|
基于TCP/IP参考模型的通信数据封装,层与层之间有着密不可分的关系,如果没有底层为高层应用提供服务,那么高层服务也就无法成功实现对于网络安全来讲这个道理同样适用,如果最底层的安全都没有做到,更何谈高层安全槿理层安全要保证设备实体不能遭到近距离的非法访问或破坏设备供电系统安全槿理线路安全等在最基本的物理安全上得到保证后,我们今天说下二层交换安全[数据链路层]这里我们以CISCO对交换所赋予的安全特性做论述寿/p] MAC泛洪攻击 交换机对报文进行二层识别转发并记录其源MAC地址到CAM表但是CAM表只能记录特定个数的MAC 地址,当MAC地址数超个这个限制,交换机将不能在继续学习到新的MAC,除非某些条目老化并在CAM表中消失叿CAM表满载的时候,交换机对于所有未知单播组播翿播包,交换机都将进行泛洪,发送到所有的接口寿/p] CISCO的端口安全技术之port-security不但可以限制接口可以学习的MAC地址数,还可以使用粘性学习[Sticky]技术或手工绑定接口对应的MAC,以此用来增强端口安全,当触发了端口安全内容,将进行相应的动作寿/p] 配置命令 wildlee(config-if)#Switchport port-security 启用端口安全 wildlee(config-if)#Switchport port-security maximum value 设置该接口上允许接入的最大MAC地址数量,默认为1 wildlee(config-if)#Switchport port-security violation {protect|restrict|shutdown} 当未经允许的MAC通过接口,此接口的行为动作 wildlee(config-if)#Switchport port-security mac-address mac_address 手工指定该接口上允许通过的MAC地址 wildlee(config-if)#Switchport port-security mac-address sticky 启用端口粘性MAC地址学习 wildlee(config-if)#Switchport port-security [aging time aging_time | type {absolute | inactivity} 设置接口对MAC老化时间与动作
二层风暴控制 在网络中每个与交换相连接的终端设备其都有的固定的带宽,连接到交换机上的任何一个终端都可以有意或无意的向其它终端或交换机发起攻击叿_个终端PC向交换机发起大量已知单播未知单播组播翿播流量之时,交换机就得被动进行目标MAC单发或泛洪式转发,这无非是占用了其它终端设备的下行带宽,当这份数据对目标设备没有任何意义且该流量占用了整个设备的下行带宽之时,这无非是一种攻击[流量式攻击],这种情况下会直接造成接收此流量目标设备对外通信失败,同时网络也会受到影响另一种情况将小包[64字节]以高转发率发送,同等条件下高速率的小包处理会使交换机花费更多的交换机资源[CPU周期]擿譫攻击直接影响交换机转发性能,更严重的后果就是交换机DOWN机寿/p] cisco风暴控制技术storm-control,Strom-control技术可以限制带宽的使用也可以限制接口发包转发率叿偟制的内容高于某个阀值时,将相应的接口进行阻塞,只能当限制的接口其限制内容只有低于某个值的时候将恢复端口转发寿/p] 配置命令 wildlee(config)#storm-control {broadcast|multicast|unicast} level {level[level-low] bps bps [bps-low] | pps pps [pps-low]} wildlee(config)#storm-control action {shutdown | trap} 一种流量控制技术[暂停帧] wildlee(config)#Flowcontrlo {send |receive} {on | off |desired}
端口隔离技术 在传统情况下,属于同一个局域网或VLAN的两个主机在二层上是无法拒绝他们之前通信的,随着安全规则越来越细化,VLAN技术缺点被暴露出来苿鱙我们要建立多个主机隔离区域,就不得不为此主机区域在创建一个VLAN哪怕只有一个主机,还得为此VLAN在分配一个新的IP地址段并为此VLAN建立网关这种情况下将造成VLAN数目扩大叿吀倀计算复杂IP地址紧张等后果僿嘀LAN技术的诞生可以使同一个VLAN下的两台主机拥有相同的网关与IP地址段,但无法彼此通信,从而满足安全要求今天我们说的主角Protected技术也是一种端口隔离技术,可以实现与PVLAN相同的功能,被配置了端口隔离的端口之间将不能互相通信寿/p] 配置命令 wildlee(config-if)#switchport protected
