HCIE（002）

最新推荐文章于 2024-10-15 21:07:33 发布
最新推荐文章于 2024-10-15 21:07:33 发布
阅读量654 收藏
点赞数 2
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44642263/article/details/112600123
版权

LAN
MAC地址表
交换机和HUB的区别
HUB是一层设备物理层
交换机是数据链路层设备
世界上第一台交换机是华为（运营商市场）和3com（华三（企业级市场，被惠普收购之后被国家收购），美国和华为集资成立）整的
第一台路由器是出自思科

HUB核心思想—— 接口共享总线，CSMA/CD避免冲突（复习去!）

交换机每个接口
都是独立的冲突域，不共享总线，内部有备板，备板上接口与接口之间有逻辑隔离物理相接，内存内存调渡（依托MAC地址表）区分。
家用低端交换机还是这种
桥技术——软件技术
最开始的靠内存调渡的

无线网卡和有线网卡是可以桥接的
桥接之前分开隔离，桥接完，内存上可以调渡两个接口之间的数据
内存式=网桥
比较慢，内存涉及CPU，内存和CPU是中断机制比较慢，接口调渡和依赖总线，总线会成为数据的瓶颈，注定大不了

现在交换机的物理功能是矩阵
在这里插入图片描述

交叉点是开关（多项开关）
完成独立功能，开关控制有矩阵算法（专用芯片控制）
矩阵式
路由器也是矩阵式，牵扯换封装
造价不同
交换机接口多

核心交换功能都是矩阵

各大厂商算法基本相似

矩阵算法用到CAM芯片（存储芯片，很厉害，几千条数据，找数据非常快，比毫秒级别快，不管一次性找多大数据1毫秒找出来，和内存一样可以存储数据，查找极快）
交换机由此可以快速转发
矩阵算法和CAM芯片组合交换机转发极快
MAC地址表要同步CAM表，实际查的是CAM表

博通（新加坡，以前提供芯片的厂商，提出过收购高通）华为和华三用 都是这
判别交换机，厂商软件，用什么芯片
物理构造的主要区别

MAC本质上是查不到的

控制和转发是两面

控制面是MAC地址表
转发是CAM表只牵扯如何MAC表同步问题，同步机制构成技术差异
路由器为什么慢，交换机为什么快，三层交换机又是怎么回事

MAC地址表的组成(1)
。动态表项

。由接口通过报文中的源MAC地址学习获得，表项可老化，默认老化时间300秒。（数据不再查找的时候会老化）
。在系统复位（重启断电）、接口板热插拔或接口板复位后，动态表项会丢失。
生成树的TC报文，初始化也会让表立即老化
配置BPDU保护的原因
。静态表项——不会老化
。由用户手工配置，并下发到各接口板，表项不可老化。
。在系统复位、接口板热插拔或接口板复位后，保存的表项不会丢失。
。黑洞表项
由用户手工配置，并下发到各接口板，表项不可老化。
。配置黑洞MAC地址后，源MAC地址或目的MAC地址是该MAC的报文将会被丢弃。（同空接口一个概念）

一个接口下可以绑定多个MAC地址

一个MAC地址只能绑定一个接口，但是可以漂移，转换到另一个接口
在这里插入图片描述

MAC地址漂移，自己看
如果大规模漂移就是有环路
在这里插入图片描述

A在接口上来回移动
数据上沾满带宽
控制层芯片反复擦写，影响芯片寿命
搞生成树

搞端口安全

网络中会出现
想捉AB的包
在这里插入图片描述

窥探到AB的包——劫持ARP劫持是攻击AB电脑/攻击交换机，发送大量垃圾源MAC，交换机会学习，MAC表会满，AB进不了交换机，当一个目标在MAC里查不到会洪泛，叫未知单播帧洪泛
C可以监听AB数据包

