01.交换机安全

Verifying Port Security
Switch#show port-security
• Displays security information for all interfaces
Switch#show port-security Secure Port MaxSecureAddr CurrentAddr SecurityViolation Security Action (Count) (Count) (Count) --------------------------------------------------------------------------Fa5/1 11 11 0 Shutdown Fa5/5 15 5 0 Restrict Fa5/11 5 4 0 Protect --------------------------------------------------------------------------Total Addresses in System: 21 Max Addresses limit in System: 128
– Wireless routers
– Access switches – Hubs • These devices are typically connected at access level switches.
Switch Attack Categories(攻击种类)
• MAC layer attacks • VLAN attacks • Spoofing attacks • Attacks on switch devices
3.客户端程序响应交换机发出的请求，将用户名信息通过数据帧送给交换 机。交换机将客户端送上来的数据帧经过封包处理后送给认证服务器进行 处理。
4.认证服务器收到交换机转发上来的用户名信息后，将该信息与数据库中 的用户名表相比对，找到该用户名对应的口令信息，用随机生成的一个加 密字对它进行加密处理，同时也将此加密字传送给交换机，由交换机传给 客户端程序。 5.客户端程序收到由交换机传来的加密字后，用该加密字对口令部分进行 加密处理，并通过交换机传给认证服务器。 6.认证服务器将送上来的加密后的口令信息和其自己经过加密运算后的口 令信息进行对比，如果相同，则认为该用户为合法用户，反馈认证通过的 消息，并向交换机发出打开端口的指令，允许用户的业务流通过端口访问 网络。否则，反馈认证失败的消息，并保持交换机端口的关闭状态，只允 许认证信息数据通过而不允许业务数据通过。
Verifying Port Security (Cont.)
Switch#show port-security address
• Displays MAC address table security information
Switch#show port-security address Secure Mac Address Table ------------------------------------------------------------------Vlan Mac Address Type Ports Remaining Age (mins) --------------------------------1 0001.0001.0001 SecureDynamic Fa5/1 15 (I) 1 0001.0001.0002 SecureDynamic Fa5/1 15 (I) 1 0001.0001.1111 SecureConfigured Fa5/1 16 (I) 1 0001.0001.1112 SecureConfigured Fa5/1 1 0001.0001.1113 SecureConfigured Fa5/1 1 0005.0005.0001 SecureConfigured Fa5/5 23 1 0005.0005.0002 SecureConfigured Fa5/5 23 1 0005.0005.0003 SecureConfigured Fa5/5 23 1 0011.0011.0001 SecureConfigured Fa5/11 25 (I) 1 0011.0011.0002 SecureConfigured Fa5/11 25 (I) ------------------------------------------------------------------Total Addresses in System: 10 Max Addresses limit in System: 128
Switch(config)#aaa authentication login {default | list-name} method1 [method2...]
• Creates a local authentication list
Cisco IOS AAA supports these authentication methods:
802.1x Port-Based Authentication
1.当用户有上网需求时打开802.1X客户端程序，输入已经申请、登记过的 用户名和口令，发起连接请求。此时，客户端程序将发出请求认证的报文 给交换机，开始启动一次认证过程。 2.交换机收到请求认证的数据帧后，将发出一个请求帧要求用户的客户端 程序将输入的用户名送上来。
• Authorization（授权，分配级别） – Specifies the permitted tasks for the user
• Accounting（记账，审计监控） – Provides billing, auditing, and monitoring
Authentication Methods
Switch(config-if)#dot1x port-control auto {force-authorized}
• Enables 802.1x port-based authentication on the interface
Configuring 802.1x（基于端口的认证）
Switch(config)#aaa new-model (开启aaa) Switch(config)# radius-server host {name/ip} key x （设置与服务器的密码） Switch(config)#aaa authentication dot1x default group radius（定义radius 参与 802.1x认证）
Port Security with Sticky MAC Addresses
Sticky MAC stores dynamically learned MAC addresses.
AAA Network Configuration
• Authentication(认证，证明身份)
– Verifies a user identify
Switch(config)#dot1x system-auth-control
• Globally enables 802.1x port-based authentication
Switch(config)#interface type slot/port
• ion mode
• TACACS+
802.1x Port-Based Authentication
Network access through switch requires authentication.
802.1x Port-Based Authentication
802.1x协议是基于Client/Server的访问控制和认证协议。 它可以限制未经授权的用户/设备通过接入端口(access port)访问LAN/WLAN。在获得交换机或LAN提供的各种 业务之前，802.1x对连接到交换机端口上的用户/设备进行 认证。在认证通过之前，802.1x只允许EAPoL（基于局域 网的扩展认证协议）数据通过设备连接的交换机端口；认 证通过以后，正常的数据可以顺利地通过以太网端口。
Switch(config)#dot1x system-auth-control （启用802.1x）
Configuring Port Security on a Switch
• Enable port security • Set MAC address limit
• Specify allowable MAC addresses
• Define violation actions Switch(config-if)#switchport port-security [maximum value] violation {protect | restrict | shutdown} • Enables port security and specifies the maximum number of MAC addresses that can be supported by this port.
MAC Flooding Attack
MAC Flooding Attack
利用伪造数据帧或数据包软件，不停变化源MAC地址向外 发包，让有限的MAC地址表空间无法容纳进而破坏MAC 地址表。
Port Security
Port security restricts port access by MAC address.
Configuring 802.1x（基于端口的认证）
Switch(config)#aaa new-model
• Enables AAA
Switch(config)#aaa authentication dot1x {default} method1 [method2…]