交换安全

二层交换安全

注:下文攻击系统为Kali

MAC

mac洪泛攻击：不断的给交换机发送垃圾mac地址，使cam表内存空间填满无法记录正确的mac地址，当主机发送数据的时候，交换机不认识此mac（未知单播帧）将数据洪泛，从而窃取数据；

中间人攻击：将其他接口连接的主机mac地址通过另一个接口发给交换机，毒化cam表,使交换机错误的转发数据，从而窃取数据Mac地址漂移：中间人攻击、广播风暴（出环）引起；相同的mac地址不停的在多个接口出现
防御（端口安全）：关闭不使用接口、设置最大记录mac地址数量；静态绑定mac地址；配置粘滞安全mac地址-只记录我设置的第x个mac地址

1.静态安全MAC地址：
三种惩罚机制
1>protect—当新计算机接入时，如果该端口的MAC条目超过最大数量，则这个新的计算机将无法接入，而原有的计算机不受影响，交换机也不发送警告信息；
2>restrict–当新计算机接入时，如果该端口的MAC条目超过最大数量，则这个新的计算机无法接入，并且交换机将发送警告信息；
3>shutdown–当新计算机接入时，如果该端口的MAC条目超过最大数量，则该端口将会被关闭，则这个新的计算机和原有的计算机都无法接入网络，这时需要接入原有的计算机并在交换机中的该端口下使用“shutdown”和“no shutdown”命令重新打开端口。

配置：
MSW1(config)#int r e 0/0 -2
MSW1(config-if-range)#shutdown
MSW1(config-if-range)#switchport access vlan 1
MSW1(config-if-range)#switchport port-security maximum 1
MSW1(config-if-range)#switchport port-security violation shutdown
MSW1(config)#int e 0/0
MSW1(config-if)#switchport port-security mac
MSW1(config-if)#$port-security mac-address 00-50-56-f3-b1-40

2.粘滞安全MAC地址：
因为静态安全MAC地址每个接口绑定固定的一个MAC，需要查每台计算机的MAC工作量大，所以采用粘滞安全MAC地址

配置：
sw1(config-if)#no shutdown
被惩罚的接口show int XX 状态呈现errdisable
sw1(config)#errdisable recovery cause psecure-violation
允许交换机自动恢复因端口安全而关闭的端口
sw1(config)#errdisable recovery interval 60
配置交换机60s后自动恢复端口

DHCP

开启图形化界面

DHCP欺骗：攻击者伪装DHCP服务器发送相应包

DHCP耗尽攻击：识别mac地址通过数据包里面字段的mac，不是从二层包里获取，容易被欺骗，使地址池用尽无法继续下放；

解决：服务器检查数据chaddr字段和二层包头的IP地址是否一致
DOS攻击：不停的请求DHCP，占用服务器资源
解决：降低流速

DHCP Snooping
在局域网内，经常使用DHCP服务器为用户分配IP地址，由于DHCP服务器和客户端之间没有认证机制，网络攻击的另一种办法是伪装有效DHCP服务器发出的响应。在DHCP工作原理中，客户端以广播的方法来寻找服务器，并且只采用第一个到达的网络配置参数，所以如果在网络中存在多台DHCP服务器(有一台或更多台是非授权的)，谁先应答，客户端就采用其提供给的网络配置参数。假如非授权的DHCP服务器先应答，这样客户端获得的网络参数即是非授权的，客户端可能获取不正确的IP地址、网关和DNS等信息。在实际攻击中，攻击者还很可能恶意从授权的DHCP服务器上反复申请IP地址，导致授权的DHCP服务器消耗了全部地址，出现DHCP饥饿。
通常DHCP服务器通过检查客户端发送的DHCP请求报文中的CHADDR(也就是Client MAC Address)字段来判断客户端的MAC地址。正常情况下该CHADDR字段和发送请求报文的客户端真实的源MAC地址是相同的。入侵者可以利用伪造源MAC的方式发送DHCP请求，但这种攻击可以使用Cisco交换机的端口安全特性来防止。但是如果入侵者不修改DHCP请求报文的源MAC地址，而是修改DHCP报文中的CHADDR字段来实施攻击，那端口安全就不起作用了。由于DHCP服务器认为不同的CHADDR值表示请求来自不同的客户端，所以入侵者可以通过大量发送伪造CHADDR值的DHCP请求，导致DHCP服务器上的地址池被耗尽，从而无法为其他正常用户提供网络地址，这是一种DHCP耗竭攻击。DHCP耗竭攻击可以是纯粹的DOS攻击，也可以与伪造的DHCP服务器配合使用。当与伪造的DHCP服务器配合使用时，入侵者就可以伪装成DHCP服务器响应客户端DHCP请求，DHCP欺骗设备将入侵者指定为默认网关或默认域名服务器(DNS)服务器。如果指定为网关，客户机将把数据包转发给攻击设备，而攻击设备则接着将数据包发送到所要的目的地,这称为中间人攻击，可能完全无法被察觉。即使DHCP请求报文的源MAC地址和CHADDR字段都是正确的，但由于DHCP请求报文是广播报文，如果大量发送的话也会耗尽网络带宽，形成另一种拒绝服务攻击。
可以在交换机上配置DHCP Snooping防止攻击，DHCP Snooping的基本原理是交换机监听DHCP数据帧，对于不信任的接口将拒绝接收DHCP Offer包(DHCP服务器的响应包，而DHCP客户只会发送特定类型的DHCP包。