端口阻塞技术 默认情况下交换机泛洪未知目标MAC单播或组播流量,这种流量可能造成目标设备被流量式攻击端口阻塞技术是一种防御未知单播或组播进行流量攻击的技术,在端口上使用此技术,端口收到的未知单播与组播流量都将被丢弃,而不能被发送到此端口,但不能控制广播流量,我们知道局域网通信与某些应用,依赖于一些广播应用寿/p] 配置命令 wildlee(config-if)#switchport block unicast wildlee(config-if)#switchport block multicast
QOS安全特性 其实网络中应用QOS也是一种安全策略,如限制某个接口的上行或下行速率或区分服务转发数据叿兟络中有大量的P2P应用进行上传或下载,那么网络正常的服务就会受到影响,此时可以禁用掉P2P等程序或是限制此类程序的上行或下行叿兟络中发生拥塞的时候,对重要网络应用进行QOS标记调度转发,从而保证可用性所以我们可以将QOS看作是一种安全技术应用寿/p] CIR配置命令 wildlee(config)#Rate-limit {input | output} [access-grouup acl_number] bps burst-normal burst-max conform-action conform_action exceed-action exceed_action ACL安全技术 RACL[Router ACL] RACL可以对交换机上的路由接口做控制平面和数据平面通信流过滤可以将RACL应用以下接口如SVI三层路由端口三层通道端口等做基于网络层与传输层内容过滤,但不能做数据链路层[二层]内容过滤勿ACL具有IN与OUT之分的方向性,在接口IN或OUT方向没有使用RACL代表着放行,所以RACL不会造成单向通信勿ACL可以在IN与OUT方向都可以使用,每个接口每个方向只能使用一条RACL寿/p] 配置示例 wildlee(config)#access-list 1 permit ip 192.168.1.0 wildlee(config)#interface vlan 10 wildlee(config-if)#ip access-group 1 in PACL[Port ACL] PACL 是指应用于交换机二层接口的 ACL,过滤流的内容可以是基于TCP/IP参考模型的二三四层数据内容字段僿ACL只能应用到 IN 方向僿ACL优先级高于其它的ACL寿/p] 配置示例 1.wildlee(config)# mac access-list extended mac-acl wildlee(config-ext-macl)# deny host 0000.0000.0001 host 0000.0000.0002 wildlee(config-ext-macl)# permit any any Wildlee(config)# interface fastethernet 0/0 wildlee(config-if)# mac access-group mac-acl in 2.Wildlee(config)#mac-address-table static F5-F5-F5-10-10-10 vlan 2 drop 在相应的Vlan丢弃流量 Wildlee(config)#mac-address-table static F5-F5-F5-10-10-10 vlan 2 int f0/1 相应的接口丢弃流量 VACL[VLAN MAP] VACL可以做VLAN与VLAN之间的通信流过滤也可也做同一VLAN不同主机的通信流过滤,过滤流的内容可以是基于TCP/IP参考模型的二三四层数据内容字段囿ACL绑定到VLAN上时是不分方向的,即VLAN中所有进出的匀被VACL匹配并策略,容易造成单向通信问题一个VLAN 只能对应一个 Vlan Map ,一个 Vlan Map可以对应多个 VLAN,包含多个匹配条件寿/p] 配置示例 Wildlee(config)#access-list 101 permit