銳捷安全專項(xiàng)認(rèn)證課程-使用router與switch安全網(wǎng)絡(luò)-資料下載頁(yè)
2025-02-28 21:40本頁(yè)面
【正文】 ess macaddress ipaddress ipaddressSwitch(configif)216。這里配置的這里配置的 ipaddress為端口所接入設(shè)備的真實(shí)為端口所接入設(shè)備的真實(shí) IP地址地址 ARP檢查配置示例查看 ARP檢查狀態(tài)167。 查看 ARP檢查狀態(tài)show portsecurity arpcheck Switch167。 查看 ARP檢查示例DHCP Snooping167。 DHCP Snooping的作用216。 過濾偽（非法） DHCP服務(wù)器發(fā)送的 DHCP報(bào)文167。 DHCP Snooping的工作機(jī)制216。 信任（ Trust）端口230。 允許所有 DHCP報(bào)文通過216。 非信任（ Untrust）端口230。 只允許 DHCP Discovery、 DHCP Request報(bào)文通過，過濾 DHCP Offer報(bào)文216。 建立 DHCP監(jiān)聽數(shù)據(jù)庫(kù)230。 包含客戶端的 IP地址、 MAC地址、連接的端口、 VLAN號(hào)、地址租用期限等信息 DHCP Snooping的部署216。 信任（ Trust）端口230。 用于連接合法的DHCP服務(wù)器和上行鏈路端口216。 非信任（ Untrust）端口230。 用于連接 DHCP客戶端和其它接入端口配置 DHCP Snooping167。 啟用 DHCP Snoopingip dhcp snooping Switch(config)167。 配置端口為信任端口ip dhcp snooping trust Switch(configif)216。默認(rèn)情況下，關(guān)閉默認(rèn)情況下，關(guān)閉 DHCP Snooping 216。默認(rèn)情況下，所有端口都為默認(rèn)情況下，所有端口都為 Untrust端口端口 配置 DHCP Snooping（續(xù)）167。 手工配置 DHCP Snooping表項(xiàng)ip dhcp snooping binding macaddress vlan vlanid ip ipaddress interface interface Switch(config)167。 將 DHCP Snooping數(shù)據(jù)庫(kù)寫入到 Flash文件ip dhcp snooping database writetoflash Switch(config)216。默認(rèn)情況下，關(guān)閉默認(rèn)情況下，關(guān)閉 DHCP Snooping 216。DHCP監(jiān)聽數(shù)據(jù)庫(kù)的信息是動(dòng)態(tài)的，通過寫入監(jiān)聽數(shù)據(jù)庫(kù)的信息是動(dòng)態(tài)的，通過寫入 Flash，可以避免由于系統(tǒng)，可以避免由于系統(tǒng)的重新啟動(dòng)導(dǎo)致數(shù)據(jù)庫(kù)中的信息丟失的重新啟動(dòng)導(dǎo)致數(shù)據(jù)庫(kù)中的信息丟失 配置 DHCP Snooping（續(xù)）167。 配置自動(dòng)寫入 DHCP Snooping綁定信息ip dhcp snooping database writedelay seconds Switch(config)167。 配置驗(yàn)證 Untrust端口檢查 DHCP報(bào)文的源 MAC地址ip dhcp snooping verify macaddress Switch(config)216。默認(rèn)情況下，不檢查默認(rèn)情況下，不檢查 DHCP報(bào)文的源報(bào)文的源 MAC地址地址216?？梢员苊夤粽甙l(fā)送偽造源可以避免攻擊者發(fā)送偽造源 MAC地址的地址的 DHCP報(bào)文，導(dǎo)致報(bào)文，導(dǎo)致 DHCP DoS攻擊攻擊 DHCP Snooping配置示例查看 DHCP Snooping狀態(tài)167。 查看 DHCP Snooping配置信息show ip dhcp snooping Switch167。 查看 DHCP Snooping數(shù)據(jù)庫(kù)信息show ip dhcp snooping binding Switch216。