MSW1(config)#ip dhcp snooping
MSW1(config)#ip dhcp snooping vlan 1  //检查所有接口，不能发送DHCP相应包，若发送则拒绝
MSW1(config)#int e 0/0
MSW1(config-if)#ip dhcp snooping trust   //设置信任接口口
MSW1(config-if)#ip dhcp snooping limit rate 100　//设定端口一秒钟只能发送100个包
MSW1(config-if)#exit
MSW1(config)#int e 0/1
MSW1(config-if)#ip dhcp snooping untrust　//设置非信任接口

Option82：
它被称为DHCP Relay Agent Information Option(DHCP中继代理信息选项)。当DHCP服务器和客户端不在同一个子网内时，客户端要想从DHCP服务器上分配到IP地址，就必须由DHCP中继代理(DHCP Relay Agent)来转发DHCP请求包。DHCP中继代理将客户端的DHCP报文转发到DHCP服务器之前，可以插入一些选项信息，以便DHCP服务器能更精确的得知客户端的信息，从而能更灵活地按相应的策略分配IP地址和其他参数。DHCP中继代理(Option 82、DHCP Snooping)和DHCP Server之间的关系：1.交换机开启了DHCP Snooping功能后，默认情况下，将对从非信任端口收到的DHCP请求报文插入选项82字段，但插入的内容是0；中继接口使用并插入内容。
三种情况
1）当一台交换机接了主机和DHCP服务器
2）两台交换机一台接了服务器，一台接了主机
3）三层交换机一个三层口接了服务器，一个接了主机，中间开启了中继功能
可以在SW2上配置“ip dhcp snooping information allow-untrusted”全局命令，将不丢弃该报文；可以在SW2的Untrusted接口配置“ip dhcp snooping trust”接口命令，这样SW2就能接收带有Option 82的DHCP请求报文了，但是不建议这样做，因为这样将不建立该接口的DHCP监听绑定表，会降低安全性。
DHCP Srver和DHCP Client在同一个子网的情况下，交换机会把Option 82的值填为0(即0.0.0.0)。
以Windows Server 2003为DHCP的服务器不认为Option 82的值为0的DHCP请求报文是错误的；
以Cisco IOS为DHCP的服务器默认时会认为Option 82的值为0的DHCP请求报文是错误的，它将丢弃这个报文。

ARP

ARP欺骗：由于ARP无任何身份真实校验机制，攻击者发送误导的主动式ARP使网络流量经过恶意攻击者的计算机，攻击者就成为了通信双方的中间人，达到窃取甚至篡改数据的目的。攻击者发送的主动模式ARP采用发送方私有MAC地址而非广播地址，通信接收方根本不会知道自己的IP地址被取代

开启接口转发

防御：开启DAI
IP地址欺骗：攻击者伪装其他主机或者服务器的Ip发送数据包
解决：802.1x和A（认证）A（授权）A（统计）服务器

MSW1(config)#int e 0/0
MSW1(config-if)#ip verify source port-security　　//接口启用IPSG
MSW1#show ip source binding interface e 0/0
MacAddress          IpAddress        Lease(sec)  Type           VLAN  Interface
------------------  ---------------  ----------  -------------  ----  --------------------
Total number of bindings: 0

端口阻塞：当分组到达交换机时，交换机在MAC地址表中执行目的地MAC地址查询，确定用哪个端口发出和转发分组。如果在MAC地址表中没有发现条目，则交换机将向相同VLAN(广播域)中的所有端口广播(范洪)未知单播或组播流量。给受保护端口转发未知单播或组播流量，这将可能出现安全问题。使用端口阻塞特性可以阻塞正在转发的未知单播或多播流量。

SW1(config)#int f0/0
SW1(config-if)#switchport block multicast
SW1(config-if)#switchport block unicast
SW1#show int f0/0 switchport