中间人攻击，C伪造A/B发数据帧，会发生MAC地址表漂移，C洪泛，AB就可以收到了
针对交换机的攻击

端口安全
端口安全( Port Security )通过将接口学习到的动态MAC地址转换为安全MAC地址(包括安全动态MAC、安全静态MAC和Sticky MAC)，阻止非法用户通过本接口和交换机通信，从而增强设备的安全性。
。安全MAC地址分类
。安全动态MAC地址
。使能端口安全而未使能Sticky MAC功能时转换的MAC地址。
。安全静态MAC地址
。使能端口安全时手工配置的静态MAC地址。.
Sticky MAC地址（粘滞）
·使能端口安全后又同时使能Sticky MAC功能后转换到的MAC地址。

做信用绑定，端口和MAC地址进行捆绑，知道绑具体，不知道可以限制接口的数量

惩罚措施，检测到别的MAC会把端口干掉

端口安全使能 的时候MAC也会被清空

●
接口使能端口安全功能时,接口.上之前学习到的动态MAC地址表项将被删除,之后学习到的MAC
地址将变为安全动态MAC地址。
●接口使能Sticky MAC功能时,接口上的安全动态MAC地址表项将转化为Sticky MAC地址,之后
学习到的MAC地址也变为Sticky MAC地址。
●接口去使能端口安全功能时,接口.上的安全动态MAC地址将被删除,重新学习动态MAC地址。
●接口去使能Sticky MAC功能时,接口.上的Sticky MAC地址,会转换为安全动态MAC地址。
在这里插入图片描述
粘滞之后不会老化——也可以设置数量
粘滞还会静态很像，但是不用手动写

在这里插入图片描述

二三层一般不启用校验

[SW1]int g0/0/2
[SW1-GigabitEthernet0/0/2]port-security enable //使能端口安全功能

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述这是MAC表， 如表所示，有一个security的类型

接下来触发报警
在这里插入图片描述
加一个PC（security默认是一个）

在这里插入图片描述在这里插入图片描述
不通且报警，接口状态是UP，所以惩罚措施默认是过滤
在这里插入图片描述在这里插入图片描述

[SW1]int g0/0/2
[SW1-GigabitEthernet0/0/2]port-security  protect-action ?
  protect   Discard packets
  restrict  Discard packets and warning
  shutdown  Shutdown 

[SW1-GigabitEthernet0/0/2]port-security  protect-action shutdown

在这里插入图片描述PC3 ping PC1链路接口就已经关掉了，因为包是洪泛的，触发了接口的惩罚机制。
解除惩罚：

[SW1-GigabitEthernet0/0/2]undo shutdown 
[SW1-GigabitEthernet0/0/2]
Jan 14 2021 20:44:34-08:00 SW1 %%01PHY/1/PHY(l)[4]:    GigabitEthernet0/0/2: cha
nge status to up
//直接打开即可

在这里插入图片描述因为刚才的关闭接口的表项被清空，
正面验证了没有开粘滞会老化清空表项

[SW1-GigabitEthernet0/0/1]int g0/0/2
[SW1-GigabitEthernet0/0/2]port-security ?
  aging-time      Aging time
  enable          Enable port security
  mac-address     Mac address
  max-mac-num     Maximum mac address can learn
  protect-action  Action if beyond the limit