此信息將顯示動(dòng)態(tài)與靜態(tài)的綁定表項(xiàng)此信息將顯示動(dòng)態(tài)與靜態(tài)的綁定表項(xiàng)216。只有只有 Untrust端口才會(huì)存在綁定表項(xiàng)端口才會(huì)存在綁定表項(xiàng) 167。 清除 DHCP Snooping數(shù)據(jù)庫(kù)clear ip dhcp snooping binding Switch216。靜態(tài)的綁定表項(xiàng)不會(huì)被刪除靜態(tài)的綁定表項(xiàng)不會(huì)被刪除查看 DHCP Snooping狀態(tài)示例DAI（動(dòng)態(tài) ARP檢測(cè)）167。 DAI（ Dynamic ARP Inspection）216。 與 ARP檢查一樣，用于防止 ARP欺騙216。 ARP檢查需要靜態(tài)配置安全地址230。 不適用于動(dòng)態(tài) IP地址環(huán)境230。 不適用與移動(dòng)環(huán)境216。 DAI依賴于 DHCP Snooping數(shù)據(jù)庫(kù)230。 要使用 DAI，需要部署 DHCP環(huán)境216。 DAI Trust端口230。 不檢查 ARP報(bào)文216。 DAI Untrust端口230。 檢查所有收到的 ARP報(bào)文DAI部署216。 Trust端口230。 連接交換機(jī)間的上行鏈路與 DHCP Server216。 Untrust端口230。 連接 DHCP客戶端216。 端口狀態(tài)需要與 DHCP Snooping端口狀態(tài)一致230。DHCP Snooping Trust端口不存在綁定表項(xiàng)216。 建議在 DHCP環(huán)境中部署 DAI配置 DAI167。 啟用 DHCP Snooping并設(shè)置端口狀態(tài)ip dhcp snooping Switch(config)ip dhcp snooping trust Switch(configif)167。 啟用 DAIip arp inspection Switch(config)216。默認(rèn)情況下，關(guān)閉默認(rèn)情況下，關(guān)閉 DAI配置 DAI（續(xù)）167。 在 VLAN中啟用 DAIip arp inspection vlan vlanrange Switch(config)ip arp inspection trust Switch(configif)167。 配置端口狀態(tài)216。只有對(duì)只有對(duì) VLAN啟用了啟用了 DAI，才會(huì)檢查此，才會(huì)檢查此 VLAN收到的收到的 ARP報(bào)文報(bào)文216。默認(rèn)情況下，所有端口都為默認(rèn)情況下，所有端口都為 Untrust端口端口配置 DAI（續(xù)）167。 配置 Untrust端口的 ARP限速ip arp inspection limitrate pps Switch(configif)ip arp inspection limitrate none Switch(configif)167。 取消接口 ARP限速216。默認(rèn)情況下，默認(rèn)情況下， Untrust端口的端口的 ARP速率閾值為速率閾值為 15pps216。Trust端口的端口的 ARP速率閾值永遠(yuǎn)為速率閾值永遠(yuǎn)為 0，即不限速，雖然可以對(duì)其進(jìn)行配置，即不限速，雖然可以對(duì)其進(jìn)行配置216。對(duì)于對(duì)于 Trunk端口，可以提高速率閾值或者取消限速端口，可以提高速率閾值或者取消限速DAI配置示例查看 DAI狀態(tài)167。 查看 DAI配置信息show ip arp inspection vlan [ vlanrange ] Switchshow ip arp inspection interface [ interface ] Switch167。 查看接口的 DAI信息查看 DAI狀態(tài)示例課程回顧167。 安全化 Router與 Switch167。 安全管理 Router與 Switch167。 使用 Router增強(qiáng)網(wǎng)絡(luò)安全性167。 使用 Switch增強(qiáng)網(wǎng)絡(luò)安全性演講完畢，謝謝觀看！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1