交換機(jī)安全特性(完整版)
【正文】 IP包（不使用IP協(xié)議通訊的包，例如：以太幀等）命令：定義列表：ip accesslist extended igmpmatch 定義列表igmpmatchpermit igmp any any 允許igmp協(xié)議的源、目的地址通過(guò)ip accesslist extended tcpmatch 定義列表tcpmatchpermit tcp any any 允許所有tcp協(xié)議的源、目的地址通過(guò)exit 退出調(diào)用列表vlan accessmap dropipdefault 10 創(chuàng)建基于vlan的控制列表：dropipdefault是列表名稱，10：序號(hào)match ip address igmpmatch 定義篩選范圍：調(diào)用列表igmpmatchaction drop 選擇操作：將滿足match條件的數(shù)據(jù)丟棄（drop）exit退出vlan accessmap dropipdefault 20dropipdefault列表 第20句match ip address tcpmatch 定義篩選范圍：調(diào)用列表tcpmatchaction forward 選擇操作：將滿足match條件的數(shù)據(jù)包轉(zhuǎn)發(fā)（forward）注：在accessmap中如果配置了有關(guān)IP協(xié)議的策略，無(wú)論是drop還是forward，列表在最后默認(rèn)deny有關(guān)IP協(xié)議的其他流量。D：校驗(yàn)命令show arp accesslist [aclname]show ip arp inspection vlan vlanrangeshow ip arp inspection interfaceE：以太幀的ARP檢查命令ip arp inspection validate {[srcmac][dstmac][ip]} 可以檢查以太幀的內(nèi)容， “以太網(wǎng)源地址”要和“發(fā)送端以太網(wǎng)地址”相同，“以太網(wǎng)目的地址”要和“目的以太網(wǎng)地址相同”配置實(shí)例：CommandPurposeip dhcp snooping 開(kāi)啟DHCP Snooping功能ip dhcp snooping vlan 10,20監(jiān)聽(tīng)VLAN10與VLAN20ip arp inspection vlan 10,20檢查VLAN10與VLAN20的arp信息interface fastethernet 0/1進(jìn)入F0/1接口description Access Port 描述接口：Access Portswitchport mode access 配置接口屬性為access接口switchport access vlan 10將接口隸屬于VLAN10switchport portsecurity maximum 2本接口最多可以學(xué)習(xí)2個(gè)MAC地址switchport portsecurity violation restrict違反本接口的安全規(guī)定，則過(guò)濾掉非安全地址并啟動(dòng)計(jì)時(shí)器，統(tǒng)計(jì)單位時(shí)間內(nèi)，非安全地址的連接次數(shù)switchport portsecurity 啟動(dòng)端口安全特性ip dhcp limit rate 50對(duì)本端口實(shí)施DHCP限速：50包/秒ip verify source portsecurity 啟動(dòng)端口源IP檢查功能，既查源IP又查源MACinterface fastethernet 0/24進(jìn)入F0/24接口description Uplink 描述接口：Uplinkswitchport mode trunk 配置接口屬性為trunkswitchport trunk allowed vlan 10,20允許該trunk接口通過(guò)vlan10和vlan20ip dhcp snooping trust 設(shè)置接口為DHCP Snooping信任端口ip arp inspection trust設(shè)置接口為arp檢測(cè)信任接口七、 SSH認(rèn)證telnet：明文傳遞，易被抓包ssh：使用加密算法，使用強(qiáng)身份認(rèn)證cisco的產(chǎn)品都可以配置為ssh server。六、 DAI的介紹：A：功能當(dāng)啟用Source Guard特性后，交換機(jī)會(huì)自動(dòng)生成一條ACL并下發(fā)到端口中，比較連接端口的主機(jī)IP是否與綁定表中的條目一致，如果不一致，則中斷連接。這些信息可以被DHCP Snooping監(jiān)聽(tīng)。當(dāng)DHCP服務(wù)器癱瘓后，由另一臺(tái)病毒電腦對(duì)這個(gè)網(wǎng)段進(jìn)行DHCP欺騙。 （標(biāo)準(zhǔn)以太網(wǎng)技術(shù)），實(shí)現(xiàn)網(wǎng)絡(luò)接入控制。.. . . ..Cisco交換機(jī)的安全特性一、 端口安全二、 AAA服務(wù)認(rèn)證三、 DHCP欺騙四、 IP Source G
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1