[SW1-GigabitEthernet0/0/2]port-security mac-address ?
  sticky  Sticky-mac

[SW1-GigabitEthernet0/0/2]port-security mac-address sticky

在这里插入图片描述再触发一下（到这里的问题是，PC1ping不通PC2，但是PC2可以到PC1）
在这里插入图片描述
记录还在，不会消失
粘滞比静态高级一点不用自己敲，看自己需求。
说明∶
。接口使能Sticky MAC功能，安全动态MAC地址表项将转化为Sticky MAC地址，之后学习到的MAC地址也变为Sticky MAC地址。
。接口使能Sticky MAC功能，即使配置了port-security aging-time，Sticky MAC也不会被老化。
。Sticky MAC地址表项，保存后重启设备不丢弃。端口安全的保护动作∶
Restrict:丢弃源MAC地址不存在的报文并上报告警。推荐使用restrict动作。
Protect:只丢弃源MAC地址不存在的报文，不上报告警。
Shutdown :接口状态被置为error-down,(相当于关闭，解除状态undo shutdown)并上报告警。
在这里插入图片描述如图所示，MAC地址为0011-0022-0034的表项，出接口由GE1/0/1刷新为GE1/0/2，这就是MAC地址漂移。设备出现MAC地址漂移时，设备CPU占用率会有不同程度的升高。正常情况下，网络中不会在短时间内出现大量MAC地址漂移的情况。出现这种现象一般都意味着网络中存在环路,，可以通过查看告警信息和漂移记录,快速定位和排除环路。
网络中产生环路或非法用户进行网络攻击都会造成MAC地址发生漂移，导致MAC地址不稳定。在规划网络时，可以通过下面两种方式来避免这种情况:
提高接口MAC地址学习优先级。当不同接口学到相同的MAC地址表项时，高优先级接口学到的MAC地址表项可以覆盖低优先级接口学到的MAC地址表项，防止MAC地址在接口间发生漂移。
不允许相同优先级的接口发生MAC地址表项覆盖。当伪造网络设备所连接口的优先级与安全的网络设备相同时，后学习到的伪造网络设备的MAC地址表项不会覆盖之前正确的表项。但如果网络设备下电，仍会学习到伪造网络设备的MAC地址，当网络设备再次上电时将无法学习到正确的MAC地址。

中间人攻击也会产生漂移，C把源MAC写成B的会把B的表项覆盖。如果发现交换机有频繁的漂移要注意检查。
在这里插入图片描述配置MAC地址漂移检测功能后，在发生MAC地址漂移时，可以上报包括MAC地址、VLAN，以及跳变的接口等信息的告警。其中跳变的接口即为可能出现环路的接口。网络管理员可以根据告警信息，手工排查网络中环路的源头，也可以使用MAC漂移检测提供的后续动作，使跳变的端口down或者VLAN从端口中退出，实现自动破环。
如图所示网络中，若SwitchC和SwitchD之间误接网线，则SwitchB、SwitchC、SwitchD之间形成环路。当SwitchA上Port1接口从网络中收到一个广播报文后转发给SwitchB，该报文经过环路，会被SwitchA上Port2接口收到。配置MAC地址漂移检测功能，SwitchA就会感知到MAC地址出接口跳变的现象。若连续出现此现象，SwitchA就会上报MAC漂移告警，提醒管理员进行维护。

在这里插入图片描述●接口配置不同的MAC地址学习优先级后,如果不同接口学到相同的MAC地址表项,那么高优先级接口学到的MAC地址表项可以覆盖低优先级接口学到的MAC地址表项,防止MAC地址发生漂移。
●配置不允许相同优先级的接口发生MAC地址表项覆盖,也可以防止MAC地址漂移,提高网络的安全性。
配优先级的，一般是配服务器这样的重要的设备。

优先级高的好处是别人抢不走
在这里插入图片描述
原情况下，C只要伪造一个源为A的数据帧就可以把MAC地址抢过来，但是A把优先级设为大于0，C就抢不过来了。
ie中着重强调MAC地址的安全功能。
如何攻击？
洪泛（伪造不存在的MAC，塞爆MAC表）和中间人（伪造现存MAC）思路都是伪造MAC。
这两种攻击都可以用端口安全防止。

环路和攻击导致漂移，通过以上阻止漂移/检测漂移。
在这里插入图片描述●免费ARP有如下作用:
IP地址冲突检测:当设备接口的协议状态变为Up时,设备主动对外发送免费ARP报文。正常情况下不会收到ARP应答,如果收到,则表明本网络中存在与自身IP地址重复的地址。如果检测到IP地址冲突,设备会周期性的广播发送免费ARP应答报文,直到冲突解除。
用于通告一个新的MAC地址:发送方更换了网卡, MAC地址变化了,为了能够在动态ARP表项老化前通告网络中其他设备,发送方可以发送一个免费ARP。
在VRRP备 份组中用来通告主备发生变换:发生主备变换后, MASTER设备会广播发送一个免费ARP报文来通告发生了主备变换。

