第7个模块：最小化园区网的服务丢失数据窃听-6-保护网络交换机 CCNP交换部分中文版 教学课件.ppt

* Lesson Aim Enter lesson aim here. * ITAA学习情报组 汤姆一通互联网技术训练中心 /bbs 最小化园区网的服务丢失和数据窃听 保护网络交换机 描述CDP弱点 描述Telnet协议弱点 The Telnet connection sends text unencrypted and potentially readable. 描述 Secure Shell Protocol SSH replaces the Telnet session with an encrypted connection. 描述VTP访问列表 设置标准访问列表 在线配置模式下使用access-class命令. 每个VTP线均设置一致的限制 配置标准访问控制列表 Switch(config)#access-list access-list-number {permit | deny | remark} source [mask] Enters configuration mode for a vty or vty range 严格限制入站和出站访问连接在访问列表里定义的地址 Switch(config-line)#access-class access-list-number in|out Switch(config)#line vty {vty# | vty-range} 描述应用访问列表的命令 最好的经验: 交换机安全 保护交换机访问: 设置系统密码 保护物理访问Console口 保护通过Telnet的访问 如果可能的话使用SSH 配置登录提示 使用Syslog系统日志 最好的经验: 交换机安全(Cont.) 保护交换机协议: 整理 CDP及仅在需要的地方使用. 保护生成树. 减轻对交换机的威胁: 手动配置Trunk Links 最小化物理端口访问 建立标准的访问端口配置，不管有无在使用状态 总结 CDP数据包会暴露一些网络信息 Telnet认证是明文的，易于攻击 SSH提供一个更加安全的远程登录选择 通过VTY访问列表控制远程登录交换机 VTY配置使用标准访问控制列表 最好的经验：充分的安全措施和清理未使用的应用 第九个模块总结 关键的交换机安全问题应该被重视，并作相应的措施，减轻攻击造成的问题 VLAN trunk链路应该保护起来，防护VLAN跳跃攻击 DHCP 侦听、端口安全、DAI用于对抗欺骗攻击 交换机应该设置对应的防护，以免被攻击者控制。 UDLD和环路保护提供由单项链路引起的STP问题 实施AAA服务支持使用802.1x的端口认证 实验： 1、Private VLAN 2、VLAN ACL 3、ARP欺骗 4、BPDU guard、BPDU Filter 5、STP根桥保护 6、SSH访问交换机 7、端口安全 * * Lesson Aim Enter lesson aim here. * Lesson Aim Enter lesson aim here. * Lesson Aim Enter lesson aim here. * * Lesson Aim Enter lesson aim here. * * * ITAA学习情报组 汤姆一通互联网技术训练中心 /bbs * * Lesson Aim Enter lesson aim here. * Lesson Aim Enter lesson aim here. * Lesson Aim Enter lesson aim here. * * Lesson Aim Enter lesson aim here. * * * * Lesson Aim Enter lesson aim here. *