Come posso mettere in sicurezza le porte lan esterne?

[Guz]

Ciao,
Le telecamere di videosorveglianza sono attaccate alla nostra LAN e se qualcuno stacca il cavo di rete di una telecamera esterna e lo attacca ad un portatile é praticamente dentro la LAN.
Quale é il miglior approccio usando gli switch di cisco per limitare i potenziali rischi?
Innanzi tutto creeeri una VLAN dedicata in cui spostare tutte le cam in una sottorete diversa.
Per info i miei switch sono dei catalyst 2960s e mi avete già insegnato a creare le VLAN in routing usando le SVI http://www.ciscoforums.it/viewtopic.php?f=10&t=30245

Solo che anche in questo caso con uno scan potrebbero arrivare a raggiungere gli indirizzi interni... Come posso risolve? Posso avere un NAT invece di un routing?
Grazie

[dinukro]

Caio, devi importare portsecurity sulle porte dello switch

!
interface fastethernet x/x
switchport mode access
switchport port-security
switchport port-security maximum 1
switchport port-security violation shutdown
switchport port-security mac-address xxxx.zzzz.yyyy

Dove xxxx.zzzz.yyyy è il mac address della telecamera

[Guz]

Grazie, è quello ce mi serviva.
Posso autorizzare più di un mac address sulla porta?
Te lo chiedo perchè oggi, credendo di far bene, avevo già separato le 2 reti mettendo tutte le telecamere in una vlan. Le telecamere ora sono però collegate ad uno switch giga da battaglia che è connesso a sua volta alla switch virtual interface del cisco dedicata appunto a quella vlan.
Se potessi autorizzare più MAC allora forse ce la farei configurando una sola porta per accettare Più host e tutti i mac address delle cam.

Qualcosa tipo:

!
interface fastethernet x/x
switchport mode access
switchport port-security
switchport port-security maximum 8
switchport port-security violation shutdown
switchport port-security mac-address xxxx.zzzz.yyyy
switchport port-security mac-address xxxx.zzzz.yyyy
switchport port-security mac-address xxxx.zzzz.yyyy
switchport port-security mac-address xxxx.zzzz.yyyy
switchport port-security mac-address xxxx.zzzz.yyyy
switchport port-security mac-address xxxx.zzzz.yyyy
switchport port-security mac-address xxxx.zzzz.yyyy
switchport port-security mac-address xxxx.zzzz.yyyy

Domani provo a vedere se una variazione di questo tipo é corretta.
Grazie infinite

[Rizio]

Si puoi farlo e la sintassi è quella.

Rizio