交換機(jī)端口安全技術(shù)講義-全文預(yù)覽
【正文】 tection 包含三個(gè)功能：用戶合法性檢查、 ARP 報(bào)文有效性檢查、 ARP 報(bào)文強(qiáng)制轉(zhuǎn)發(fā)。 認(rèn)證綁 定模式 DHCP SNOOPING 模式 優(yōu)點(diǎn) 局限性 ? 需要安裝客戶端 ? 需要采用 H3C認(rèn)證方式 ? 可以保證網(wǎng)絡(luò)無非法 ARP報(bào)文傳播，從根本防御 ARP攻擊 ? 純網(wǎng)絡(luò)層面實(shí)現(xiàn)，不需要用戶安裝客戶端。 CAMS 認(rèn)證服務(wù)器 利用 Portal認(rèn)證機(jī)制將合法用戶的IPMAC關(guān)系上傳到認(rèn)證服務(wù)器 認(rèn)證服務(wù)器將獲取到的 IPMAC對(duì)應(yīng)關(guān)系下發(fā)到網(wǎng)關(guān) 認(rèn)證設(shè)備將獲取到的 IPMAC對(duì)應(yīng)關(guān)系就地綁定 認(rèn)證客戶端 控制點(diǎn) 1 2 3 X 認(rèn)證通過后，CAMS將網(wǎng)關(guān)的IPMAC對(duì)應(yīng)關(guān)系下發(fā)給客戶端進(jìn)行靜態(tài)綁定 關(guān)鍵點(diǎn) 53 認(rèn)證模式之接入綁定 ?利用認(rèn)證途徑來獲取合法用戶的 IPMAC關(guān)系，在接入交換機(jī)（認(rèn)證設(shè)備）進(jìn)行綁定。 [Sysname] macauthentication 32 ? 第一節(jié) ? 第二節(jié) MAC地址認(rèn)證基本原理及配置 ? 第三節(jié) 端口隔離技術(shù)及配置 ? 第四節(jié) 端口綁定技術(shù)及配置 ? 第五節(jié) ARP防攻擊相關(guān)技術(shù)及配置 目錄 33 端口隔離簡介 34 端口隔離基本配置 35 端口隔離配置舉例 36 ? 第一節(jié) ? 第二節(jié) MAC地址認(rèn)證基本原理及配置 ? 第三節(jié) 端口隔離技術(shù)及配置 ? 第四節(jié) 端口綁定技術(shù)及配置 ? 第五節(jié) ARP防攻擊相關(guān)技術(shù)及配置 目錄 37 端口綁定技術(shù)簡介 38 端口綁定基本配置 39 端口綁定典型配置舉例 40 ? 第一節(jié) ? 第二節(jié) MAC地址認(rèn)證基本原理及配置 ? 第三節(jié) 端口隔離技術(shù)及配置 ? 第四節(jié) 端口綁定技術(shù)及配置 ? 第五節(jié) ARP防攻擊相關(guān)技術(shù)及配置 目錄 41 ARP攻擊原理介紹 ? ARP—— Address Resolution Protocol地址解釋協(xié)議 幀 類型 — 0x0806 協(xié) 議 地 址 長 度幀 類型目 的 M A C 源 M A C硬 件類 型協(xié) 議類 型操 作字 段發(fā) 送 端 M A C 發(fā) 送 端 I P 目 的 M A C 目 的 I P硬 件 地 址 長 度ARP欺騙都是通過填寫錯(cuò)誤的源 MACIP對(duì)應(yīng)關(guān)系來實(shí)現(xiàn)的 ?通過偽造虛假源 IPMAC對(duì)應(yīng)的 ARP報(bào)文，導(dǎo)致網(wǎng)關(guān)或主機(jī)無法找到正確的通信對(duì)象 ?利用 ARP協(xié)議本身的缺陷來實(shí)現(xiàn) 可以利用幀類型來識(shí)別 ARP報(bào)文 42 ARP攻擊來源分析 ? 一、病毒和木馬 ?瑞星 2023上半年電腦病毒排名 ?帕蟲（ ；金山： AV終結(jié)者；江民： U盤寄生蟲） 威金蠕蟲（ ） 熊貓燒香（ ；又稱尼姆亞） 網(wǎng)絡(luò)游戲木馬（ ） 通行證（ ） ARP病毒（具有 ARP攻擊行為的多個(gè)病毒） 二、黑客攻擊軟件 網(wǎng)絡(luò)執(zhí)法官等 據(jù)瑞星統(tǒng)計(jì)：上半年全國約有 3500多萬臺(tái)電腦曾經(jīng)被病毒感染 43 常見 ARP攻擊類型 ? 仿冒網(wǎng)關(guān) ARP病毒通過發(fā)送錯(cuò)誤的網(wǎng)關(guān) MAC對(duì)應(yīng)關(guān)系給其他受害者，導(dǎo)致其他終端用戶不能正常訪問網(wǎng)關(guān) ? 仿冒終端用戶 /服務(wù)器 ? 