交換機(jī)端口安全技術(shù)講義-資料下載頁
2025-03-13 18:34本頁面
【正文】 基于 DHCP Snooping 安全表項(xiàng)的檢查、基于 安全表項(xiàng)的檢查和 OUI MAC 地址的檢查。 (1) 首先進(jìn)行基于 IP Source Guard 靜態(tài)綁定表項(xiàng)檢查。如果找到了對應(yīng)源 IP 地址和源 MAC 地 址的靜態(tài)綁定表項(xiàng)，認(rèn)為該 ARP 報(bào)文合法，進(jìn)行轉(zhuǎn)發(fā)。如果找到了對應(yīng)源 IP 地址的靜態(tài)綁定 表項(xiàng)但源 MAC 地址不符，認(rèn)為該 ARP 報(bào)文非法，進(jìn)行丟棄。如果沒有找到對應(yīng)源 IP 地址的 靜態(tài)綁定表項(xiàng)，繼續(xù)進(jìn)行 DHCP Snooping 安全表項(xiàng)、 安全表項(xiàng)和 OUI MAC 地址檢查。 (2) 在基于 IP Source Guard 靜態(tài)綁定表項(xiàng)檢查之后進(jìn)行基于 DHCP Snooping 安全表項(xiàng)、 OUI MAC 地址檢查，只要符合三者中任何一個，就認(rèn)為該 ARP 報(bào)文合法，進(jìn)行轉(zhuǎn)發(fā)。 (3) 如果所有檢查都沒有找到匹配的表項(xiàng)，則認(rèn)為是非法報(bào)文，直接丟棄。 61 H3C ARP防御方案 配置 ARP Detection功能 使能 ARP Detection 功能 arp detection enable （缺省情況下， ARP Detection 功能處于關(guān)閉狀態(tài)，該命令在 VLAN視圖配置） 配置為 ARP 信任端口 arp detection trust （缺省情況下，端口為 ARP 非信任端口，一般上行端口配置為 trust端口） 使能 ARP 報(bào)文有效性檢查功能 arp detection validat{ dstmac | ip | srcmac } （ 缺省情況下， ARP 報(bào)文有效性檢查功能處于關(guān)閉狀態(tài)，該命令在系統(tǒng)視圖配置 ） 使能 ARP 報(bào)文強(qiáng)制轉(zhuǎn)發(fā)功能 arp restrictedforwarding enable （缺省情況下， ARP 報(bào)文強(qiáng)制轉(zhuǎn)發(fā)功能處于關(guān)閉狀態(tài)，該命令在 VLAN視圖配置） 62 H3C ARP防御方案 配置 ARP報(bào)文限速功能 ARP 報(bào)文限速功能是指對上送 CPU 的 ARP 報(bào)文進(jìn)行限速，可以防止大量 ARP 報(bào)文對 CPU 進(jìn)行沖擊。例如，在配置了 ARP Detection 功能后，設(shè)備會將收到的 ARP 報(bào)文重定向到 CPU 進(jìn)行檢查，這樣引入了新的問題：如果攻擊者惡意構(gòu)造大量 ARP 報(bào)文發(fā)往設(shè)備，會導(dǎo)致設(shè)備的CPU 負(fù)擔(dān)過重，從而造成其他功能無法正常運(yùn)行甚至設(shè)備癱瘓，這個時候可以啟用 ARP 報(bào)文限速功能來控制上送 CPU 的 ARP 報(bào)文的速率。 推薦用戶在配置了 ARP Detection、 ARP Snooping、 MFF，或者發(fā)現(xiàn)有 ARP 泛洪攻擊的情況下，使用 ARP 報(bào)文限速功能。 開啟 ARP報(bào)文限速 Trap 功能 snmpagent trap enable arp ratelimit （缺省情況下， ARP 報(bào)文限速 Trap 功能處于開啟狀態(tài)） 配置 ARP 報(bào)文限速功能 arp ratelimit { disable | rate pps drop } （缺省情況下， ARP 報(bào)文限速功能處于關(guān)閉狀態(tài)） ?? 63 H3C ARP防御方案 ?? 配置 ARP網(wǎng)關(guān)保護(hù)功能 在設(shè)備上不與網(wǎng)關(guān)相連的端口上配置此功能，可以防止偽造網(wǎng)關(guān)攻擊。 在端口配置此功能后，當(dāng)端口收到 ARP 報(bào)文時，將檢查 ARP 報(bào)文的源 IP 地址是否和配置的被保護(hù)網(wǎng)關(guān)的 IP 地址相同。如果相同，則認(rèn)為此報(bào)文非法，將其丟棄；否則，認(rèn)為此報(bào)文合法，繼續(xù)進(jìn)行后續(xù)處理。 