交換機(jī)攻擊與防護(hù)課件

網(wǎng)絡(luò)安全防護(hù)

教師：尹偉設(shè)備安全交換機(jī)的安全:PasswordVLANACLPortSecurityLogging設(shè)備安全交換機(jī)的特權(quán)用戶(hù)密碼:(config)#enablesecret密碼設(shè)備安全一,VLAN是英文VirtualLocalAreaNetwork的縮寫(xiě)，即虛擬局域網(wǎng)VLAN:邏輯劃分廣播域二,VLAN的分類(lèi)主要有以下幾種：基于端口的VLAN基于MAC地址的VLAN基于第3層的VLANVLAN特性:分段靈活性

安全性第三層第二層第一層銷(xiāo)售部人力資源部工程部一個(gè)VLAN

=一個(gè)廣播域=

邏輯網(wǎng)段(子網(wǎng))

設(shè)備安全設(shè)備安全三,部署VLAN動(dòng)機(jī):1,正確動(dòng)機(jī):

安全性靈活性控制廣播2,錯(cuò)誤動(dòng)機(jī):

VLAN可以減少對(duì)路由器的依賴(lài)設(shè)備安全五,VLAN協(xié)議：VTP（vlantrunkingprotocol）VLAN主干協(xié)議1,VTP功能：發(fā)送/轉(zhuǎn)發(fā)VTP通告2,VTP模式：服務(wù)器模式;客戶(hù)端模式;透明模式3,VTP域：把VLAN客戶(hù)端和VLAN服務(wù)器，放在同一域內(nèi)，VLAN客戶(hù)端只在該域內(nèi)查找VLAN服務(wù)器配置：sw(vlan)#vtpdomain域名設(shè)備安全4,VTP裁剪：交換機(jī)在轉(zhuǎn)發(fā)廣播前，向相應(yīng)鏈路上發(fā)送探測(cè)信息，探測(cè)鏈路上是否存在相應(yīng)VLAN的成員：

1）成員存在：交換機(jī)向該鏈路上發(fā)送廣播

2）成員不存在：交換機(jī)不向該鏈路上發(fā)送廣播（廣播被裁剪）配置：VTP裁剪功能只需配置在VLAN服務(wù)器上

sw(vlan)#vtpprunning設(shè)備安全5,VTP驗(yàn)證：配置：sw(vlan)#vtppassword密碼6,vtp版本：(VTPv1不支持令牌環(huán)，VTPv2支持令牌環(huán))

配置：sw(vlan)#vtpv2-mode設(shè)備安全2.通過(guò)MAC地址來(lái)限制端口流量，此配置允許一TRUNK口最多通過(guò)N個(gè)MAC地址，超過(guò)N時(shí)，來(lái)自新的主機(jī)的數(shù)據(jù)幀將被丟失sw#conftsw(config)#intf0/1sw(config-if)#switchporttrunkencapsulationdot1qsw(config-if)#switchportmodetrunk

sw(config-if)#switchportport-securitymaximum100//允許此端口通過(guò)的最大MAC地址數(shù)目為100

sw(config-if)#switchportport-securityviolationprotect//當(dāng)MAC地址數(shù)目超過(guò)100時(shí),交換機(jī)繼續(xù)工作，但來(lái)自新的主機(jī)的數(shù)據(jù)幀將丟失sw(config-if)#switchportport-securityviolationshutdown//當(dāng)MAC地址數(shù)目超過(guò)100時(shí),這個(gè)端口會(huì)shutdown設(shè)備安全默認(rèn)的端口安全配置：以下是端口安全在接口下的配置-特性：port-sercurity默認(rèn)設(shè)置：關(guān)閉的。特性：最大安全mac地址數(shù)目默認(rèn)設(shè)置：1特性：違規(guī)模式默認(rèn)配置：shutdown，這端口在最大安全mac地址數(shù)量達(dá)到的時(shí)候會(huì)shutdown。設(shè)備安全基于MAC地址的訪問(wèn)控制列表Switch(config)#macaccess-listextendedMAC10

＃定義一個(gè)MAC地址訪問(wèn)控制列表并且命名該列表名為MAC10

Switch(config-ext-nacl)#permithost0009.6bc4.d4bfany

＃定義MAC地址為0009.6bc4.d4bf的主機(jī)可以訪問(wèn)任意主機(jī)

Switch(config-ext-nacl)#permitanyhost0009.6bc4.d4bf

＃定義所有主機(jī)可以訪問(wèn)MAC地址為0009.6bc4.d4bf的主機(jī)

Switch(config-if)#interfaceFa0/20

#進(jìn)入配置具體端口的模式

Switch(config-if)#macaccess-grou