一------------MAC地址表
1----作用:
MAC表记录了相连设备的MAC地址、接口号以及所属的VLAN ID之间的对应关系。在转发数据时,
路由设备根据报文中的目的MAC地址查询MAC地址表,快速定位出接口,从而减少广播。
2----分类:
(1)-----动态表项由接口通过源MAC地址学习获得,表项有老化时间。
(2)-----静态表项由用户手工配置,并下发到各接口板,表项不老化。
(3)-----黑洞表项用于丢弃含有特定源MAC地址或目的MAC地址的数据帧,由用户手工配置,并下发到各接口板,表项不老化。
3----形成
(1)-----自动生成:
MAC表是SW通过源MAC地址学习过程而自动建立的,MAC表中自动生成的表项并非永远有效,每一条表项都有一个生存周期,到达生存周期仍得不到刷新的表项将被删除,
这个生存周期被称作老化时间(默认300S)。如果在到达生存周期前记录被刷新,则该表项的老化时间重新计算。
(2)-----手工配置:
SW通过源MAC地址学习自动建立MAC地址表时,无法区分合法用户和黑客用户的报文,带来了安全隐患。如果黑客用户将攻击报文的源MAC地址伪装成合法用户的MAC地址,并从设备的其它接口进入,设备就会学习到错误的MAC表项,于是就会将本应转发给合法用户的报文转发给黑客用户。
为了提高接口安全性,网络管理员可手工在MAC表中加入静态MAC地址表项,将用户与接口绑定,从而防止假冒身份的非法用户骗取数据。通过手工配置黑洞MAC,可以限制指定用户的流量不能从设备通过,防止非法用户的攻击。
注意:手工配置的MAC表项优先级高于自动生成的表项;且手动配置的MAC地址会随配置文件一起保存而不会老化。
4----SW基于MAC表的报文转发
(1)-----单播方式:当MAC地址表中包含与报文目的MAC地址对应的表项时,设备直接将报文从该表项中的转发出接口发送。
(2)-----广播方式:当设备收到的报文为广播报文、组播报文或MAC地址表中没有包含对应报文目的MAC地址的表项时,设备将采取广播方式将报文向除接收接口外同一VLAN(本广播域)内的所有接口转发。
二------------MAC地址表安全
1----攻击原理:
由于MAC表的容量是有限的,当黑客伪造大量源MAC地址不同的报文并发送到设备后,设备上的MAC地址表项资源可能会被耗尽。此时即使它收到正常的报文,也无法学习到报文中的源MAC地址。
2----防御措施:
对MAC地址学习进行限制
(1)-----基于VLAN或接口关闭学习MAC能力
关闭学习MAC能力后,则接口将不再自动学习到新的动态MAC表项,之前学习到的动态表项可以等待老化。
[SW-1]vlan 1
[SW-1-vlan1]mac-address learning disable---------------关闭本vlan 1的mac地址动态学习功能
[SW-1]int G0/0/2
[SW-1-GigabitEthernet0/0/2]mac-address learning disable----关闭本接口的MAC地址学习功能
(2)-----基于VLAN或接口进行MAC地址数限制
VLAN或接口学习动态MAC表项的最大数目。当VLAN或接口学习到的MAC表项达到最大数目,则该VLAN或接口将不能再学习新的MAC表项,直到它以前学习到的MAC表项老化。
[SW-1]
[SW-1]vlan 1
[SW-1-vlan1]mac-limit maximum 1-------------------对本vlan 1的mac地址最大学习数量为1,超过的不再学校(默认学习数量)
[SW-1-vlan1]
[SW-1-vlan1]mac-limit maximum 1 alarm enable----限制本vlan 1mac地址最大学习数量为1,超过触发告警信息
[SW-1-vlan1]
[SW-1-GigabitEthernet0/0/1]mac-address learning disable action
discard----------------------对数据执行丢弃动作
forward Forward packets--对超过本接口数量的源mac地址执行转发动作
(3)-----手动配置MAC地址
[SW-1]mac-address static aaaa-bbbb-cccc G0/0/1 vlan 1---------------静态配置vlan 1所属的mac地址为aaaa-bbbb-cccc从G0/0/1口学习获得
[SW-2]mac-address blackhole aaaa-bbbb-cccc vlan 1 ------------------配置在vlan 1去往此地址的数据发往“黑洞”等同丢弃,对付发起攻击者的源数据
[SW-2]mac-address aging-time 300--------------------------------------修改本设备的动态MAC地址老化时间为300S(默认300S,修改范围10--100000S)
三------------MAC地址漂移
1----什么是MAC地址漂移:
SW上一个接口学习到的MAC地址在同一VLAN中另一个接口上也学习到,后学习到的MAC地址表项覆盖原来的表项。
正常情况下,网络中不会在短时间内出现大量MAC地址漂移的情况。出现这种现象一般都意味着网络中出现环路,形成广播风暴。处于风暴影响中的每个交换机节点都有MAC地址漂移的现象。因此,可以利用该现象来监控网络中是否成环。
