HCIP笔记15-扩展知识点

[sw1-ospf-1]silent-interface all 沉默所有接口

[sw1-ospf-1]undo silent-interface GigabitEthernet 0/0/24

[sw1-ospf-1]undo silent-interface Vlanif 99

沉默接口在三层架构中非常重要，可以大大减少ospf对交换网络的干扰，由于要沉默的接口太多，一般先全沉默，在开启不沉默的接口；

名词注解：

CAM--交换机转发数据依赖本地的MAC地址表，其实MAC地址表用于管理员查看；

交换机真正识别CAM表；   MAC表=CAM表

区别在于CAM表是将MAC地址表中的MAC地址+接口编号+VALNid进行哈希运算，将运算后的值储存在CAM表中进行查找---以二进制存在

哈希运算--散列函数算法--MD-1-5  SHA

哈希算法的特点：

1.不等长的输入，等长的输出

2.雪崩效应，源数据的一点变化将导致计算后的数据的巨大变化

3.不能还原

路由器查询的--路由表--TCAM表 --将路由器表计算为二进制表格，用于芯片可以直接调用

加密：key+加密--正向运算  解密--反向运算  数据变大

扩展知识点：

1.端口镜像  SPAN

[r1]observe-port interface GigabitEthernet 0/0/2 监控接口

[r1]interface g0/0/0

[r1-GigabitEthernet 0/0/0]mirror to observe-port inbound 流量抓取的接口

[r1-GigabitEthernet 0/0/0]int g0/0/1

[r1-GigabitEthernet 0/0/1]mirror to observe-port inbound

G0/0/0和G0/0/1接口间的所有流量，都镜像到G0/0/2一份；可以在连接G0/0/2接口的设备上使用数据分析软件来进行数据分析；

只抓接口上某一个特定设备的流量来监控：

C1对应源流量，B1对应监控接口。P1是将C1和B1组成一个策略，最终接口上调用P1策略；

2.DHCP 动态主机配置协议 统一分发管理IP地址

华为服务器均使用单播进行回复，Cisco或微软基于广播进行回复；

华为的单播使用准备给客户端的IP地址来作为单播回复时的目标IP地址，主要还是基于MAC地址进行回复；

成为DHCP服务器的条件：

1.该设备必须存在接口或网卡能够为所需要获取IP地址的设备提供广播服务

2.该接口或网卡必须已经配置合法IP地址，且可以正常通讯---静态IP地址基于UDP 67/68端口工作

两种配置方式：

1.基于全局地址池的DHCP服务器给客户端分配IP地址：

dhcp enable

ip pool huawei

gateway-list 192.168.1.1

network 192.168.1.0 mask 24

excluded-ip-address 192.168.1.2  排除某些地址

lease day 3 hour 0 minute 0  地址租用时间

dns-list 192.168.1.2

interface g0/0/0

ip add 192.168.1.1 24

dhcp select global

2.基于接口的DHCP服务器给客户端分配IP地址：

dhcp enable

interface g0/0/0

ip address 192.168.1.1 24

dhcp select interface

dhcp server dns-list 192.168.1.2

dhcp server excluded-ip-address 192.168.1.2 排除某些地址

dhcp server lease day 2 hour 0 minute 0 地址租用时间

【1】DHCP中继

配置：

注意：dhcp server 设备必须在和中继点单播可达的前提下，才能使用DHCP中继效果；

【2】DHCP snooping---防止dhcp攻击

防止DHCP server 的仿冒：

[r1]dhcp enable  交换机开启dhcp服务

[r1]dhcp snooping enable全局下先开启DHCP snooping功能

[r1]interface g0/0/1

[r1-GigabitEthernet0/0/1]dhcp snooping enable 所有接入层接口配置

配置后，所有接口处于非信任状态，所有非信任接口只能进行DHCP的请求，无法实现应答；之后需要在真正连接DHCP服务器的接口上配置信任，否则该DHCP服务器也不能正常工作；

[r1-GigabitEthernet0/0/1]dhcp snooping trusted

注意：以上操作完成后，交换机中将产生一个记录列表；记录所有接口IP地址的获取情况；

例：SW1的g0/0/1 连接PC1,在SW1开启了DHCP snooping功能后,一旦PC1获取ip地址成功；那么在SW1上将出现一张记录列表----PC1的mac, 获取的 ip 地址, vlan…

