以太网交换安全(二)----MAC地址表安全&MAC地址漂移防止与检测

目录

一、MAC地址表安全

MAC地址表项类型包括：

MAC地址表安全功能：​

实验部分：

黑洞MAC地址表：

更改动态MAC地址老化时间：​

交换机MAC学习功能切换：

静态MAC地址：

限制接口的MAC地址学习数量：

二、MAC地址漂移

什么是MAC地址漂移？

解决方法：(实验部分:)

1、优先级部署：

​2、还可以拒绝相同的优先级：

3、MAC地址漂移检测

(1)基于VLAN的MAC地址漂移检测

(2)基于全局的MAC地址漂移检测

---

一、MAC地址表安全

MAC地址表项类型包括：

• 动态MAC地址表项：由接口通过报文中的源MAC地址学习获得，表项可老化。在系统复位、接口板热插拔或接口板复位后，动态表项会丢失。#无流量无人维护5分钟300s后自动老化
• 静态MAC地址表项：由用户手工配置并下发到各接口板，表项不老化。在系统复位、接口板热插拔或接口板复位后，保存的表项不会丢失。接口和MAC地址静态绑定后，其他接口收到源MAC是该MAC地址的报文将会被丢弃。
• 黑洞MAC地址表项：由用户手工配置，并下发到各接口板，表项不可老化。配置黑洞MAC地址后，源MAC地址或目的MAC地址是该MAC的报文将会被丢弃。#只要匹配到手动配置指定的mac地址就丢弃，用于封掉某些出故障中毒的主机，防止一直出故障占用cpu，解决故障后可恢复。

MAC地址表安全功能：

• 为了防止一些关键设备（如各种服务器或上行设备）被非法用户恶意修改其MAC地址表项，可将这些设备的MAC地址配置为静态MAC地址表项，因为静态MAC地址表项优先于动态MAC地址表项，不易被非法修改。
• 为了防止无用MAC地址表项占用MAC地址表，同时为了防止黑客通过MAC地址攻击用户设备或网络，可将那些有着恶意历史的非信任MAC地址配置为黑洞MAC地址，使设备在收到目的MAC或源MAC地址为这些黑洞MAC地址的报文时，直接予以丢弃，不修改原有的MAC地址表项，也不增加新的MAC地址表项。
• 为了减轻手工配置静态MAC地址表项，华为S系列交换机缺省已使能了动态MAC地址表项学习功能。但为了避免MAC地址表项爆炸式增长，可合理配置动态MAC表项的老化时间，以便及时删除MAC地址表中的废弃MAC地址表项。
• 为了提高网络的安全性，防止设备学习到非法的MAC地址，错误地修改MAC地址表中的原MAC地址表项，可以选择关闭设备上指定接口或指定VLAN中所有接口的MAC地址学习功能，这样设备将不再从这些接口上学习新的MAC地址。
• 配置限制MAC地址学习数，当超过限制数时不再学习MAC地址，同时可以配置当MAC地址数达到限制后对报文采取的动作，从而防止MAC地址表资源耗尽，提高网络安全性。
   

实验部分：

拓扑：

配好所有地址任意主机产生通信则产生mac-add表：这个表就是动态的表自动生成的

黑洞MAC地址表：

#SW1
mac-address  blackhole  aabb-cc00-0010  vlan  1  (没配vlan，默认vlan)
这里把PC1设置成了黑洞mac-address，于是现象为PC1ping谁也不通，谁也ping不通PC1，黑洞这一词很形象。 
现象如图：

更改动态MAC地址老化时间：