交換機安全特性(已修改)
2025-07-06 12:07 本頁面
【正文】 .. . . ..Cisco交換機的安全特性一、 端口安全二、 AAA服務(wù)認證三、 DHCP欺騙四、 IP Source Guard五、 ARP六、 DAI的介紹七、 SSH認證八、 VTY線路出入站的ACL九、 HTTP server十、 ACL功能十一、PVLAN一、 端口安全：A、通過端口安全特性可以檢查連接交換機的MAC地址的真實性。管理員可以通過這個特性將固定的MAC地址寫在交換機中。B、配置順序：1）啟動端口安全程序，2）配置有效的MAC地址學(xué)習(xí)上線，3）配置靜態(tài)有效MAC地址（動態(tài)學(xué)習(xí)不需要配置），4）配置違反安全規(guī)定的處理方法（方法有三種：shut down直接關(guān)閉端口，需要后期由管理員手工恢復(fù)端口狀態(tài)；protect 過濾掉不符合安全配置的MAC地址；restrict 過濾掉非安全地址后啟動計時器，記錄單位時間內(nèi)非安全地址的連接次數(shù)），5）配置安全地址的有效時間（靜態(tài)配置的地址永遠生效，而動態(tài)學(xué)習(xí)的地址則需要配置有效時間）。C、配置實例：interface fa 0/1進入交換機0/1接口description access port 描述Access端口switchport mode access 將交換機端口配置為Access端口switchport access vlan 10將端口劃分給vlan10switchport portsecurity 啟動端口安全switchport portsecurity maximum 2配置該端口最多可以學(xué)習(xí)MAC地址的數(shù)量switchport portsecurity macaddress switchport portsecurity macaddress 靜態(tài)配置可以接入端口的MAC地址switchport portsecurity violation restrict配置端口發(fā)現(xiàn)違反安全規(guī)定后的策略switchport portsecurity aging time 60端口學(xué)習(xí)動態(tài)MAC地址的有效時間（單位：分鐘）switchport portsecurity aging type inactivity端口會將到期且不工作的MAC地址清空D、當管理員需要靜態(tài)配置安全MAC地址，而又不知道具體MAC地址時，可通過sticky特性實現(xiàn)需求。命令如下：switchport portsecurity macaddress stickysticky特性會將動態(tài)學(xué)習(xí)到的MAC地址自動配置為靜態(tài)安全地址。且該條目可以在show run中看到（記得保存配置）。E、校驗命令：show portsecurity [interface interfaceid] [address]具體端口明細信息show portsecurity 顯示端口安全信息show portsecurity address 顯示安全地址及學(xué)習(xí)類型二、 AAA認證 AAA：A、 Authentication 身份認證：校驗身份 B、 Authorization 授權(quán)：賦予訪問者不同的權(quán)限C、 Accounting 日志：記錄用戶訪問操作 AAA服務(wù)認證的三要素：AAA服務(wù)器、各種網(wǎng)絡(luò)設(shè)備、客戶端客戶端：AAA服務(wù)中的被管理者各種網(wǎng)絡(luò)設(shè)備：AAA服務(wù)器的前端代理者AAA服務(wù)器：部署用戶、口令等注：CC IERS只涉及網(wǎng)絡(luò)設(shè)備上的一小部分,不作為重點。 （標準以太網(wǎng)技術(shù)），實現(xiàn)網(wǎng)絡(luò)接入控制。即是否允許客戶端接入網(wǎng)絡(luò)。三、 DHCP欺騙 DHCP過程是客戶端接入網(wǎng)絡(luò)后會發(fā)廣播（discover）尋找本網(wǎng)段的DHCP服務(wù)器；服務(wù)器收到廣播后，會向客戶端進行回應(yīng)（offer），回應(yīng)信息中攜帶著地址段信息；客戶端會在offer中挑選一個IP地址，并向服務(wù)器發(fā)起請求（responds）；服務(wù)器會檢查客戶端選取的IP地址是否可用，同時向客戶端確認消息（acknowledgment）。DHCP欺騙主要與服務(wù)器給客戶端的回應(yīng)有關(guān)。 DHCP Snooping 在交換機上檢查DHCP消息。具體的說它會檢查兩類消息：discover消息和offer消息。交換機對discover消息的控制方法是限速，對offer消息的控制是引導(dǎo)。在專業(yè)的攻擊中，病毒電腦會先用discover方式向合法的DHCP服務(wù)器發(fā)起QOS攻擊。當DHCP服務(wù)器癱瘓后，由另一臺病毒電腦對這個網(wǎng)段進行DHCP欺騙。由于是兩臺病毒電腦配合攻擊，因此解決問題的方法也不同。 DHCP Snooping的部署ip dhcp snooping開啟dhcp Snooping功能ip dhcp snooping information op
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1