配置被保護(hù)的網(wǎng)關(guān) IP 地址 arp filter source ipaddress （缺省情況下， ARP 網(wǎng)關(guān)保護(hù)功能處于關(guān)閉狀態(tài)，該命令在接口視圖下配置）。 ? 靜夜四無鄰，荒居舊業(yè)貧。 , April 1, 2023 ? 雨中黃葉樹，燈下白頭人。 05:20:2205:20:2205:204/1/2023 5:20:22 AM ? 1以我獨(dú)沈久，愧君相見頻。 :20:2205:20Apr231Apr23 ? 1故人江海別，幾度隔山川。 05:20:2205:20:2205:20Saturday, April 1, 2023 ? 1乍見翻疑夢，相悲各問年。 :20:2205:20:22April 1, 2023 ? 1他鄉(xiāng)生白發(fā)，舊國見青山。 2023年 4月 1日星期六 上午 5時 20分 22秒 05:20: ? 1比不了得就不比，得不到的就不要。 。 2023年 4月 上午 5時 20分 :20April 1, 2023 ? 1行動出成果，工作出財(cái)富。 2023年 4月 1日星期六 5時 20分 22秒 05:20:221 April 2023 ? 1做前，能夠環(huán)視四周；做時，你只能或者最好沿著以腳為起點(diǎn)的射線向前。 上午 5時 20分 22秒 上午 5時 20分 05:20: ? 沒有失敗，只有暫時停止成功！。 , April 1, 2023 ? 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒有。 05:20:2205:20:2205:204/1/2023 5:20:22 AM ? 1成功就是日復(fù)一日那一點(diǎn)點(diǎn)小小努力的積累。 :20:2205:20Apr231Apr23 ? 1世間成事，不求其絕對圓滿，留一份不足，可得無限完美。 05:20:2205:20:2205:20Saturday, April 1, 2023 ? 1不知香積寺，數(shù)里入云峰。 :20:2205:20:22April 1, 2023 ? 1意志堅(jiān)強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 2023年 4月 1日星期六 上午 5時 20分 22秒 05:20: ? 1楚塞三湘接，荊門九派通。 。 2023年 4月 上午 5時 20分 :20April 1, 2023 ? 1少年十五二十時，步行奪得胡馬騎。 2023年 4月 1日星期六 5時 20分 22秒 05:20:221 April 2023 ? 1空山新雨后，天氣晚來秋。 上午 5時 20分 22秒 上午 5時 20分 05:20: ? 楊柳散和風(fēng)，青山澹吾慮。 , April 1, 2023 ? 閱讀一切好書如同和過去最杰出的人談話。 05:20:2205:20:2205:204/1/2023 5:20:22 AM ? 1越是沒有本領(lǐng)的就越加自命不凡。 :20:2205:20Apr231Apr23 ? 1越是無能的人，越喜歡挑剔別人的錯兒。 05:20:2205:20:2205:20Saturday, April 1, 2023 ? 1知人者智，自知者明。勝人者有力，自勝者強(qiáng)。 :20:2205:20:22April 1, 2023 ? 1意志堅(jiān)強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 2023年 4月 1日星期六 上午 5時 20分 22秒 05:20: ? 1最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。 2023年 4月 上午 5時 20分 :20April 1, 2023 ? 1業(yè)余生活要有意義，不要越軌。 2023年 4月 1日星期六 5時 20分 22秒 05:20:221 April 2023 ? 1一個人即使已登上頂峰，也仍要自強(qiáng)不息。 上午 5時 20分 22秒 上午 5時 20分 05:20: MOMODA POWERPOINT Lorem ipsum dolor sit amet, consectetur adipiscing elit. Fusce id urna blandit, eleifend nulla ac, fringilla purus. Nulla iaculis tempor felis ut cursus. 感 謝 您 的 下 載 觀 看 專家告訴
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1