思科交换机安全很全的详细配置讲解

CiSCO所有局域网缓解技术

交换机安全802.1X、port-security、DHCPSNOOP、DAK

VACL、SPANRSPAN

端口和MAC绑定：port-security

基于DHCP的端口和IP,MAC绑定：ipsourceguard

基于DHCP的防止ARP攻击：DAI

防止DHCP攻击：DHCPSnooping

常用的方式：

1、802.IX,端口认证，dotlx,也称为IBNS(注:IBNS包括

port-security)：基于身份的网络安全；很多名字，有些烦当

流量来到某个端口，需要和ACS交互，认证之后得到授权，才可

以访问网络，前提是CLIENT必须支持802.IX方式，如安装某个软

件ExtensibleAuthenticationProtocolOverLan(EAPOL)使用

这个协议来传递认证授权信息

示例配置：

Routerttconfigureterminal

Router(config)#aaanew-model

Router(config)#aaaauthenticationdotlxdefaultgroup

radius

Router(config)#radius-serverhost10.200.200.1

auth-port1633keyradkey

Router(config)#dotlxsystem-auth-control起用D0T1X功

台H匕

Router(config)#interfacefa0/0

Router(config-if)#dotlxport-controlauto

AUTO是常用的方式，正常的通过认证和授权过程

强制授权方式：不通过认证，总是可用状态

强制不授权方式：实质上类似关闭了该接口，总是不可用

可选配置：

Switch(config)#interfacefaO/3

Switch(config-if)#dotlxreauthentication

Switch(config-if)#dotlxtimeoutreauth-period7200

〃2小时后重新认证

Switchttdotlxre-authenticateinterfacefaO/3

〃现在重新认证，注意：如果会话已经建立，此方式不断开会话

SwitchSdotlxinitializeinterfacefaO/3

〃初始化认证，此时断开会话

Switch(config)#interfacefaO/3

Switch(config-if)#dotlxtimeoutquiet-period45

〃45秒之后才能发起下一次认证请求

Switch(config)ttinterfacefaO/3

Switch(config-if)#dotlxtimeouttx-period90

〃默认是30s

Switch(config-if)#dotlxmax-reqcount4

〃客户端需要愉入认证信息,，通过该端口应答AAA服务器，如果

交换机没有收到用户的这个信息，交换机发给客户端的重传信

息，30s发一次,共4次

Switch#configureterminal

Switch(config)#interfacefastethernetO/3

Switch(config-if)#dotlxport-controlauto

Switch(config-if)#dotlxhost-modemulti-host

〃默认是一个主机，当使用多个主机模式，必须使用AUTO方式授

权，当一个主机成功授权，其他主机都可以访问网络；当授权失

败，例如重认证失败或LOGOFF,所有主机都不可以使用该端口

SwitchSconfigureterminal

Switch(config)Sdotlxguest-vlansupplicant

Switch(config)#interfacefaO/3

Switch(config-if)#dotlxguest-vlan2

〃未得到授权的进入VLAN2,提供了灵活性

〃注意：1、VLAN2必须是在本交换机激活的，计划分配给游客使

用；2、VLAN2信息不会被VTP传递出去

Switch(config)SinterfacefaO/3

Switch(config-if)#dotlxdefault

〃回到默认设置

showdotlx[all]|[interfaceinterface-id]

[statisticsinterfaceinterface-id][{|begin|exclude

include}expression]

Switchttshodotlxall

DotlxInfoforinterfaceFastEthernetO/3

SupplicantMAC0040.4513.075b

AuthSMState=AUTHENTICATED

BendSMState=IDLE

PortStatus=AUTHORIZED

MaxRcq=2

HostMode=Single

PortControl=Auto

QuietPeriod=60Seconds

Re-aulhenLicaLioii=Enabled

ReAuthPeriod=120Seconds

ServerTimeout=30Seconds

SuppTimeout=30Seconds

TxPeriod=30Seconds

Guest-Vian=Odebugdotlx{errors|events

packets|registry|state-machine|all)

2、端口安全，解决CAM表溢出攻击(有种MACOF的工具，每

分钟可以产生155000个MAC地址，去轰击CAM表，从而使合法主机

的要求都必须被FLOOD)

示例配置：

Switchttconfigureterminal

Switch(config)#interfacefastethernet0/0

Switch(config-if)#switchportmodeaccess

Switch(config-if)ttswitchportport-security

Switch(config-if)#switchportport-securitymaximum20

〃这里默认是1

Switch（config_if）#switchportport-security

mac-addresssticky〃保存学习到的地址到RUNCONFIG

文件中，避免手动配置的麻烦，并省去动态学习所消耗的资源

switchportport-security

violation{protectrestrict|shutdown）

三个参数解释：

protect（保护）：当达到某个设定的MAC数量,后来的未知

MAC不再解析，直接丢弃，且不产生通知

restrict（限制）：当达到某个设定的MAC数量，后来的未

知MAC不再解析,直接丢弃，产生通知,如SNMPTRAP、SYSLOG

信息，并增加违反记数；这里有个问题，恶意攻击会产生大量的

类似信息，给网络带来不利。

shutdown（关闭）：当达到某个设定的MAC数量，后来的未

知MAC不再解析，直接关闭该端口，除非手动开启，或改变端口

安全策略

端口安全需要全部手动配置，增加工作量，下面的两种方式

DHCPSNOOP

如网吧的管理员使用DHCP分配地址的时候执行IP和MAC地址

的捆绑

Switchttconfigureterminal

Switch(config)#ipdhcpsnooping

Switch(config)#ipdhcpsnoopingvlan34

Switch(config)#ipdhcpsnoopinginformationoption

Switch(config)#interfacefaO/O

〃连接DHCP服务器的接口

Switch(config-if)#ipdhcpsnoopinglimitrate70

Switch(config_if)#ipdhcpsnoopingtrust

〃指定该接口为信任接口，将获得DHCP服务器所分配的地址，其

他接口所发生的DHCP行为将被否决

DAI

动态ARP审查，调用ACL和DHCPSNOOP的IP-TO-MAC数据库

SwitchSconfigureterminal

Switch(config)#iparpinspectionfilter

〃这里调用ACL注意，只能调用ARPACL,该ACL优先及IP-TO-MAC

表被审查，也就是说，即使有绑定项存在，如果被ARP-ACL拒绝,

也不能通过

Switch(config)#iparpinspectionvlan34

Switch(config)#interfacefaO/O

Switch(config-if)#iparpinspectiontrust

〃连接到DHCP服务器的接口，调用该接口上的DHCPSNOOP的

IP-TO-MAC表，默认连接到主机的接口都是不信任的接口

Switch(config-if)#iparpinspectionlimitrate20

burstinterval2〃不信任接口限制为每秒14个ARP请求，

信任接口默认不受限制，这里修改为每秒20

Switch(config-if)#exit

Switch(config)#iparpinspectionlog-bufferentries64

〃记录64条拒绝信息

注意：DHCPSNOOP只提供IP-TO-MAC绑定表，本身不参及流

量策略，只是防止DHCP欺骗，而对任何IP和MAC欺骗是没有能力

阻止的，但是它提供这样一张表给DAI调用，以防止MAC欺骗。

iparp-inspection//仅仅对违规的ARP包进行过滤，

不对IP包和其他包起作用。

ipsourceverify〃会对绑定接口的IP或者IP+MAC进

行限制

3、VACL

ConfiguringVACLsforCatalyst6500TrafficCapture

Router(Config)#access-list110permittcpany

172.12.31.0.0.0.0.255eq80

Router(config