交换安全 STP生成树

交换安全----局域网安全
主要攻击手段：
1）MAC洪范攻击----攻击者通过不断发送合法的MAC地址，致使二层交换机的MAC表满溢，使本应单播的流量洪范，这样攻击者就可以得到想要窃取的内容
2）中间人攻击----将其他接口连接的主机MAC地址通过另一个接口发给交换机，毒化MAC表，使交换机错误的转发数据，从而窃取数据
3）MAC地址漂移----指一个MAC地址有两个出接口，后学习到的接口会覆盖原有的出接口，使MAC地址表象的出接口发生了变更

**

端口安全

**

维护一个合法的端口与MAC对应关系，通过关闭不使用的接口、设置最大记录mac地址数量、静态绑定mac地址方式来防御攻击

第5行命令默认只能绑定一个MAC-----switchport port-security
第6行命令表示绑定第一个通过接口的源MAC----switchport port-security maximum 1
如果不符合实际情况，第7行命令表明惩罚措施----switchport port-security violation shutdown
第8行命令表示绑定用户想要绑定的MAC—switchport port-security mac-address 00d0.bab2.2611

惩罚机制：
1.protect：当新计算接入时，如果该端口的mac条目超过最大数量，则这个新的计算机将无法接入，而原有的计算机不受影响，交换机也不发送警告信息；
2.restrict：当新计算接入时，如果该端口的mac条目超过最大数量，则这个新的计算机将无法接入，并且交换机将发送警告信息，警告频率过大时会影响交换机的性能；
3.shutdown：当新计算接入时，如果该端口的mac条目超过最大数量，则该端口将会被关闭，则这个新的计算机和原有的计算机都无法接入网络，这时需要接入原有的计算机并在交换机中的该接口下使用shutdown和 no shutdown命令重新打开端口。
被惩罚的接口show inter x/x 状态呈现errdisable
errdisable recovery cause psecure-violation ///允许交换机自动恢复因端口安全而关闭的端口
errdisable recovery interval 60 ///配置交换机60s后自动恢复端口

粘滞安全mac地址
静态安全MAC地址可以使交换机的接口（f0/1）只能接入某一固定的计算机，然而需要使用switchport portsecurity mac-address 00d0.bab2.2611命令，这样就需要一一查出计算机的mac地址，这是一个工作量巨大的工作，粘滞安全MAC地址可以解决这个问题。

Switchport protected 端口隔离：将本接口从本交换机中隔开，使本端口与其他端口通过二层协议无法通信，只能与网关通信（在公共场所的共用网络基本都要做）
VLAN隔离的本质是切割VLAN看表，将接口划入VLAN后该接口只能查本VLAN的接口看表，查不到其他接口的看表，此时本接口就被独立出来࿰