CCNP_SWITCH_交换机安全整理.pdfVIP

交换机安全 一、 MAC layer attacks 1、MAC地址 flooding攻击 当交换机收到一个单播包，目的 MAC并没有出现在它的 MAC表里，那交换机会把这个包向 相同广播域里的所有接囗进行泛洪 show mac-address-table count 解决方案：阻塞未知单 (组 )播扩散 a、不是很好的办法 （2950上可以做） 对未知 MAC地址， SW将从本 VLAN的其他端口 转发出去 ,但对于某些端口（端口安全只需 要一个 MAC/ 已到最大 MAC）没必要再转发这些单（组）播。就可以在这些端口上设定这一 特性，通常结合端口安全来做。 Sw1(config-if)#switchport block [unicast | multicast] Sw1#show int f0/1 switchport ...Unknown unicast blocked: enabled ...Unknown multicast blocked: disabled b、更好的办法是：（ 3550上可以做） 用于对流入端口的广播和组 播流量进行监控，超过阀值后丢弃数据包。 3550 （config-if）#storm-control broadcast level 5 按百分比进行监控 3550 （config-if）#storm-control broadcast bps 10 按实际流量，注意单位是 M 1 / 17 c、65系列上的新命令： mac-address-table unicast-flood (a). 限制 Unknown Unicast Flooding (b).mac-address-table unicast-flood limit 3 vlan 100 filter 5 limit:对同一 个 VLAN，每个 MAC，每秒的 Unicast Flooding的数量进行限制 Filter:一旦超 过 Limit，过渡 Unicast Flooding的时间（单位：秒） Alert: 一旦超过 Limit,发 送警告 Shutdown:一旦超过 Limit,Shutdown入接囗 2、MAC地址的欺骗 解决方案： 1.发现 MAC地址欺骗攻击报警 （65系列交换的技术） SW(config)# mac-address-table notification mac-move mac-move notification 这个特性能够检测到 MAC地址非法的移动，只做警示作用。 2.基于主机 MAC来允许流量 port-security (其实就是 MAC地址绑定 ) （2950 以上） 2 / 17 Sw1(config-if)#switchport port-security a、所有的 接囗 port-security功能默认是关闭的 b、直接使用 switchport port-security，每个接囗最大 MAC地址容量 =1，并且 violation shutdown switchport port-security可选命令： 1.shutdown：将永久性或特定周期内 Err-Disable端口（默认行为） ,并发送 snmp trap 2.restrict：当超过所允许学习的最大 MAC