cisco交换机端口安全.ppt

交换机端口安全,案例一,交换机主动学习客户端的MAC地址，并建立和维护端口和MAC地址的对应表CAM表根本原因CAM表的大小是固定的攻击者利用工具产生大量的MAC,快速填满交换机的CAM表，交换机就像HUB一样工作，非法攻击者可以利用监听工具监听所有端口的流量,案例分析MAC攻击,配置端口安全功能静态设置每个端口所允许连接的合法MAC地址，实现设备级的安全授权通过配置portsecurity可以控制端口上最大可以通过的MAC地址数量，对于超过规定数量的MAC处理进行违背处理,防范方法,设置端口安全功能switchportport-security设置端口允许合法MAC地址的数目switchportport-securitymaximumnum,防范方法,设置超过端口允许的最大MAC地址数后端口行为switchportport-securityviolationactshutdown端口关闭protect端口不转发数据，不报警restrict端口不转发数据，报警,防范方法,静态设置每个端口所允许连接的合法MAC地址，实现设备级的安全授权switchportport-securitymac-addressX.X.X,防范方法,示例一,#Clearmac-address-tabledynamic#interfacefa0/4#switchportmodeaccess#switchportport-security#switchportport-securitymaximum3#switchportport-securityviolationshutdown#switchportport-securitymac-addresssticky,案例二：IP地址欺骗,常见的欺骗攻击种类有MAC欺骗、IP欺骗、IP/MAC欺骗，伪造身份病毒和木马的攻击也会使用欺骗的源IP地址，掩盖真实的源主机,设置“端口+MAC+IP”绑定设置MAC地址访问控制列表设置IP地址访问控制列表最后把两种ACL应用到端口,防范方法,设置MAC地址访问控制列表macaccess-listextendedmac-acl-name绑定规则deny|permitany|sourceMACaddress|sourceMACmaskany|destinationMACaddress|destinationMACaddressmasktypemask|lsaplsapmask|aarp|amber|dec-spanning|decnet-iv|diagnostic|dsm|etype-6000|etype-8042|lat|lavc-sca|mop-console|mop-dump|msdos|mumps|netbios|vines-echo|vines-ip|xns-idp|0-65535coscos,防范方法,设置IP地址访问控制列表ipaccess-listextendedmac-acl-name设置规则permit/denyprotocolsource-ipdes-ipeqport应用到端口macacce