ARP安全问题补充：
比MAC安全更严重。
ARP攻击比较多
什么情况下可以做攻击？
在这里插入图片描述
C要监听AB的通信，C发ARP请求，我是10.1.1.1 MAC地址是C。 会导致B的ARP表发生变化（ARP表越新越优），把10.1.1.1的MAC记录记成C。同理，C伪装成B，C把网卡设置为转发，不设——丢弃，设了会接收帧目标MAC不是自己的数据并查路由表转发。——ARP毒化攻击（工具netwox_kali里面下一个，特点是可以伪造各种各样的包）
端口安全不能防御——端口安全防御的是源MAC（自己发出的包不是自己的MAC）
这种攻击只能打开ARP包去做校验，才能采取防御措施。
交换机上配的防御工具是dynamic arp inspection,简称DAI技术，可以在交换机上开，会检测ARP包（需要参照物），前提是有一个信任表（手动建立/借用DHCP snooping 绑定表）。首先默认所有接口都是不信任接口，所以发出来的arp包都要接收检测匹配，不一样会惩罚接口，要求交换机拆ARP包（二层封装，arp包专门是一个类型）
拆多了对交换机性能有影响
在这里插入图片描述
在这里插入图片描述
●
当Router.上部署动态ARP检测功能后，如果攻击者连接到Rquter并试图发送伪造的ARP报文，Router 会根据绑定表检测到这种攻击行为，对该ARP报文进行丢弃处理。如果Router.上同时使能了动态ARP检测丢弃报文告警功能，则当ARP报文因不匹配绑定表而被丢弃的数量超过了告警阈值时，Router会发出告警通知管理员。
●需要注意的是，动态ARP检测功能仅适用于DHCPSnooping场景。设备使能DHCPSnooping功能后，当DHCP用户 上线时，设备会自动生成DHCP Snooping绑定表;对于静态配置IP地址的用户，设备不会生成DHCP Snooping绑定表，所以需要手动添加静态绑定表。
●配置举例:

<Huawei> system-view
[Huawei] wlan ac

[Huawei-wlan-view] service-set name test
[Huawei-wlan-service-set-test] dai enable//无线设备

[SW1]int g0/0/2
[SW1-GigabitEthernet0/0/2]arp anti-attack  check user-bind enable 
[SW1]vlan 2
[SW1-vlan2]arp anti-attack check user-bind enable 

配置动态ARP检测（DAI）

使能接口GE0/0/1下的动态ARP检测功能。
<HUAWEI> system-view
[HUAWEI] interface gigabitethernet 1/0/1
[HUAWEI-GigabitEthernet1/0/1] arp anti-attack check user-bind enable  //可以在接口视图或者VLAN视图下配置，请根据需要选择

user-bind static ip-address 10.1.1.2 mac-address 5489-98da-0c75 interface Gigabi
tEthernet0/0/1 vlan 1   //手动设置绑定表


dhcp enable  //开启dhcp
dhcp snooping enable  //开启dhcp snooping
dhcp snooping enable vlan X  //设置dhcp snooping 的启用vlan 
int g0/0/1
dhcp snooping trust   //设置信任接口
dhcp snooping check dhcp-chaddr enable vlan 1  //开启chaddr检查（该值与二层帧的smac是否相同）

dhcp snooping会产生一个接口 mac ip vlan 的绑定表  该表可以被DAI使用
dhcp snooping user-bind autosave flash:/dhcpsnooping.tbl  //自动保存该表到flash

