交换机端口安全技术讲义

【实验文档】【实验0021】【交换机的端口安全配置】

【实验名称】

交换机的端口安全配置。

【实验目的】

掌握交换机的端口安全功能，控制用户的安全接入。

【背景描述】

你是一个公司的网络管理员，公司要求对网络进行严格控制。为了防止公司内部用户的IP地址冲突，防止公司内部的网络攻击和破坏行为。为每一位员工分配了固定的IP地址，并且限制只允许公司员工主机可以使用网络，不得随意连接其他主机。例如：某员工分配的IP地址是172.16.1.55/24，主机MAC地址是00-06-1B-DE-13-B4。该主机连接在1台2126G上边。

【技术原理】

交换机端口安全功能，是指针对交换机的端口进行安全属性的配置，从而控制用户的安全接入。交换机端口安全主要有两种类项：一是限制交换机端口的最大连接数，二是针对交换机端口进行MAC地址、IP地址的绑定。

限制交换机端口的最大连接数可以控制交换机端口下连的主机数，并防止用户进行恶意的ARP欺骗。

交换机端口的地址绑定，可以针对IP地址、MAC地址、IP＋MAC进行灵活的绑定。可以实现对用户进行严格的控制。保证用户的安全接入和防止常见的内网的网络攻击。如ARP欺骗、IP、MAC地址欺骗，IP地址攻击等。

配置了交换机的端口安全功能后，当实际应用超出配置的要求，将产生一个安全违例，产生安全违例的处理方式有3种：

 protect 当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。

 restrict 当违例产生时，将发送一个Trap通知。

 shutdown 当违例产生时，将关闭端口并发送一个Trap通知。

当端口因为违例而被关闭后，在全局配置模式下使用命令errdisable recovery来将接口从错误状态中恢复过来。

【实现功能】

针对交换机的所有端口，配置最大连接数为1，针对PC1主机的接口进行IP＋MAC地址绑定。

. . 1.4.1 端口安全autolearn模式配置举例

1. 组网需求

在交换机的端口Ethernet1/0/1上对接入用户做如下的限制:

允许最多1个用户自由接入，不进行认证，将学习到的用户MAC地址添加为Secure MAC地址；

为确保用户Host能够接入，将该用户的MAC地址0001-0002-0003作为Secure MAC地址，添加到VLAN 1中；

当Secure MAC地址数量达到80后，停止学习；当再有新的MAC地址接入时，触发Intrusion Protection特性，并将此端口关闭30秒。

2. 组网图

图1-5 端口安全autolearn模式组网图

3. 配置步骤

# 进入系统视图。

system-view # 启动端口安全功能。

[Switch] port-security enable # 进入以太网Ethernet1/0/1端口视图。

[Switch] interface Ethernet1/0/1 # 设置端口允许接入的最大MAC地址数为1。

[Switch-Ethernet1/0/1] port-security max-mac-count 1 # 配置端口的安全模式为autolearn。

[Switch-Ethernet1/0/1] port-security port-mode autolearn # 将Host 的MAC地址0001-0002-0003作为Secure MAC添加到VLAN 1中。

[Switch-Ethernet1/0/1] mac-address security 0001-0002-0003 vlan 1 # 设置Intrusion Protection特性被触发后，暂时关闭该端口，关闭时间为30秒。

交换机安全技术

MAC Flooding Attack，MAC地址表泛洪攻击，用于监听网络通讯

1. 本来交换机只会根据MAC地址转发表，在特定端口上转发以太网帧

2. 攻击者不断向交换机发送大量以太网帧，而且是不同的伪造的MAC地址，造成原本的MAC地址记录被冲掉

3. 这时A在向B发送消息时，交换机就找不到相应的MAC地址记录，只能把该帧广播出去

4. 攻击者也就能收到该帧

解决办法

port security ，用于控制一个access端口上学所得MAC地址数量

if# switchport port-security //在access端口上激活port-security

if# switchport port-security maximum 2 //设置端口上允许学到的MAC地址最大数目2

if# switchport port-serurity violation [protect(忽略新学到的MAC) | restrict(在protect的基础上 //设置超出最大数目限制时的动作

if# switchport port-security mac-address x.x.x //把MAC地址x.x.x静态绑定在某端口上（即某端口的MAC转发表上有一条恒定的项）。能够和maximum 1合用，让一个端口上只能够连接一台指定PC

if# switchport port-security mac-address sticky //端口动态学习到一条地址时，会自动转化为静态绑定的指令加入配置文件run-config

sh port-security {interface …}

正常MAC的老化时间300s，而port security动态学习到的MAC的老化时间为20min，静态绑定的MAC的老化时间infinit

[port security应该设置在接入层交换机上]

非法客户连接

解决办法

1162018.04 信息安全Security责任编辑：赵志远 投稿信箱：netadmin@在企业中，交换机特别是第二层的交换机一般用途是用来连接终端设备如计算机，所以都会放在相对容易被用户接触到的地方，基于信息安全的角度考虑，网管人员往往希望禁止用户私自将未经验证的终端设备接上交换机的端口上，又或者基于封包流量、保证服务质量、交换器性能等方面考虑，不希望交换机上的端口串接太多的终端设备，这时候，交换机的端口安全就大派用场，通过设定，可以限制未经验证的设备接上公司网络，又或者限制交换器端口上连接的设备数量。我们知道，第二层交换机有认识MAC-address的本领，也可以通过MAC-address做到数据封包的精准传送，我们可以利用交换机能够学习到设备的MAC-address功能对交换机上的端口做一些安全性的设定。在具体设定交换机的端口安全之前，有一些概念和事项需要留意，交换机的安全MAC有三种形式：1.动态安全MAC：交换机端口动态学习安全MAC，这是默认选项。2.静态安全MAC：交换机端口静态学习安全MAC，主要由网管人员静态将MAC地址与端口绑定。3.粘滞安全MAC：交换机端口学习安全MAC是先到先得的方法。如果一个端口违反了安全MAC的规则，可以受到以下的“惩罚”。端口受到保护（protect）。将违反安全MAC规则的设备封包丢弃。端口受到限制（restrict）。将违反安全MAC规则的设备封包丢弃，并且做日志记录。端口被关闭。将违反安全MAC规则的端口关闭，不交换机的端口安全■陈童彬编者按：在企业网络中对交换机的安全配置是至关重要的，本文中探讨交换机的端口配置，限制未经验证的设备接上公司网络，或限制交换器端口上连接的设备数量。图1 实例一架构图网络段较多，业务较多的场景，需要梳理出业务需求段。有时既存在A到B的主动访问，还有B到A的主动访问。对于A到B的主动访问，可通过established参数实现返回包通过。而对于B到A的主动访问，直接用不带参数的permit方式允许通过，并将该规则置前，因为ACL是从上到下顺序执行的。Established参数仅仅对TCP连接过滤，无法过滤UDP协议，因此假如有病毒是通过UDP协议端口传播，只能通过deny源地址进行，无法使用本文所述方法。【上接第115页】