oder Skript.		OpenFlow-Regeln sind '''nicht persistent''' — nach einem Reboot sind sie weg. Für eine dauerhafte Konfiguration müssen die Befehle beim Start automatisch ausgeführt werden, z. B. per Systemd-Service oder Skript.
		+	===Fix===
		+	;post-up in /etc/network/interfaces:
		+	auto eth2
		+	iface eth2 inet manual
		+	post-up ovs-ofctl add-flow sw0 "in_port=eth2,dl_src=08:00:27:86:79:13,actions=normal"
		+	post-up ovs-ofctl add-flow sw0 "in_port=eth2,actions=drop"