2----出现原因:
(1)-----网络中出现环路(二层环路),形成广播风暴了。
(2)-----有攻击者仿造了这个重复的MAC地址
3----针对MAC地址漂移措施:
(1)-----提高接口MAC地址学习优先级
当不同接口学到相同的MAC地址表项时,高优先级接口学到的MAC地址表项可以覆盖低优先级接口学到的MAC地址表项,
低优先级的不能覆盖高优先级已经存在的MAC地址;防止MAC地址在接口间发生漂移
[SW-1]int G0/0/1
[SW-1-GigabitEthernet0/0/1]mac-learning priority 1---------------修改本接口的MAC优先级 (默认优先级为0,越大越优先,修改范围为0-3)
[SW-1-GigabitEthernet0/0/1]
(2)-----不允许相同优先级的接口发生MAC地址表项覆盖。
当伪造网络设备所连接口的优先级与安全的网络设备相同时,后学习到的伪造网络设备的MAC地址表项不会覆盖之前正确的表项。
(注意:但如果网络设备下电,此时会学习到伪造网络设备的MAC地址,当网络设备再次上电时将无法学习到正确的MAC地址。)
[SW-1]int G0/0/1
[SW-1-GigabitEthernet0/0/1]undo mac-learning priority 1 allow-flapping-----关闭本接口优先级一致情况覆盖地址功能。
3----MAC地址漂移检测
MAC地址漂移检测是交换机对MAC地址漂移现象进行检测的功能。MAC地址漂移检测是利用MAC地址学习时端口跳变实现的,因此能提供的信息与MAC地址学习相关,
包括MAC地址、VLAN,以及跳变的端口等诊断信息。其中跳变的端口即为可能出现环路的端口。网络管理员根据网络中每台设备上出现的跳变端口,以及网络拓扑,判断环路的源头。
(1)-----基于vlan的MAC地址漂移检测
(2)-----基于全局的MAC地址漂移检测
[SW-2]
[SW-2]mac-address flapping detection--------------------------开启本SW对MAC地址漂移的检测功能
[SW-2]mac-address flapping aging-time 60---------------------配置漂移mac地址表老化时间为60S
[SW-2]erromacr-down auto-recovery cause mac-address-flapping interval 30----配置因为mac地址漂移而导致接口关闭后自动恢复时间为30S
[SW-2]int G0/0/1
[SW-2-GigabitEthernet0/0/1]mac-address flapping trigger error-down---如果本接口出现MAC地址漂移现象,则关闭置位因为错误原因关闭
[SW-2-GigabitEthernet0/0/1]
[SW-2-GigabitEthernet0/0/1]mac-address flapping trigger quit-vlan------如果本接口出现mac地址漂移,则将本接口退出先有vlan
[SW-2]dis display mac-address flapping recor--------------------查看出现mac地址漂移现象的mac地址和接口,开始时间,触发动作时间
[SW-1]mac-address update arp ---------------------------------mac更新地址表触发arp更新
1-----匹配目的是否和我同网段 -----------》不存在----------发送ARP广播包寻求目的MAC
-------------》网关MAC存在------封装转发
-------------不同网段--------》准备封装网关MAC查询ARP表
--------------》网关MAC不存在--------发送ARP广播包寻求网关MAC
---------------------------------------------》如果没有GW地址,不发送数据
IP------192.168.1.100
访问----x.x.x.x
2---交换机转发数据的三种方法
1----------集中式 转发
2----------分布式转发
主控模块
主控模块主要完成如下功能:
处理各种协议。
作为用户操作的代理,根据用户的操作指令来管理系统、监视性能,并向用户反馈设备运行情况。
对SCU上的交换模块、接口模块进行监控和维护。
交换模块
交换模块(也称为交换网)负责SCU上接口模块间报文的交换、组播复制、QoS调度、访问控制等功能。
交换模块采用高性能芯片,支持全线速转发,提供快速、多优先级的数据交换。
接口模块
接口模块提供多个以太网接口,负责接入以太网业务。
SCU--Switch Control Unit交换主控单元
SCU提供报文交换和设备管理功能,集成了主控模块、交换模块和接口模块,是多个功能模块的集合体。
MPU--Main Processing Unit主要处理单元---主控板卡(路由)
SRU是交换路由板(相当于MPU主控板集成了交换模块)
SFU----交换网单元---转发板卡
LPU----接口板卡