交换安全

交换安全（局域网安全）
已知单播帧一个借口进，一个接口出。未知单播帧，组播，广播，都为洪泛。
黑客监听：1、发送大量的伪造mac，沾满mac表，使1到2的流量成为为未知单播帧从而洪泛，自己就能收到从1到2的包
2、中间人C，伪装成A和B，获取A给B发的包，和B给A发的包。
如何制止：端口保护、由人去验证接口接那个mac
switchport port-security 绑定第一个接入的mac
switchport port-security maximum 2 改变接入的第几个mac
惩罚
switchport port-security violation shudaown
1、protect–mac条目超过最大数量 新计算机无法接入 不发警告
2、restrict–mac条目超过最大数量 新计算机无法接入 发警告
3、shutdown–mac条目超过最大数量 新旧计算机都无法接入 关闭接口
mac add sticky 粘滞
端口隔离 switchport protected （公共场合基本都要配置。）配置后只能和网关通。
接口和其他接口同一个网段也不能通信。

vlan跳转
vlan1 本证vlan
如果数据进入接口没有valn便签则放行并且打上此接口的vlan便签，
如果有vlan标签但是和接口标记不一致则丢弃，
如果有vlan便签并且和接口标签一致，则撕掉标签并放行。
防止方法
1.从管理上，pc不能被划入本证vlan
2.1从技术上，在经过干道时给vlan1打标签
2.2本证vlan移动，
2.3把不用的接口关闭
2.4把不用的接口划入特殊vlan
安全三件套 snooping DAI IPSG
1、DHCP
因为客户端无法对服务端做认证，服务端也一样无法对客户端做认证，所以存在安全问题
1开启
ip DHCP snooping
ip DHCP snooping vlan 10
int f0/0
ip DHCP snooping trust
防止（拒绝式攻击）
ip dncp snooping limit rate 50
防止耗尽攻击
1.二层mac和chaddr的mac一致
端口保护即
2，二层的mac不变 chaddr的mac改变
ip dhcp snooping verify mac-address 检查二层和chaddr中的mac是否一致，不一致则丢弃
在多台交换机：
1.跨交换机，干道两端需为信任口，否则就会收到带82的数据包为非信任包。
2.关闭打的82标签
no ip dhcp snnoping information option
3.如果网关不在DHCP的服务器上，做DHCP中继
所以不能关82
这种情况下，在网关接口下写
ip dhcp relay information trust

DHCP snooping的邦定表
表里面有：接口 、获取的ip、mac、vlan、租期
把绑定表存储起来
ip DHCP snooping datebase flash ：xx.txt
查看：show dhcp snooping binding

arp 欺骗
DAI动态arp监测
拆开所有的arp包进行检测ip和mac地址绑定是否正确
ip arp inspection vlan 1 在vlan1启用DAI
ip arp inspection trust 配置信任口
检查目标mac
ip arp inspection validate src-mac dst-mac ip
限速
ip arp inspectionlimit 10

ip地址欺骗
检查需要拆所有包，所以不能所有的口都开，不然交换机就会崩溃。
配置：
intf/0
ip verify source port-security 在接口启用IPSG功能
自己做绑定表 ip source binding 002.3…
专门做端口认证 802.1X 端口和用户的绑定机制

端口阻塞
阻塞组播和未知单播
什么时候应该用？
一般用于保护服务器接口或某个重要的接口、
intf0/0
switchport block multcast
show f0/0 switchport
风暴控制：
当交换网络出现单播/广播/组播风暴时可以抑制转发这些风暴包的接口。
intf0/0
storm-control action

生成树相关
portfast
接pc的接口
使交换机的所有接口都不参与生成树的收敛，但是已收到bpDU就会重新收敛生成树
如果进接口配置，就不参与生成树收敛

单臂路由交换机
protfast trunk

bpduguard
如果接口发bpdu就关闭此接口
全局或接口

bpdufilter 如果收到bpdu就丢掉，风险：交换机丧失对这个接口的环路判断
环路判断：自己发的bpdu自己收到
全局 收到就从新进入监听。

rootguart
防止抢根，但是不能在生成树没有收敛点的情况下输入
一般在你不信任的接口上配置

loopguard 在交换机本身存在环路，交换机收不到bpdu的时候防环

UDLD 单向链路失效
强制让对方回包，不会包就全部挂掉。
duld port aggressive
在光纤下敲。