交换机接入安全.docx
- 文档编号:28858972
- 上传时间:2023-07-20
- 格式:DOCX
- 页数:11
- 大小:16.82KB
交换机接入安全.docx
《交换机接入安全.docx》由会员分享,可在线阅读,更多相关《交换机接入安全.docx(11页珍藏版)》请在冰豆网上搜索。
交换机接入安全
交换机接入安全
交换机接入安全
端口安全
P320MAC表自动学习:
动态(默认)保持300秒.手工设置:
静态(安全)
默认,MAC表动态学习,允许任何用户接入。
MAC表
MACA
VLAN1
F0/1
MACB
VLAN1
F0/2
MACC
VLAN1
F0/3
MACD
VLAN1
F0/4
当未授权用户E接入端口F0/4,则交换机会自动刷新MAC表,并允许E接入,则E便可以访问网络资。
可以通过多种方式来限制E对网络的访问,其中一种便是端口安全。
实验:
端口安全1.在接入层交换机S29上,对于端口F0/1,2.,3,4只允许主机ABCD接入,违背关闭端口.S29(config)#
intf0/1
#
shutdown
目的:
清理MAC表
#
sw
modeacc
默认dynamaic,不能启用端口安全
#
sw
port-security
启用端口安全
#
sw
port-securitymaximun1
关联一个MAC(默认)
#
sw
port-securitymac-address000c.1111.111a静态绑定或#
swport-securitymac-addresssticky
动态学习MAC并绑定
#
sw
port-securityviolationshutdown
违背关闭(默认)
#
no
shutdown
……S29(config)#
intf0/4
#
shutdown
#
sw
modeacc
#
sw
port-security
启用端口安全
#
sw
port-securitymaximun1
关联一个MAC(默认)
#
sw
port-securitymac-address
000c.1111.111dd
静态绑定
#
sw
port-securityviolationshutdown
违背关闭
2.在交换机S3560上,在F0/1端口只允许主机ABC接入,其它禁止,违背受限.S3560(config)#intf0/1
#
shutdown
#
sw
modeacc
#
sw
port-security
#
sw
port-securitymaximun3
关联3个MAC(默认1个)
#
sw
port-securitymac-address
静态绑定
#
sw
port-securitymac-address
000c.1111.111bb
#
sw
port-securitymac-address
000c.1111.111cc
#
sw
port-securityviolation
restric
受限,合法通过,非法丢弃并产生日志消息
PProtect
保护,合法通过,非法丢弃,但不产生日志消息
3.错误禁用的恢复
(1)手工恢复先shutdown,后noshutdown
(2)自动恢复S(config)#errdisablerecoverycausepsecure-violation
重新启用的原因
#errdisablerecoveryinterval30
恢复时间间隔
注:
1.启用端口安全时,只能工作在access或trunk模式.(默认dynamaicauto)
2.配置时,应先将端口关闭,否则配置不起作用。
sw#shport-securityinterfacef0/3sw#sherrdisabledetect
ErrDisableReason
Detection
Mode-
-
-
---
00:
26:
9E:
81:
89:
10
infinite
static
1
FastEther0/500:
E0:
4C:
82:
1A:
EE
423621
dhcp-snooping
1
FastEther0/100:
E0:
4C:
82:
1A:
EE
411916
dhcp-snooping
2
FastEther0/1Totalnumberofbindings:
3
#clearipdhcpsnoopingbinding*#clearipdhcpbinding*
动态ARP检测(
DAI.
)
P329
分析^p:
ARP欺骗。
用户上网,先通过ARP找网关的MAC.1.A广播查询"1.254你的MAC是多少,请回答"2.所有主机都能收到,但正常只能网关回答:
"1.254的MAC是MACG"
主机D,ARP病毒
抢先回答:
1.254
MACD3.主机A在二层将用MACD封装.
最终,主机A的所有流量都将被转发到D.
中间人攻击D可以对重要信息进行过滤,如上网帐号、邮箱帐号、电子银行帐号等。
注:
与DHCP欺骗的区别DHCP欺骗
假冒网关IPARP欺骗
假冒网关MAC
解决办法:
动态ARP检查.
