CCNP 16 简单交换安全

MAC地址攻击

1. 简单的端口安全服务

Switch(config)#interface fastEthernet 0/1
Switch(config-if)#switchport mode access 只有access接口可以配置端口安全服务
Switch(config-if)#switchport port-security 先开启端口安全服务

Switch(config-if)#switchport port-security ?
mac-address ---- Secure mac address MAC地址的获取方式
maximum -------- Max secure addresses 最大数量
violation --------- Security violation mode 违约后处理方案

Switch(config-if)#switchport port-security mac-address ?

  H.H.H   48 bit mac address       手写MAC
  sticky  Configure dynamic secure addresses as sticky  自动粘连

• 注：此时默认的最大数量为1，默认处理方案为逻辑关闭, 逻辑关闭后，该接口将永远不能通讯，若希望重新激活该接口需要先手动关闭然后在开启；

Switch(config)#interface fastEthernet 0/2
Switch(config-if)#switchport port-security maximum 10 最大地址数量
注：此时默认处理方案依然为逻辑关闭

Switch(config-if)#switchport port-security violation ? 修改违约后的处理方案
protect – Security violation protect mode
restrict – Security violation restrict mode
shutdown-- Security violation shutdown mode

• 保护：当非法MAC出现时不转发流量，不关闭接口；
  限制：处理方法同保护一致，区别在于将向网络中的SNMP（简单的网络管理）服务器发送日志
  关闭：逻辑关闭，默认的处理方案；

2. 静态CAM

core(config)#mac address-table static aaaa.aaaa.aaaa vlan 1 drop 该mac地址若在vlan1中出将被丢弃

3. 阻止未知的单播帧–需要结合端口安全服务工作
   在端口安全服务工作后，若出现未知单播帧将仅向没有记录的接口进行洪范；

core(config)#interface f0/1
core(config-if)#switchport block unicast 建议所有配置了端口安全服务的接入层接口均配置