- 1、本文档共89页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
- 5、该文档为VIP文档,如果想要下载,成为VIP会员后,下载免费。
- 6、成为VIP后,下载本文档将扣除1次下载权益。下载后,不支持退款、换文档。如有疑问请联系我们。
- 7、成为VIP后,您将拥有八大权益,权益包括:VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 8、VIP文档为合作方或网友上传,每下载1次, 网站将根据用户上传文档的质量评分、类型等,对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
;锐捷防ARP欺骗解决方案
;学习目标;课程内容;ARP协议原理;ARP过程;课程内容;正常情况下的ARP表;ARPRequest报文更新ARP表的条件
ARP报文中TargetIP为自己
用ARP报文中的SenderMAC与SenderIP更新自己的ARP表;ARP表变化-ARPReply;ARP表变化-GratuitousARP;理解invalidARP表项;IP地址发生冲突的条件
收到GratuitousARP报文,且Sender/TargetIP与当前IP一致,但SenderMAC与当前MAC不同
当针对主机或网络设备发送上述报文时,即为IP冲突攻击
;ARP欺骗攻击分类-主机型;ARP欺骗攻击分类-网关型;ARP欺骗攻击目的;ARP欺骗攻击缘何泛滥;判断ARP欺骗攻击-主机;判断ARP欺骗攻击-网关设备;课程内容;1、常见ARP欺骗“应付”手段-双向绑定;2、常见ARP欺骗“应付”手段-ARP防火墙;3、常见ARP欺骗“应付”手段;课程内容;锐捷网络完美解决ARP欺骗;两个概念;防ARP欺骗原理;平安地址;平安地址的处理;ARP-check
原理:
提取ACE中IP+MAC对的信息
在原有ACE〔过滤IP+MAC〕的根底上形成新的ACE〔过滤ARP〕
应用后端口策略
permitmac1ip1anyany
permitarp源MAC1源IP1anyany
denyanyanyanyany
本卷须知:ARP-check功能开启后,如果ACE中不存在平安地址,那么所有的ARP报文将被丢弃;ARP报文校验二〔DAI〕;1.1、port-security+ARP-check方案概述;网络拓扑
主要配置〔10.x平台〕;2.1、DHCPSnooping+address-bind+ARP-check方案实施;网络拓扑
主要配置〔10.x平台〕;2.3、DHCPSnooping+address-bind+ARP-check方案级联优化;3.1、DHCPSnooping+IPSourceguard+ARP-check方案实施;网络拓扑
主要配置〔10.x平台〕;3.3、DHCPSnooping+IPSourceguard+ARP-check方案级联优化;4.1、DHCPSnooping+DAI方案概述;网络拓扑
主要配置〔10.x平台〕;4.3、DHCPSnooping+DAI方案级联优化;5.1、SAM+Supplicant授权方案概述;网络拓扑
主要配置〔10.x平台〕;附.1、ARP欺骗免疫〔GSN〕概述;网络拓扑
网关交换机主要配置;附.2、ARP欺骗免疫〔GSN〕方案实施〔续〕;ARP-check的模式;S21交换机〔非RGOS平台〕配置本卷须知;各种防ARP欺骗方案比较;端口镜像原理与配置;学习目标;学习内容;学习内容;什么是端口镜像?;端口镜像定义;学习内容;端口镜像的分类;基于端口的镜像;基于流的镜像;学习内容;高端路由器目前只有T600/T1200的??及其后的版本支持,低端路由器ZSR也支持镜像;
最多可支持8组端口镜像会话,每组可支持8×8个镜像源端口;
目前高端路由器仅支持以太接口的镜像,镜像目的端口需为以太实接口,低端路由器ZSR支持从PPP接口镜像到以太接口;
镜像目的端口只能作为镜像流量发送端口使用,不能再配置其他任何业务;
tx方向流量的镜像仅支持镜像源与目的端口同板的情况;
控制平面的报文镜像仅支持NPCIX线卡rx方向的情况;
VPLS,VPWS流量不支持镜像;
目前仅支持本地镜像,不支持远程镜像;
在转发过程中需要被丢弃的报文在镜像时即使配置了ACL也不再受ACL规那么控制;
同时镜像rx和tx方向流量时,ACL只能应用在其中一个方向;
在下行发送时noarp后上送的包不支持镜像;
线卡性能有限,当线卡承载大流量数据转发时,需谨慎使用端口镜像功能。;学习内容;交换机基于端口镜像的根本配置;学习内容;交换机基于端口镜像的配置案例(1);交换机基于端口镜像的配置案例(2);交换机基于端口镜像的配置案例(3);交换机基于端口镜像的配置案例;路由器基于端口镜像的配置案例(1);路由器基于端口镜像的配置案例(2);路由器基于端口镜像的配置案例(3);路由器基于端口镜像的配置案例(4);低端路由器基于端口镜像的配置案例(5);低端路由器基于端口镜像的配置案例(6);学习内容;交换机基于流镜像的根本配置;路由器基于流镜像的根本配置;学习内容;交换机基于流镜像的配置案例(1);交换机基于流镜像的配置案例(2);交换机基于流镜像的配置案例(3);交换机基于流镜像的配置案例(4);路由器
文档评论(0)