交換機(jī)安全特性(存儲(chǔ)版)
【正文】 被管理者各種網(wǎng)絡(luò)設(shè)備：AAA服務(wù)器的前端代理者AAA服務(wù)器：部署用戶、口令等注：CC IERS只涉及網(wǎng)絡(luò)設(shè)備上的一小部分,不作為重點(diǎn)。在專業(yè)的攻擊中，病毒電腦會(huì)先用discover方式向合法的DHCP服務(wù)器發(fā)起QOS攻擊。當(dāng)客戶端與服務(wù)器不是通過(guò)直連網(wǎng)絡(luò)連接，而是中間通過(guò)交換機(jī)連接，此時(shí)交換機(jī)會(huì)在DHCP過(guò)程中附加一些交換的信息（option）。最常用的方法是借鑒DHCP Snooping建立的綁定表。欺騙都發(fā)生在應(yīng)答消息中。如果ARP應(yīng)答消息中的字段與ACL配置中的任何一項(xiàng)不符，則直接過(guò)濾。 drop all other ip packets 丟棄所有其他的（非IGMP和非TCP）IP包 drop all other ip packets 丟棄其他的IP流量C、Community 團(tuán)體端口：可以和混雜端口以及同一個(gè)munity內(nèi)的其他端口通訊。既糾結(jié)了自己，又打擾了別人。學(xué)習(xí)參考。用一些事情，總會(huì)看清一些人。它們分別可以和primary vlan通訊，但是彼此不能通訊B、三種類型端口：Isolated 隔離端口 屬于isolated vlanPromiscuous 混雜端口 屬于primary vlanCommunity 團(tuán)體端口 屬于munity vlan各個(gè)類型端口的通訊A、Isolated隔離端口：每一個(gè)隔離端口只能與混雜端口通訊，隔離端口之前不能通訊。 forward all tcp packets 允許轉(zhuǎn)發(fā)所有tcp的流量 drop all IGMP packets 丟棄所有的IGMP包DAI只對(duì)untrunsted端口生效。當(dāng)系統(tǒng)收到一份目的端為本機(jī)的ARP請(qǐng)求報(bào)文后，它使用自己的MAC和IP分別替換兩個(gè)發(fā)送端的地址，將發(fā)送端的兩個(gè)地址填寫到目的以太網(wǎng)地址和目的IP地址字段，并把操作字段設(shè)置為“2”，最后發(fā)送回去。 遠(yuǎn)程儲(chǔ)存命令：CommandPurposeip dhcp snooping database {flash[number]:/filename | ftp://user:passwordhost/filename | ://[[username:password]]{hostname | hostip}[/directory]/ | rep://userhost/filename} | tftp://host/filename遠(yuǎn)程存儲(chǔ)DHCP Snooping綁定數(shù)據(jù)庫(kù)的配置命令 校驗(yàn)命令：CommandPurposeshow ip dhcp snooping 顯示交換機(jī)中DHCP Snooping的配置show ip dhcp snooping binding顯示DHCP Snooping動(dòng)態(tài)建立的DHCP的信息show ip dhcp snooping database顯示DHCP Snooping綁定數(shù)據(jù)庫(kù)的靜態(tài)信息show ip source binding顯示動(dòng)態(tài)或者靜態(tài)的綁定信息四、 IP Source Guard 交換機(jī)能夠檢查來(lái)自客戶端的源IP地址，防止虛假的IP地址攻擊。注2：沒(méi)有被配置成trust的接口，都是untrust接口。具體的說(shuō)它會(huì)檢查兩類消息：discover消息和offer消息。命令如下：switchport portsecurity macaddress stickysticky特性會(huì)將動(dòng)態(tài)學(xué)習(xí)到的MAC地址自動(dòng)配置為靜態(tài)安全地址。C、配置實(shí)例：interface fa 0/1進(jìn)入交換機(jī)0/1接口description access port 描述Access端口switchport mode access 將交換機(jī)端口配置為Access端口switchport access vlan 10將端口劃分給vlan10switchport portsecurity 啟動(dòng)端口安全switchport portsecurity maximum 2配置該端口最多可以學(xué)習(xí)MAC地址的數(shù)量switchport portsecurity macaddress switchport portsecurity macaddress 靜態(tài)配置可以接入端口的MAC地址switchport portsecurity violation restrict配置端口發(fā)現(xiàn)違反安全規(guī)定后的策略switchport portsecurity aging time 60端口學(xué)習(xí)動(dòng)態(tài)MAC地址的有效時(shí)間（單位：分鐘）switchport portsecurity aging type inactivity端口會(huì)將到期且不工作的MAC地址清空D、當(dāng)管理員需要靜態(tài)配置安全MAC地址，而又不知道具體MAC地址時(shí)，可通過(guò)sticky特性實(shí)現(xiàn)需求。 DHCP Snooping 在交換機(jī)上檢查DHCP消息。注1：最后兩條命令，是在接口模式
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1