交換機(jī)安全特性(參考版)
2025-06-27 12:07本頁(yè)面
【正文】 學(xué)習(xí)參考。你必須努力，當(dāng)有一天驀然回首時(shí)，你的回憶里才會(huì)多一些色彩斑斕，少一些蒼白無(wú)力。4. 歲月是無(wú)情的，假如你丟給它的是一片空白，它還給你的也是一片空白。既糾結(jié)了自己，又打擾了別人。用一些事情，總會(huì)看清一些人。2. 若不是心寬似海，哪有人生風(fēng)平浪靜。interface range fa0/12 進(jìn)入fa0/1和fa0/2口switchport mode privatevlan host 將端口配置為輔助端口switchport privatevlan hostassociation 100 202 配置端口可通行vlan注2：hostassociation 先寫主vlan ID后寫輔助vlan ID。C、Community 團(tuán)體端口：可以和混雜端口以及同一個(gè)munity內(nèi)的其他端口通訊。它們分別可以和primary vlan通訊，但是彼此不能通訊B、三種類型端口：Isolated 隔離端口 屬于isolated vlanPromiscuous 混雜端口 屬于primary vlanCommunity 團(tuán)體端口 屬于munity vlan各個(gè)類型端口的通訊A、Isolated隔離端口：每一個(gè)隔離端口只能與混雜端口通訊，隔離端口之前不能通訊。使普通VLAN下面呈現(xiàn)出不同的VLAN控制。由于在列表中分別配置了IP和以太網(wǎng)的策略，因此acl會(huì)在最后deny其他的相關(guān)流量。 drop all other ip packets 丟棄其他的IP流量 forward all tcp packets 允許轉(zhuǎn)發(fā)所有tcp的流量需求四得到滿足。因此需求三得到滿足。 drop all other ip packets 丟棄所有其他的（非IGMP和非TCP）IP包 drop all IGMP packets 丟棄所有的IGMP包即：基于端口的acl，基于vlan的acl和在三層接口上配置出站或入站的acl（三層交換機(jī)支持）。同時(shí)都具有客戶端功能。如果ARP應(yīng)答消息中的字段與ACL配置中的任何一項(xiàng)不符，則直接過(guò)濾。DAI只對(duì)untrunsted端口生效。 DAI可以阻止ARP病毒或者ARP攻擊； DAI會(huì)檢查應(yīng)答消息中的發(fā)送IP和發(fā)送MAC是否在DHCP Snooping建立的數(shù)據(jù)庫(kù)中存在，如果存在即為真，反之為假；欺騙都發(fā)生在應(yīng)答消息中。當(dāng)系統(tǒng)收到一份目的端為本機(jī)的ARP請(qǐng)求報(bào)文后，它使用自己的MAC和IP分別替換兩個(gè)發(fā)送端的地址，將發(fā)送端的兩個(gè)地址填寫到目的以太網(wǎng)地址和目的IP地址字段，并把操作字段設(shè)置為“2”，最后發(fā)送回去。注2：portsecurity功能啟用后，交換機(jī)不檢查DHCP消息的MAC地址，直到終端設(shè)備獲得IP地址之后，交換機(jī)才會(huì)檢查源MAC地址。注：IP Source Guard配置前必須先配置DHCP Snoopingl 配置命令（端口模式）：ip verify source 只檢查源IP地址ip verify source portsecurity 同時(shí)檢查源IP地址和源MAC地址注1：如果配置source和portsecurity交換機(jī)必須支持option82功能。最常用的方法是借鑒DHCP Snooping建立的綁定表。 遠(yuǎn)程儲(chǔ)存命令：CommandPurposeip dhcp snooping database {flash[number]:/filename | ftp://user:passwordhost/filename | ://[[username:password]]{hostname | hostip}[/directory]/ | rep://userhost/filename} | tftp://host/filename遠(yuǎn)程存儲(chǔ)DHCP Snooping綁定數(shù)據(jù)庫(kù)的配置命令 校驗(yàn)命令：CommandPurposeshow ip dhcp snooping 顯示交換機(jī)中DHCP Snooping的配置show ip dhcp snooping binding顯示DHCP Snooping動(dòng)態(tài)建立的DHCP的信息show ip dhcp snooping database顯示DHCP Snooping綁定數(shù)據(jù)庫(kù)的靜態(tài)信息show ip source binding顯示動(dòng)態(tài)或者靜態(tài)的綁定信息四、 IP Source Guard 交換機(jī)能夠檢查來(lái)自客戶端的源IP地址，防止虛假的IP地址攻擊。數(shù)據(jù)庫(kù)最大容量8192條信息。即：沒(méi)有交換機(jī)，就沒(méi)有（option）。當(dāng)客戶端與服務(wù)器不是通過(guò)直連網(wǎng)絡(luò)連接，而是中間通過(guò)交換機(jī)連接，此時(shí)交換機(jī)會(huì)在DHCP過(guò)程中附加一些交換的信息（option）。注2：沒(méi)有被配置成trust的接口，都是untrust接口。ip dhcp snooping trust配置可信任端口。由于是兩臺(tái)病毒電腦配合攻擊，因此解決問(wèn)題的方法也不同
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1