欺騙網(wǎng)關(guān) 發(fā)送錯(cuò)誤的終端用戶的 IP＋ MAC的對(duì)應(yīng)關(guān)系給網(wǎng)關(guān)，導(dǎo)致網(wǎng)關(guān)無法和合法終端用戶正常通信 ? 欺騙終端用戶 發(fā)送錯(cuò)誤的終端用戶 /服務(wù)器的 IP＋ MAC的對(duì)應(yīng)關(guān)系給受害的終端用戶，導(dǎo)致兩個(gè)終端用戶之間無法正常通信 ? 其他 ?ARP FLOODING 攻擊 44 攻擊實(shí)驗(yàn)環(huán)境介紹 正常用戶 A 網(wǎng)關(guān) 攻擊者 B 接入交換機(jī) 正常用戶 C 網(wǎng)絡(luò)執(zhí)法官 我是攻擊者 我是受害者 典型局域網(wǎng)，利用網(wǎng)絡(luò)執(zhí)法官來實(shí)現(xiàn)常見 ARP攻擊 45 ARP欺騙攻擊 1—— 仿冒網(wǎng)關(guān) ? 攻擊者發(fā)送偽造的網(wǎng)關(guān) ARP報(bào)文，欺騙同網(wǎng)段內(nèi)的其它主機(jī)。 配置本地用戶的用戶名和密碼： [Sysname] localuser 000d88f644c1 [Sysnameluser000d88f644c1] password simple 000d88f644c1 設(shè)置本地用戶服務(wù)類型為 lanaccess： [Sysnameluser000d88f644c1] servicetype lanaccess [Sysnameluser000d88f644c1] quit 創(chuàng)建 MAC 地址認(rèn)證用戶所使用的域 。 [Sysname] domain default enable 添加本地接入用戶。 [Sysname] domain 指定 radius1 為該域用戶的 RADIUS 方案，若 RADIUS 服務(wù)器無效，則使用本地認(rèn)證方案。 [Sysnameradiusradius1] key accounting money 設(shè)置系統(tǒng)向 RADIUS 服務(wù)器重發(fā)報(bào)文的時(shí)間間隔與次數(shù)。 [Sysname] radius scheme radius1 22 設(shè)置主認(rèn)證 /計(jì)費(fèi) RADIUS 服務(wù)器的 IP 地址。 18 EAP中繼方式 客戶端 交換機(jī) RADIUS 服務(wù)器 EAPOL EAPOR EAPOLStart EAPRequest/Identity EAPResponse/Identity EAPRequest/MD5 Challenge EAPSuccess EAPResponse/MD5 Challenge RADIUS AccessRequest (EAPResponse/Identity) RADIUS AccessChallenge (EAPRequest/MD5 Challenge) RADIUS AccessAccept (EAPSuccess) RADIUS AccessRequest (EAPResponse/MD5 Challenge) 端口被授權(quán) 握手定時(shí)器超時(shí) 握手請求報(bào)文 [ EAPRequest/Identity] 握手應(yīng)答報(bào)文 [EAPResponse/Identity] EAPOLLogoff ...... 端口非授權(quán) 19 EAP終結(jié)方式 客戶端 交換機(jī) RADIUS 服務(wù)器 EAPOL RADIUS EAPOLStart EAPRequest/Identity EAPResponse/Identity EAPRequest/MD5 Challenge EAPSuccess EAPResponse/MD5 Challenge RADIUS AccessRequest (CHAPResponse/MD5 Challenge) RADIUS AccessAccept (CHAPSuccess) 端口被授權(quán) 握手定時(shí)器超時(shí) 握手請求報(bào)文 [ EAPRequest/Identity] 握手應(yīng)答報(bào)文 [EAPResponse/Identity] EAPOLLogoff ...... 端口非授權(quán) 20 21 開啟全局 特性。在 EAP的 Request或
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1