该记录列表最大的意义是用于防止ARP欺骗攻击；

[r1]arp dhcp-snooping-detect enable  开启ARP欺骗防御

当某一个接口下的PC进行ARP应答时，若应答包中源IP地址与MAC地址和dhcp snooping的记录列表不一致将不进行转发；

源地址保护

[sw-GigabitEthernet0/0/1]ip source check user-bind enable -该接口发出的所有数据包中源IP地址与dhcp snooping记录不一致将不能转发；

[huawei]display dhcp snooping user-bind all 查看dhcp snooping绑定地址表

【3】端口安全--解决更换MAC来不停请求IP地址，导致DHCP池塘枯竭；

还可以防止MAC地址攻击；

交换机存在的mac地址表，存在条目数量限制，存在老化时间(默认5min)

PC等终端设备默认存储ARP表格为180s---2h；但若交换机的缓存被溢出或超时，再来转发终端的单播流量时，出现未知单播帧问题---处理方案洪泛

因此终端设备若不停修改MAC地址来导致交换机缓存溢出便可实现MAC地址攻击

依赖端口安全进行保护

端口安全

[sw-Ethernet0/0/4]port-security enable 开启端口安全

[sw-Ethernet0/0/4]port-security max-mac-num 1  现在MAC地址数量

[sw-Ethernet0/0/4]port-security protect-action ?

 protect Discard packets   丢弃-不告警

 restrict Discard packets and warning   丢弃-告警  （默认）

 shutdown Shutdown  丢弃---关闭接口 --必须管理员手工开启

[sw-Ethernet0/0/4]port-security aging-time 300 老化时间

以上动作完成后，对应接口将自动记录第一个通过该接口数据帧中的源MAC地址；

其他mac将不能通过；若300s内，该记录mac没有再经过该接口，将刷新记录；

设备重启或接口关闭再开启也将刷新记录；

[sw-Ethernet0/0/4]port-security mac-address sticky  粘贴MAC（不老化）

自动记录通过该接口传递的mac地址，但记录后将永不删除

也可手工填写

[sw-Ethernet0/0/4]port-security mac-address sticky aaaa-aaaa-aaaa-aaaa vlan 1

【4】 SSH 安全外壳协议---安全的Telnet行为:

Telnet远程登录-基于tcp的23号端口工作;数据被明文传输；

SSH也是远程登录-基于TCP的22号端口工作，数据包安全保障传输;

存在版本V1/V2两种-实际版本号大于1小于2均为 V2;

SSH是在保障安全性基础上来进行telnet设备；

安全性：

1.私密性---对数据进行加密

2.完整性---对数据进行校验  哈希 SHA MD5

3.不可否认性---不能被冒充  共享密钥  数字签名

加密算法(保障数据的私密性)  

- 必须存在秘钥       可以反向计算(解密)       源数据增大

对称加密 --同一个秘钥来进行加密和解密（24h换一次） 秘钥交换问题  密码管理数量呈指数上升  加解密速度快 加密后数据增大量少  DES  3DES   AES

非对称加密-存在两把秘钥  A 加密 B解密（1h换一次） 不存在秘钥交换问题，密码数量可以仅一对   加解密速度慢 加密后数据增大量大  --- RSA      DH (IPSEC vpn专用)当下秘钥长度要大于1024才相对安全；

校验算法（保障数据的完整性） --没有秘钥  不能反向计算  不等长输入，等长输出 --散列函数的摘要算法   雪崩效应--源数据微小变化导致计算结果的巨大变化

MD-MD5-128   SHA-SHA-1 -128  -256  -521

[R2]stelnet server enable 开启ssh

[R2]rsa local-key-pair create    密钥生成

[R2]ssh user lito authentication-type password 定义ssh基于秘钥来加解密

登录信息

[R2]aaa

[R2]local-user lito password cipher huawei

[R2]local-user lito service-type ssh

[R2]user-interface vty 0 4

[R2]authentication-mode aaa

[R2]protocol inbound ssh 仅允许ssh登录

若使用华为设备作为终端设备，通过ssh方式登录其他的系统，需要开启ssh客户端功能

[r1]ssh client first-time enable

[r1]stelnet 99.1.1.1

【5】端口隔离

[sw]interface g0/0/5

[sw-Ethernet0/0/5]port-isolate enable group 1 相同配置接口被隔离，无法直接通讯