MAC地址攻击
- 简单的端口安全服务
Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode access 只有access接口可以配置端口安全服务
Switch(config-if)#switchport port-security 先开启端口安全服务
Switch(config-if)#switchport port-security ?
mac-address ---- Secure mac address MAC地址的获取方式
maximum -------- Max secure addresses 最大数量
violation --------- Security violation mode 违约后处理方案
Switch(config-if)#switchport port-security mac-address ?
H.H.H 48 bit mac address 手写MAC
sticky Configure dynamic secure addresses as sticky 自动粘连
- 注:此时默认的最大数量为1,默认处理方案为逻辑关闭, 逻辑关闭后,该接口将永远不能通讯,若希望重新激活该接口需要先手动关闭然后在开启;
Switch(config)#interface fastEthernet 0/2
Switch(config-if)#switchport port-security maximum 10 最大地址数量
注:此时默认处理方案依然为逻辑关闭
Switch(config-if)#switchport port-security violation ? 修改违约后的处理方案
protect – Security violation protect mode
restrict – Security violation restrict mode
shutdown-- Security violation shutdown mode
- 保护:当非法MAC出现时不转发流量,不关闭接口;
限制:处理方法同保护一致,区别在于将向网络中的SNMP(简单的网络管理)服务器发送日志
关闭:逻辑关闭,默认的处理方案;
- 静态CAM
core(config)#mac address-table static aaaa.aaaa.aaaa vlan 1 drop 该mac地址若在vlan1中出将被丢弃
- 阻止未知的单播帧–需要结合端口安全服务工作
在端口安全服务工作后,若出现未知单播帧将仅向没有记录的接口进行洪范;
core(config)#interface f0/1
core(config-if)#switchport block unicast 建议所有配置了端口安全服务的接入层接口均配置