802.1X

在这里插入图片描述
上午的总结。

MAC地址飘移查看及解决方法 一般是网络中存在环路
weixin_34174422的博客
02-16 1万+
一、 现象：MAC地址飘移关于mac地址飘移，在网上查找并总结后，归纳可能为以下七种情况：1、可能存在环路；2、可能VRRP、HSRP等协议不正常引起。比如设备主备频繁切换，导致交换机学习同一mac地址飘移；3、可能至少两台终端MAC地址相同，这样的情况不影响其他用户端；4、是用户端换了网线，而两个网线接口不在同一台交换机上，mac会记忆一段时间，之后一切恢复正...
交换机与路由器
mfrc531的专栏
07-05 692
在osi七层模型上来分析，交换机在第二层工作，路由器在第三层上工作。但是随着技术的发展，一些交换机集成了一些第三层的路由功能，被称为第三层交换机。（1）工作层次不同。最初的的交换机是工作在OSI／RM开放体系结构的数据链路层，也就是第二层，而路由器一开始就设计工作在OSI模型的网络层。由于交换机工作在OSI的第二层（数据链路层），所以它的工作原理比较简单，而路由器工作在OSI的第三层（网络层）
HCIP--以太网交换安全（三）&MAC地址漂移防止与检测
2401_83878929的博客
10-11 1172
MAC地址漂移防止与检测
HUB（集线器）和交换机（Switch）
庐陵居士
08-06 1036
总结：HUB可以实现连接的设备之间共享通信信息，而交换机只能与目标设备共享通信信息，而以广播的形式与其他设备通信。5号设备要与6号设备通信，7和8只能收到5号发出的广播信息，而不能收到单独发给6号的信息。比如这里有1,2,3,4号设备接入了HUB，有5,6,7,8号设备接入了交换机。1号设备要与2号设备通信，3和4都能收到二者的通信信息。
HUB,交换机，路由器 IP地址的一些基础知识
夏炎正好眠
12-02 900
之后，再看目标MAC地址，根据目标MAC地址查看本地的MAC地址表，如果MAC地址表中存在记录，则直接按照记录从对应接口发出，实现单播。--- 数据来到交换机，交换机会先看数据中的源MAC地址，之后，将源MAC地址和进入接口的对应关系记录在本地的。---ipv6---128位二进制构成---冒分十六进制。MAC地址---芯片出厂时，厂家烧录进去的一个编号。ip---互联网协议---ipv4---32位二进制构成---43亿。---1.全球唯一；十进制---二进制---凑。二进制---十进制---加。
华为HCIE-Big Data培训视频教程【共35集】.rar
09-30
002 Fusion Insight HD解决方案介绍-李申浩 003 HDFS技术原理01-李申浩 004 HDFS技术原理02-李申浩 005 大数据平台架构和集成设计-王艳芝 006 HDFS技术原理01-王艳芝 007 HDFS技术原理02-王艳芝 008 MapReduce...
华为HCIE-RS新版论述题库.rar
10-30
目录 HCE诊断拓扑 AC考试题含题目 1taC1、AR29的 loopback0无法访问AR28的 loopback0(HCE3.0新增tac)xt 2taC2、AR29的 loopback0无法访问AR33的 loopback0.tt 3tac3、AR32的 loopback0无法访问AR28的 loopback0.tt...
HCIE网络视频课程.zip
最新发布
05-07
001-HCIE课程介绍_.mp4 002-以太网安全_.mp4 003-MAC地址表安全_.mp4 004-MAC(Kali-macof)_.mp4 005-端口安全(Port-Security) .mp4 006-MAC地址漂移.mp4 007-MACsec.mp4 008-流量抑制.mp4 009-风暴控制.mp4 010-ICMP...
HCIE 3.0 TAC拓扑+预配+解法模板+标准答案（2021年）.rar
05-03
1、AR29的loopback0无法访问AR28的loopback0（HCIE3.0新增tac） 2、AR29的loopback0无法访问AR33的loopback0 3、AR32的loopback0无法访问AR28的loopback0 4、AR32无法访问ISIS所有路由（暂时没考，不要关注） 5-1-R...
华为HCIE-Security学习备考资料汇总集
04-07
思科 华三 华为 初中高级教材
MAC地址漂移实验
zhgjx_ywz的博客
10-15 1401
