交換機安全特性-全文預(yù)覽
【正文】 unity 團體端口 屬于munity vlan各個類型端口的通訊A、Isolated隔離端口：每一個隔離端口只能與混雜端口通訊，隔離端口之前不能通訊。interface range fa0/12 進入fa0/1和fa0/2口switchport mode privatevlan host 將端口配置為輔助端口switchport privatevlan hostassociation 100 202 配置端口可通行vlan注2：hostassociation 先寫主vlan ID后寫輔助vlan ID。用一些事情，總會看清一些人。4. 歲月是無情的，假如你丟給它的是一片空白，它還給你的也是一片空白。學(xué)習(xí)參考。你必須努力，當(dāng)有一天驀然回首時，你的回憶里才會多一些色彩斑斕，少一些蒼白無力。既糾結(jié)了自己，又打擾了別人。2. 若不是心寬似海，哪有人生風(fēng)平浪靜。C、Community 團體端口：可以和混雜端口以及同一個munity內(nèi)的其他端口通訊。使普通VLAN下面呈現(xiàn)出不同的VLAN控制。 drop all other ip packets 丟棄其他的IP流量需求四得到滿足。 drop all other ip packets 丟棄所有其他的（非IGMP和非TCP）IP包即：基于端口的acl，基于vlan的acl和在三層接口上配置出站或入站的acl（三層交換機支持）。如果ARP應(yīng)答消息中的字段與ACL配置中的任何一項不符，則直接過濾。 DAI可以阻止ARP病毒或者ARP攻擊；欺騙都發(fā)生在應(yīng)答消息中。注2：portsecurity功能啟用后，交換機不檢查DHCP消息的MAC地址，直到終端設(shè)備獲得IP地址之后，交換機才會檢查源MAC地址。最常用的方法是借鑒DHCP Snooping建立的綁定表。數(shù)據(jù)庫最大容量8192條信息。當(dāng)客戶端與服務(wù)器不是通過直連網(wǎng)絡(luò)連接，而是中間通過交換機連接，此時交換機會在DHCP過程中附加一些交換的信息（option）。ip dhcp snooping trust配置可信任端口。在專業(yè)的攻擊中，病毒電腦會先用discover方式向合法的DHCP服務(wù)器發(fā)起QOS攻擊。DHCP欺騙主要與服務(wù)器給客戶端的回應(yīng)有關(guān)。E、校驗命令：show portsecurity [interface interfaceid] [address]具體端口明細(xì)信息show portsecurity 顯示端口安全信息show portsecurity address 顯示安全地址及學(xué)習(xí)類型二、 AAA認(rèn)證 AAA：A、 Authentication 身份認(rèn)證：校驗身份 B、 Authorization 授權(quán)：賦予訪問者不同的權(quán)限C、 Accounting 日志：記錄用戶訪問操作 AAA服務(wù)認(rèn)證的三要素：AAA服務(wù)器、各種網(wǎng)絡(luò)設(shè)備、客戶端客戶端：AAA服務(wù)中的被管理者各種網(wǎng)絡(luò)設(shè)備：AAA服務(wù)器的前端代理者AAA服務(wù)器：部署用戶、口令等注：CC IERS只涉及網(wǎng)絡(luò)設(shè)備上的一小部分,不作為重點。B、配置順序：1）啟動端口安全程序，2）配置有效的MAC地址學(xué)習(xí)上線，3）配置靜態(tài)有效MAC地址（動態(tài)學(xué)習(xí)不需要配置），4）配置違反安全規(guī)定的處理方法（方法有三種：shut down直接關(guān)閉端口，需要后期由管理員手工恢復(fù)端口狀態(tài)；protect 過濾掉不符合安全配置的MAC地址；restrict 過濾掉非安全地址后啟動計時器，記錄單位時間內(nèi)非安全地址的連接次數(shù)），5）配置安全地址的有效時間（靜態(tài)配置的地址永遠(yuǎn)生效，而動態(tài)學(xué)習(xí)的地址則需要配置有效時間）。管理員可以通過這個特性將固定的MAC地址寫在交換機中。且該條目可以在show run中看到（記得保存配置）。三、 DHCP欺騙 DHCP過程是客戶端接入網(wǎng)絡(luò)后會發(fā)廣播（discover）尋找本網(wǎng)段的DHCP服務(wù)器；服務(wù)器收到廣播后，會向客戶端進行回應(yīng)（offer），回應(yīng)信息中攜帶著地址段信息；客戶端會在offer中挑選一個IP地址，并向服務(wù)器發(fā)起請求（responds）；服務(wù)器會檢查客戶端選取的IP地址是否可用，同時向客戶端確認(rèn)消息（acknowledgment）。交換機對discover消息的控制方法是限速，對offer消息的控制是引導(dǎo)。 DHCP Snooping的部署ip dhcp snooping開啟dhcp Snooping功能ip dhcp snooping information option偵聽dhcp過程中的擴展信息ip dhcp snooping vlan vlan id配置需要監(jiān)聽的VLANip dhcp limit rate 50對DHCP包進行限速，50包/秒。注3：DHCP中的擴展信息是通過交換機時獲得的。 DHCP Snooping的校驗show ip dhcp snooping DHCP Snooping建立“綁定數(shù)據(jù)庫”當(dāng)DHCP Snoo
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1