tcp host 192.168.0.2 host 192.168.0.10 eq telnet Wildlee(config)#access-list 101 permit tcp host 192.168.0.10 eq telnet host 192.168.0.2 Wildlee(config)#vlan access-map wildlee 10 Wildlee(config-access-map)#match ip address 101 Wildlee(config-access-map)#action forward Wildlee(config)#vlan filter wildlee vlan-list 2 生成树安全 当二层交换网络中如果有非授权交换机接入网络,参于了生成树的选举可能对网络造成意想不到的破坏,见于此我们可以对交换机的边缘端口[连接终端设备]配置生成树防护寿/p] BPDU Guard 当接口启用了BPDU Guard技术后,如果从接口再次收到BPDU报文,接口将进入err-disable状态,无法继续转发用户数据寿/p] 配置命令 Wildlee(config)#spanning-tree portfast bpduguard default wildlee(config-if)#spanning-tree bpduguard enable 当BPDU guard禁用了端口,该端口会始终处于err-disable状态拿复到正常端口状态有以下两种方式:手动通过shutdown/no shutdown重新激活,通过设置时间周期自动恢复寿/p] 配置命令 wildlee(config)#errdisable recovery cause bpduguard wildlee(config)#errdisable recovery interval 400 BPDU Filter 其特性类似于BPDU guard,BPDU FILTER应用到边缘端口,边缘端口收到BPDU的数据包只会过滤掉,而不会将接口err-disable,可在继续转发用户数据寿/p] 配置命令 wildlee(config)#spanning-tree portfast bpdufilter default wildlee(config-if)#spanning-tree bpdufilter enable ROOT Guard 根保护确保启用了根保护的端口成为指定端口,根保护是基于每端口配置的,并且不允许该端口成为一个STP根端口 设置了根保护的端口如果收到了一个优于原BPDU的新的BPDU,它将把本端口设为root-inconsIistent状态,相当于监听状态该状态下不会收发数据,不会成为根端口,只会监听BPDU叿屟扐接受错误的最优BPDU时,该端口经历生成树过程后自动恢复寿/p] 配置命令 wildlee(config-if)#spanning-tree root guard
DHCP安全 有一种对DHCP的攻击叫做耗竭攻击,其原理是通过利用伪造的MAC地址[二层的MAC伪造与DHCP报文中的客户机MAC地址伪造]来对DHCP恶意发起地址租用请求,短时间租用光所有的DHCP可分配地址,让DHCP无法对合法用户主机提供DHCP服务,并因此而不能访问网络与此同时恶意的攻击者可以伪造DHCP服务器,进行虚假信息分发从而诱导合法用户主机,从而进行数据窃听与欺骗寿/p] 其实防的办法也有几种一在AD模式下可以将DHCP进行授权賿摎启用端口安全技术,限制其接口学习的MAC地址数,不过交换机无法侦查到DHCP报文中的假MAC,攻击程序可以只修改DHCP报文中的MAC,这种虚假报文请求对DHCP是生效的三设置ACL只允许连接到DHCP服务器的交换端口,其UDP报文源端口67可以通过,拒绝非连接DHCP服务器交换端口的ip报文其UDP端口为67分组通过寿/p] 今天我们说另一种防御技术DHCP SnoopingDHCPSnooping技术原理交换机监听来自于各端口的DHCP报文,检测其封装的DHCP请求报文,将以太网帧头中的源MAC地址和DHCP请求报文内DHCP客户机的硬件地址字段做比较,只有这两者相同的请求报文才会被转发,否则将被丢弃,这样就防止了DHCP耗竭攻击寿/p] 使用DHCPSnooping技术后可将交换机连接终端设备的交换端口分为两类trust端口和untrust端口,只有其trust端口可以发送DHCP