交換機(jī)安全特性-預(yù)覽頁(yè)
【正文】 ping被啟用后，交換機(jī)會(huì)對(duì)untrust接口建立數(shù)據(jù)庫(kù)。在實(shí)際的網(wǎng)絡(luò)攻擊中，在IP層面的攻擊行為幾乎都包括虛假的IP攻擊。即當(dāng)客戶(hù)端通過(guò)交換機(jī)連接DHCP服務(wù)器時(shí)，可以在DHCP過(guò)程中收到攜帶交換機(jī)信息的數(shù)據(jù)包。所謂的ARP欺騙，就是在最后4組字段做文章。 DAI會(huì)過(guò)濾“免費(fèi)ARP消息”（沒(méi)有經(jīng)過(guò)ARP請(qǐng)求就自動(dòng)收到的ARP應(yīng)答消息）；C：ARP ACls配置命令：arp accesslist aclname配置ACL的名稱(chēng)permit ip host senderip mac host sendermac [log]手工填寫(xiě)IP地址和對(duì)應(yīng)的MAC地址Exit退出ACL配置ip arp inspection filter arpaclname vlan vlanrange [static]調(diào)用ACLs配置注：ARP Acl是是檢查ARP消息，不是綁定主機(jī)的IP和MAC例：Arp accesslist host2 配置arp ACL，名稱(chēng)host2Permit ip host mac host Exit 退出ip arp inspection filter host2 vlan 1 在vlan 1中調(diào)用host2interface ethe0/0/1 進(jìn)入ethe0/0/1口no ip arp inspection trust 修改端口為untrust端口說(shuō)明：以上配置完成后 ，交換機(jī)ethe0/0/1口應(yīng)答的ARP消息中，發(fā)送端口IP和發(fā)送端口MAC地址，必須與host2中配置相同。配置例：hostname 123 定義主機(jī)名username xyz password abc123 設(shè)置管理員賬戶(hù)及密碼ip domainname 配置域名crypto key generate rsa 產(chǎn)生密鑰算法ip ssh version 2 ssh協(xié)議的版本號(hào)line vty 0 15 配置vty線路login local 登錄時(shí)使用本地的數(shù)據(jù)庫(kù)transport input ssh 允許ssh連接八、 VTY線路出入站的ACL命令：accesslist 100 permit ip any line vty 0 15accessclass 100 inin：入站連接的源IP，out：以本機(jī)為源出站連接即：in是誰(shuí)能連接我，out是我能連接誰(shuí)九、 HTTP server示例：hostname 123 定義主機(jī)名accesslist 100 permit ip any定義列表100，目的地址anyusername xyz password abc123 設(shè)置管理員賬戶(hù)及密碼ip domainname 配置域名crypto key generate rsa 產(chǎn)生密鑰算法no ip server 關(guān)閉 server服務(wù)ip secureserver 開(kāi)啟 secureserver功能 accessclass 100 in 進(jìn)站方向調(diào)用列表100 authentication local 針對(duì)本地的訪問(wèn)使用本地的用戶(hù)名登錄十、 ACL功能交換機(jī)支持3種ACL。 forward all tcp packets 轉(zhuǎn)發(fā)所有的TCP包同時(shí)，由于上述列表中沒(méi)有涉及的非IP流量，因此對(duì)非IP流量不做任何處理，直接轉(zhuǎn)發(fā)。 forward MAC packets from hosts 轉(zhuǎn)發(fā)兩個(gè)源MAC地址的流量VLAN Map的調(diào)用命令：全局模式配置vlan filter mapname vlanlist list十一、 PVLAN在普通VLAN下面設(shè)置二層VLAN（private vlan）。B、Promiscuous混雜端口：可以和PVLAN中的任意端口通訊。interface range fa0/34 進(jìn)入fa0/3和fa0/4口switchport mode privatevlan host 將端口配置為輔助端口switchport privatevlan hostassociation 100 201 配置端口可通行vlan 校驗(yàn)show vlan privatevlan 1. 若不給自己設(shè)限，則人生中就沒(méi)有限制你發(fā)揮的藩籬。有時(shí)候覺(jué)得自己像個(gè)神經(jīng)病。歲月是有情的，假如你奉獻(xiàn)給她的是一些色彩，它奉獻(xiàn)給你的也是一些色彩
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1