接入交換機(jī)常見安全配置-wenkub
2023-04-28 05:00:46 本頁面
【正文】 sagetype datetime //啟用日志信息中的時間戳Ruijie(config)logging server //將日志信息發(fā)送給網(wǎng)絡(luò)上的Syslog Sever Ruijie(config)logging file flash: 1000000 //將日志信息根據(jù)指定的文件名創(chuàng)建文件,記錄到擴(kuò)展FLASH上，文件大小會隨日志增加而增加，但其上限以配置的maxfilesizeRuijie(config)logging buffered 40960 //將日志記錄到內(nèi)存緩沖區(qū) Ruijieterminal monitor //允許日志信息顯示在VTY 窗口上 配置下聯(lián)PC端口環(huán)路檢測Ruijie(config)rldp enable //啟用rldp功能Ruijie(config)errdisable recovery interval 120 // 設(shè)定故障關(guān)閉端口恢復(fù)時間為120sRuijie(config)interface range fastethernet 0/124 //進(jìn)入下聯(lián)接口Ruijie(configifrange)rldp port loopdetect shutdownport ////環(huán)路檢測觸發(fā)處理方法為關(guān)閉端口，防止產(chǎn)生數(shù)據(jù)包泛洪影響整個網(wǎng)絡(luò)防arp欺騙場景一：靜態(tài)ip分配方式下防arpRuijie(config)interface FastEthernet 0/1 //進(jìn)入下聯(lián)接口Ruijie(configif)switchport portsecurity //打開端口安全功能Ruijie(configFastEthernet 0/1)switchport portsecurity maximum 3 //配置最大MAC地址數(shù)Ruijie(configFastEthernet 0/1)switchport portsecurity macaddress //交換機(jī)一個端口只能是合法的mac接入Ruijie(configFastEthernet 0/1)switchport portsecurity binding //交換機(jī)一個端口只能是合法的IP接入Ruijie(configFastEthernet 0/1)switchport portsecurity bind vlan 10 //交換機(jī) 端口只能是合法的IP且合法的MAC接入Ruijie(configifrange)arpcheck //打開ARP檢查功能，配合端口安全功能防止ARP欺騙備注：此場景中，交換機(jī)一個端口最大只能接入3臺主機(jī)，但其中有一臺主機(jī)是合法保障的。適用場景：124口下聯(lián)PC用戶,25口下聯(lián)二層網(wǎng)管交換機(jī),26口上聯(lián)匯聚交換機(jī)堆疊環(huán)境中，若未指定優(yōu)先級，則是根據(jù)它們的MAC地址（mac小的為主機(jī)）來確定誰是主機(jī)。靜態(tài)ip地址場景要達(dá)到完全防止arp主機(jī)欺騙和網(wǎng)關(guān)欺騙，只能把所有的ip都進(jìn)行綁定。出場默認(rèn)為1。優(yōu)先級為越大越好，范圍110。因?yàn)樵趯?shí)際環(huán)境中嚴(yán)格的綁定不太適用，所以常用arp防網(wǎng)關(guān)欺騙的命令來達(dá)到防止arp網(wǎng)關(guān)欺騙目的Ruijie(configif)antiarpspoofing ip //打開ARP網(wǎng)關(guān)檢查功能防止ARP網(wǎng)關(guān)欺騙場景二：動態(tài)ip獲取方式下防arpRuijie(config)ip dhcp snooping //開啟dhcp snooping功能Ruijie(config)ip dhcp snooping verify macaddress //打開源MAC檢查功能Ruijie(config)ip arp inspection vlan 110 // Ruijie(config)interface range GigabitEthernet 0/2526 //進(jìn)入上聯(lián)接口Ruijie(configifrange)ip dhcp snooping trust //指定DAI監(jiān)測的相關(guān)VLANRuijie(configifrange)ip arp inspection trust //設(shè)置DAI信任接口場景三：用supervlan方式防arp欺騙適用場景：二層交換機(jī)下聯(lián)用戶都進(jìn)行二層隔離，每個隔離端口配置一個vlanID，需要三層交換機(jī)支持supervlan功能匯聚交換機(jī)配置Ruijie(config)vlan 3Ruijie(configvlan)vlan 4Ruijie(configvlan)vlan 5Ruijie(configvlan)vlan 2Ruijie(configvlan)supervlan //配置VLAN2為SuperVLAN模式Ruijie(configvlan)subvlan 3,45 //配設(shè)置VLAN35為SuperVLAN2的SubVLANRuijie(configvlan)vlan 4Ruijie(configvlan) //~49Ruijie(config)interface range GigabitEthernet 0/2526 //進(jìn)入下聯(lián)接口Ruijie(configifrange)switchport mode trunk //配置為trunk口模式接入交換機(jī)配置Ruijie(config)vlan 3Ruijie(configvlan)vlan 4Ruijie(configvl
公司管理相關(guān)推薦
鄂ICP備17016276號-1