OFFER和ACK报文,而untrust端口将过滤DHCP OFFER和ACK报文,从而阻断非法DHCP服务器接入网络寿/p] DHCP监听特性还可以对端口的DHCP报文进行限速通过在每个非信任端口下进行限速,将可以阻止合法DHCP请求报文的广播攻击叿交换机收到一个DHCPdecline或DHCPrelease广播报文,并且报文头的源MAC地址存在于DHCP监听绑定表的一个条目中但是报文的实际接收端口与绑定表条目中的端口字段不一致时,该报文将被丢弃,防止攻击者释放合法用户的DHCP租期寿/p] DHCP Snooping还提供了一张动态的binding表,绑定表中包含有获取到的IP 地址客户端的MAC 地址租约时间绑定类型(静态/动态)囿LAN 号端口号等信息该表可以帮助实现IPSG以及DAI等功能寿/p] 非信任端口只允许客户端的DHCP请求报文通过,这里只是相对于DHCP报文来说的盿他非DHCP报文还是可以正常转发的这就表示客户端可以以静态指定IP地址的方式通过非信任端口接入网络由于静态客户端不会发送DHCP报文,所以DHCP监听绑定表里也不会有该静态客户端的记录 信任端口的客户端信息不会被记录到DHCP监听绑定表里苿鱙有一客户端连接到了一个信任端口,即使它是通过正常的DHCP方式获得IP地址,DHCP监听绑定表里也不有该客户端的记录 DHCP中继将广播变单播DHCP中继请求IP,DHCP根据报文其网关IP地址确定该为哪个请求分配哪个ip地址段寿/p] 当DHCP服务器和客户端不在同一个子网内时,客户端要想从DHCP服务器上分配到IP地址,就必须由DHCP中继代理(DHCP Relay Agent)来转发DHCP请求包 DHCP中继代理将客户端的DHCP报文转发到DHCP服务器之前,可以插入一些选项信息,以便DHCP服务器能更精确的得知客户端的信息,从而能更灵活的按相应的策略分配IP地址和其他参数这个选项被称为:DHCP relay agent information option(中继代理信息选项),选项号为82,故又称为option 82默认情况下,开启了DHCP Snooing的交换机将对从非信任端口接收到的DHCP请求报文插入选项82信息寿/p] 配置命令 wildlee(config)# ip dhcp snooping 启用DHCP snooping wildlee(config)# ip dhcp snooping vlan vlan-id 设置DHCP snooping作用于哪些VLAN wildlee (config)# ip dhcp snooping verify mac-address 比较封装DHCP 请求报文封装的以太网帧中的源MAC地址和DHCP 请求报文内DHCP客户机的硬件地址 wildlee (config-if)# ip dhcp snooping trust 设置DHCP信任端口 wildlee (config-if)# ip dhcp snooping limit rate 1-2048 限制每秒从非信任端口通过的DHCP报文个数 wildlee (config)# errdisable recovery cause dhcp-rate-limit 使由于DHCP报文限速原因而被禁用的端口能自动从err-disable状态恢复 wildlee (config)# errdisable recovery interval int-time 设置端口状态恢复时间 Wildlee#ip dhcp snooping binding mac-address vlan vlan-id ip-address interface type num expiry time 手工添加一条DHCP监听绑定条目 ARP欺骗防护 之前我说一种基于MAC泛洪攻击,其实还有种非泛洪式攻击,攻击弱点基于交换学习任何报文的源MAC并与接收此报文的端口相映射进行数据转发攻击者无需泛洪MAC,只需用其它主机或网关MAC做为报文的二层源地址封装,就可以扰乱整个交换转发机制,从而瘫痪网络ARP欺骗攻击通过对目标主机进行虚假的ARP请求或应答,造成目标主机对目标ip主机错误的二层地址认识ARP欺骗攻击可以使目标主机的通信中断或数据被嗅探在主机或路由上进行静态ARP绑定是一种解法方法。 