交換機(jī)安全特性-全文預(yù)覽
【正文】 unity 團(tuán)體端口 屬于munity vlan各個(gè)類(lèi)型端口的通訊A、Isolated隔離端口：每一個(gè)隔離端口只能與混雜端口通訊，隔離端口之前不能通訊。interface range fa0/12 進(jìn)入fa0/1和fa0/2口switchport mode privatevlan host 將端口配置為輔助端口switchport privatevlan hostassociation 100 202 配置端口可通行vlan注2：hostassociation 先寫(xiě)主vlan ID后寫(xiě)輔助vlan ID。用一些事情，總會(huì)看清一些人。4. 歲月是無(wú)情的，假如你丟給它的是一片空白，它還給你的也是一片空白。學(xué)習(xí)參考。你必須努力，當(dāng)有一天驀然回首時(shí)，你的回憶里才會(huì)多一些色彩斑斕，少一些蒼白無(wú)力。既糾結(jié)了自己，又打擾了別人。2. 若不是心寬似海，哪有人生風(fēng)平浪靜。C、Community 團(tuán)體端口：可以和混雜端口以及同一個(gè)munity內(nèi)的其他端口通訊。使普通VLAN下面呈現(xiàn)出不同的VLAN控制。 drop all other ip packets 丟棄其他的IP流量需求四得到滿足。 drop all other ip packets 丟棄所有其他的（非IGMP和非TCP）IP包即：基于端口的acl，基于vlan的acl和在三層接口上配置出站或入站的acl（三層交換機(jī)支持）。如果ARP應(yīng)答消息中的字段與ACL配置中的任何一項(xiàng)不符，則直接過(guò)濾。 DAI可以阻止ARP病毒或者ARP攻擊；欺騙都發(fā)生在應(yīng)答消息中。注2：portsecurity功能啟用后，交換機(jī)不檢查DHCP消息的MAC地址，直到終端設(shè)備獲得IP地址之后，交換機(jī)才會(huì)檢查源MAC地址。最常用的方法是借鑒DHCP Snooping建立的綁定表。數(shù)據(jù)庫(kù)最大容量8192條信息。當(dāng)客戶端與服務(wù)器不是通過(guò)直連網(wǎng)絡(luò)連接，而是中間通過(guò)交換機(jī)連接，此時(shí)交換機(jī)會(huì)在DHCP過(guò)程中附加一些交換的信息（option）。ip dhcp snooping trust配置可信任端口。在專業(yè)的攻擊中，病毒電腦會(huì)先用discover方式向合法的DHCP服務(wù)器發(fā)起QOS攻擊。DHCP欺騙主要與服務(wù)器給客戶端的回應(yīng)有關(guān)。E、校驗(yàn)命令：show portsecurity [interface interfaceid] [address]具體端口明細(xì)信息show portsecurity 顯示端口安全信息show portsecurity address 顯示安全地址及學(xué)習(xí)類(lèi)型二、 AAA認(rèn)證 AAA：A、 Authentication 身份認(rèn)證：校驗(yàn)身份 B、 Authorization 授權(quán)：賦予訪問(wèn)者不同的權(quán)限C、 Accounting 日志：記錄用戶訪問(wèn)操作 AAA服務(wù)認(rèn)證的三要素：AAA服務(wù)器、各種網(wǎng)絡(luò)設(shè)備、客戶端客戶端：AAA服務(wù)中的被管理者各種網(wǎng)絡(luò)設(shè)備：AAA服務(wù)器的前端代理者AAA服務(wù)器：部署用戶、口令等注：CC IERS只涉及網(wǎng)絡(luò)設(shè)備上的一小部分,不作為重點(diǎn)。B、配置順序：1）啟動(dòng)端口安全程序，2）配置有效的MAC地址學(xué)習(xí)上線，3）配置靜態(tài)有效MAC地址（動(dòng)態(tài)學(xué)習(xí)不需要配置），4）配置違反安全規(guī)定的處理方法（方法有三種：shut down直接關(guān)閉端口，需要后期由管理員手工恢復(fù)端口狀態(tài)；protect 過(guò)濾掉不符合安全配置的MAC地址；restrict 過(guò)濾掉非安全地址后啟動(dòng)計(jì)時(shí)器，記錄單位時(shí)間內(nèi)非安全地址的連接次數(shù)），5）配置安全地址的有效時(shí)間（靜態(tài)配置的地址永遠(yuǎn)生效，而動(dòng)態(tài)學(xué)習(xí)的地址則需要配置有效時(shí)間）。管理員可以通過(guò)這個(gè)特性將固定的MAC地址寫(xiě)在交換機(jī)中。且該條目可以在show run中看到（記得保存配置）。三、 DHCP欺騙 DHCP過(guò)程是客戶端接入網(wǎng)絡(luò)后會(huì)發(fā)廣播（discover）尋找本網(wǎng)段的DHCP服務(wù)器；服務(wù)器收到廣播后，會(huì)向客戶端進(jìn)行回應(yīng)（offer），回應(yīng)信息中攜帶著地址段信息；客戶端會(huì)在offer中挑選一個(gè)IP地址，并向服務(wù)器發(fā)起請(qǐng)求（responds）；服務(wù)器會(huì)檢查客戶端選取的IP地址是否可用，同時(shí)向客戶端確認(rèn)消息（acknowledgment）。交換機(jī)對(duì)discover消息的控制方法是限速，對(duì)offer消息的控制是引導(dǎo)。 DHCP Snooping的部署ip dhcp snooping開(kāi)啟dhcp Snooping功能ip dhcp snooping information option偵聽(tīng)dhcp過(guò)程中的擴(kuò)展信息ip dhcp snooping vlan vlan id配置需要監(jiān)聽(tīng)的VLANip dhcp limit rate 50對(duì)DHCP包進(jìn)行限速，50包/秒。注3：DHCP中的擴(kuò)展信息是通過(guò)交換機(jī)時(shí)獲得的。 DHCP Snooping的校驗(yàn)show ip dhcp snooping DHCP Snooping建立“綁定數(shù)據(jù)庫(kù)”當(dāng)DHCP Snoo
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1