(在交换机上进行)
S3560(config)#iparpinspectionvlan1-3
在VLAN1-3下启用ARP检测启用后,交换机将会拦截VLNA1-3接口收到的ARP应答,进行合法性检查。
在判断是否存在欺骗行为时,可以采用以下2种方式:
1.采用DHCP监听绑定表,或手工设置的IP-MAC-接口绑定关系表。
MAC
IP
租用期限
对应端口
A
8
F0/1
B
8
F0/2
C
8
F0/3
D
8
F0/4
MACA
MACD
1.254MACD
F0/4收到
二层
ARP应答
2.如果没有上述表项,可以手工配置ARP访问列表.S3560(config)#arpaccess-list
ARP--01
手工建立ARP绑定表
S3560(config)#iparpinspectionfilterARP--01
vlan1
调用ARP绑定表
其它配置:
S3560(config)#intg0/1
#iparpinspectiontrust
(两个交换机之间的ARP应答视为可信,避免重复检查.)
考试300题
S3560(config)#intf0/2
#iparpinspectionlimitrate10
arp请求限速,防止arp泛洪攻击。
实验测试的结果:
1.ARP检测合法应答通过,非法应答丢弃;2.ARP超速接口,动作是shutdown;3.DAI会自动调用已有的DHCP监听绑定表或手工IP-MAC-接口绑定表进行ARP检测,也可调用已配置的ARP访问列表。
其它PARP安全措施:
1.PC杀毒,安装ARP防火墙。
2.PC手工ARP绑定
(在终端PC上进行
)
启动项
arp.bat
arp-s192.168.1.100-0c-ce-12-12-11arp-s192.168.1.200-0c-01-12-12-12arp-s192.168.1.300-0c-01-12-12-13
3.路由器ARP绑定
r1(config)#arp172.16.11.1c007.1a30.f10darpa
附:
ARP表老化时间1.Windows2022/XP,ARP的老化时间默认为2分钟,如果一个ARP缓存表项在2分钟内用到,则再延长2分钟,直到最大生命周期10分钟。
然后被移除,再通过一个新的ARP请求/回应来得新的对应关系。
2.CISCO路由器的ARP老化时间默认为4小时,可以进行修改。
r1#
shintf0/0FastEther0/0isup,lineprotocolisup
HardwareisGt96kFE,addressisc000.1e4c.0000(biac000.1e4c.0000)
Half-duplex,10Mb/s,100BaseTX/FX
ARPtype:
ARPA,ARPTimeout04:
00:
00
r1(config)#intf0/0#arptimeout120
r1#
shintf0/0FastEther0/0isup,lineprotocolisup
HardwareisGt96kFE,addressisc000.1e4c.0000(biac000.1e4c.0000)
ARPtype:
ARPA,ARPTimeout00:
02:
00r1#sharp
Protocol
Address
Age(min)
HardwareAddr
Type
InterfaceInter
-
ARPA
FastEther0/1Inter
1
ARPA
FastEther0/0
Inter
-
ARPA
FastEther0/0
3.路由器ARP静态绑定。
r1(config)#arp172.16.11.1c007.1a30.f10darpa
r1#sharpProtocol
Address
Age(min)
HardwareAddr
Type
InterfaceInter
-
ARPA
FastEther0/1Inter
-
ARPA
Inter
-
ARPA
FastEther0/0r1#sharp172.16.11.1detail
ARPentryfor172.16.11.1,linktypeIP.
Static,lastupdated0minuteago.
EncaptypeisARPA,hardwareaddressisc007.1a30.f10d,6byteslong.
ARPsubblocks:
*StaticARPSubblock
Floatingentry.
Entryisplete,attachedtoFastEther0/0.
*IPARPAdjacencyAdjacency(for172.16.11.1onFastEther0/0)wasinstalled.
保护三张表:
1.路由表
确保路由表正确、全面(静态路由、路由协议正确配置)。
2.ARP表
推荐静态绑定。
防止ARP表被欺骗,同时可以减少广播流量。
3.MAC表
建议静态绑定。
防止MAC表被攻击,同时可以防止非法用户接入。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 交换机 接入 安全