交换机可以配置基于VLAN的MAC地址漂移检测功能，当检测到MAC地址发生漂移时，可以根据需求配置接口做出的动作，如发送告警、阻断接口或仅阻断MAC地址。如果是由网络攻击等其他原因引起的，则可以使用MAC地址防漂移特性，如提高接口的MAC地址学习优先级，或配置不允许相同优先级接口的MAC地址漂移。用pc1和pc2去访问服务器，可以发现MAC地址发生漂移，接口阻塞，攻击者访问服务器的接口关闭，因为原MAC地址优先级为3，不会被攻击者的伪MAC地址覆盖，可以继续访问服务器。
交换机 (switch)、路由器 (router) 和集线器 (hub) 的区别
程永强
03-20 1万+
交换机 (switch)、路由器 (router) 和集线器 (hub) 的区别 1. 交换机 (switch) 与路由器 (router) 1.1. 交换机与路由器接线示意图 路由器是交换机的上一层级。数据通过高层网络传送过来，按照 IP 地址找到所在，经过路由器解包发给交换机，交换机最终按照 MAC 地址找到设备，并把数据送达。 medium access control，MAC：介质访问控制 以太网交换机 1.2. IP 地址 路由器可以把一个 IP 分配给多个主机使用，这些主机对外只表现出一个
华为hcie认证怎么样？Mac地址漂移使用的场景
IE-lab网络实验室的博客
07-30 213
华为hcie认证怎么样？Mac地址漂移使用的场景 前面讲到mac地址漂移的内容，介绍mac地址漂移的概念。今天简单接介绍一下mac漂移的应用场景。 首先，mac地址漂移防护可以用来进行非法用户攻击的防范。例如，在以下场景中，某企业网，用户需要访问企业的服务器。而某些非法用户试图从其他接口假冒服务器的MAC地址并发送报文，则服务器的MAC地址将在其他接口学习到。这样用户发往服务器的报文就会发往非法用户，不仅会导致用户与服务器不能正常通信，还会导致一些重要用户信息被窃取。 为防止非...
集线器(hub),交换机以及路由器异同；冲突域和广播域详解
热门推荐
粥同学的学习笔记
02-28 3万+
目录 冲突域和广播域 联网中继设备 集线器（hub） 交换机(switch) 路由器(route) 三者的异同 1）工作层次不同 2）数据转发依据对象不同 3）分割冲突域，广播域 4）防火墙功能 参考文献 冲突域和广播域 在介绍这三个设备的异同之前，我们首先需要了解冲突域和广播域的概念： 什么是冲突？ 图一 我们把上图的以太网想象为走廊，各个主机想象为每...
集线器(Hub)和交换机（Switch）的区别
weixin_52428496的博客
11-24 5945
本文参考资料来源：http://network.chinabyte.com/94/12317594.shtml 以太网的集线器和交换机都是传输的枢纽。Hub 是将信号收集放大后传输给所有其它端口，即传输线路是共享的。而交换机能够选择目标端口，在很大程度上减少冲突(Collision)的发生，为通信双方提供了一条独占的线路。另外，现在的交换机大多还具有第三层(层)的路由功能。所以说，使用交换机能大大改善网络的传输性能。 下面从技术和应用两方面分析一下低端交换机(中、高端交换机用于大规模专业组网)和集线器的区别
交换机、hub和路由器的区别（转载）
bodybo的专栏
12-21 2136
 交换机和hub   Switch和Hub是有区别的，比如一个100M的Switch，对每一个连接在Switch的计算机都是100M的速度，而Hub是瓜分100M的资源。而且Hub是通过广播来通信，很占网络资源。简单说hub没有路由算法，他是简单的碰撞通信，而交换机部一样，她有自己的地址表。   打个比方一个8口hub， 当端口1上的机器要给端口8上的机器发数据，那这个数据是这样跑的：首先她在
集线器，路由器，交换机之间的区别
clubsondy的专栏
12-03 3万+
一、路由器(Router):工作在OSI第三层(网络层)上、肯有连接不同类型网络的能力并能够选择数据传送路径的网络设备。路由器有三个特征：工作在网络层上、能够连接不同类型的网络、能够选择数据传的路径。1、路由器工作在第三层上,路由器是第三层网络设备，这样说大家可能都不理解，就先说一下集线器和交换机吧。 　　集线器工作在第一层（即物理层），它没有智能处理能力，对它来说，数据只是电流而已，当一个端口的
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值