配置命令 Arp ip-address mac-address arpa 今天我们说CISCO的DAI技术,其原理就是检测非信任端口收到的ARP报文,如果其中ARP报文的发送者字段mac与ip对应信息与绑定表[DHCP Snooping生成的表]中的信息一致则认为该ARP报文为合法报文,若不一致则被认为为非法ARP报文并丢弃,且收到该报文的接口进入err-disabled状态,攻击者也就不能继续对网络进行进一步的破坏寿/p] 配置命令 Wildlee(config)# ip arp inspection vlan-id 在某个VLAN中启用DAI技术 Wildlee(config-if)# ip arp inspection trust 设置为DAI的信任端口,默认为非信任 Wildlee(config-if)# ip arp inspection limit rate 0-2048 限制入站ARP包的速率,若超过,则端口进入err-disabled状态 Wildlee# show ip arp inspection interfaces 查看接口下的DAI Wildlee# show ip arp inspection vlan vlan-range 查看VLAN下的DAI IP源欺骗防护 在通信过程中,由于二层数据链路层对三层网络层具有透明性,三层并不关心二层的地址是什么,它只关心三层的内容这极容易造成一种IP源欺骗芊矿椀氀搀氀攀攀鸀譛说明 A主机[攻击者] IP 192.168.1.2 MAC AA:AA:AA:AA:AA:AA B主机[被伪造者] IP 192.168.1.3 MAC BB:BB:BB:BB:BB:BB C主机[被攻击者] IP 192.168.1.4 MAC CC:CC:CC:CC:CC:CC 现在A主机对C主机发起一次通信,链路层封装源AA:AA:AA:AA:AA:AA,二层目标封装CC:CC:CC:CC:CC:CC.网络层源ip 192.168.1.3,目标ip为192.168.1.4,现假如这是一个ICMP请求报文C主机收到此报文通过三层判断后源主机是192.168.1.3,所以直接用B主机的MAC进行链路层封装并进行回复,B主机会莫名基妙收到一个ICMP回复报文所以我们说二层对三层具有透明性寿/p] CISCO对此类攻击使用了IPSG防御技术IP源保护(IP Source Guard,简称IPSG)是一种基于IP或IP+MAC的端口流量过滤技术,它可以防止IP地址欺骗攻击而且还能确保非授权设备不能通过自己指定IP地址的方式来访问网络或攻击网络导致网络崩溃及瘫痪 IPSG技术利用了DHCP Snooping技术提供的绑定表,对入流量进行检测,确保网络层ip源地址与绑定表中的源ip一样才放行此报文,作用于非任何端口同样可以做MAC+IP的全匹配检测放行机制,从而实现ip地址欺骗防护擿聫术类似于端口ACL,不过该技术具体自动性与智能性基于源IP+源MAC地址过滤: 根据源IP地址和源MAC地址对IP流量进行过滤,只有当源IP地址和源MAC地址都与IP源绑定条目匹配,IP流量才允许通过叿以IP和MAC地址作为过滤的时候,为了确保DHCP协议能够正常的工作,还必须启用DHCP监听选项82 对于没有选项82的DHCP报文,交换机不能确定用于转发DHCP服务器响应的客户端主机端口相应地,DHCP服务器响应将被丢弃,客户机不能获得IP地址寿/p] 配置命令 wildlee(config-if)# ip verify source
| 
所有IT类厂商认证考试题库下载
【新盟教育】2023最新华为HCIA全套视频合集【网工基础全覆盖】---国sir公开课合集
【新盟教育】网工小白必看的！2023最新版华为认证HCIA Datacom零基础全套实战课
原创_超融合自动化运维工具cvTools
重量级~~30多套JAVA就业班全套 视频教程（请尽快下载，链接失效后不补）
链接已失效【超过几百G】EVE 国内和国外镜像 全有了 百度群分享
某linux大佬，积累多年的电子书(约300本)
乾颐堂现任明教教主Python完整版
乾颐堂 教主技术进化论 2018-2019年 最新31-50期合集视频（各种最新技术杂谈视频）
Python学习视频 0起点视频 入门到项目实战篇 Python3.5.2视频教程 共847集 能学102天
约21套Python视频合集 核心基础视频教程（共310G,已压缩）
最新20180811录制 IT爱好者-清风羽毛 - 网络安全IPSec VPN实验指南视频教程
最新20180807录制EVE开机自启动虚拟路由器并桥接物理网卡充当思科路由器
[复制链接]
