网站开发选asp还是hph,南昌网站维护,河南省建设监理协会官网站,企业网站构建方案交换机的安全是一个很重要的问题#xff0c;因为它可能会遭受到一些恶意的攻击#xff0c;例如MAC泛洪攻击、DHCP欺骗和耗竭攻击、中间人攻击、CDP 攻击和Telnet DoS 攻击等#xff0c;为了防止交换机被攻击者探测或者控制#xff0c;必须采取相应的措施来确保交换机的安全… 交换机的安全是一个很重要的问题因为它可能会遭受到一些恶意的攻击例如MAC泛洪攻击、DHCP欺骗和耗竭攻击、中间人攻击、CDP 攻击和Telnet DoS 攻击等为了防止交换机被攻击者探测或者控制必须采取相应的措施来确保交换机的安全性常见的安全措施包括:配置访问密码、配置标语消息、远程管理使用SSHv2替代Telnet、禁用不需要的服务和应用、禁用未使用的端口、关闭SNMP或者使用SNMPv3、启用系统日志和及时安装最新的IOS软件等。部分安全措施如配置访问密码和配置标语消息等在第3章已经讨论过。
SSH简介 采用Telnet远程管理设备时对登录身份验证和通信设备之间传输的数据都采用不安全的明文传输不能有效防止远程管理过程中的信息泄露问题。SSH是Secure Shell安全外壳)的简称当用户通过一个不能保证安全的网络环境远程登录到设备时SSH可以利用加密和验证功能提供安全保障保护设备不受诸如IP地址欺诈、明文密码截取等攻击。SSH工作端口为TCP22端口。SSH目前包括SSH1和SSH2两个版本而且两个版本不兼容通信双方通过协商确定使用的版本。为实现SSH的安全连接在整个通信过程中服务器端与客户端要经历版本号、密钥和算法、验证阶段协商以及会话请求和会话交互5个阶段由于SSH版本2在数据加密和完整性验证方面更加强大建议使用。
交换机端口安全简介 交换机依赖CAM表转发数据帧,当数据帧到达交换机端口时,交换机可以获得其源MAC地址并将其记录在CAM表中。如果CAM表中存在目的MAC地址条目交换机将把帧转发到CAM表中指定的MAC地址所对应的端口。如果MAC地址在CAM表中不存在则交换机将帧转发到除收到该帧端口外的每一个端口即未知单播帧泛洪)。然而CAM表的大小是有限的MAC泛洪攻击正是利用这一限制使用攻击工具以大量无效的源MAC地址发送给交换机直到交换机CAM表被填满这种使得交换机CAM表溢出的攻击称为MAC泛洪攻击。当CAM表被填满时交换机将接收到的流量泛洪到所有端口因为它在自己的CAM表中找不到对应目的MAC地址的端口号交换机实际上是起到类似于集线器的作用。 配置交换机端口安全特性可以防止MAC泛洪攻击。端口安全限制交换机端口上所允许的有效MAC地址的数量或者特定的MAC地址。端口安全工作方式主要有如下3种。
静态只允许具有特定MAC地址的终端设备从该端口接入交换机。如果配置静态端口安全那么当数据包的源MAC地址不是静态指定的MAC地址时交换机将按照惩罚模式进行惩罚并且端口不会转发这些数据包。动态通过限制交换机端口接入MAC地址的数量来实现端口安全。默认情况下交换机每个端口只允许一个 MAC地址接入该端口。粘滞这是一种将动态和静态端口安全结合在一起的方式。交换机端口通过动态学习获得终端设备的MAC地址然后将信息保存到运行配置文件中结果就像静态方式只不过MAC地址不是管理员静态配置的而是交换机自动学习的。当学到的MAC地址的数量达到端口限制的数量时,交换机就不会自动学习了。 无论采用以上哪种方式配置端口安全当尝试访问该端口的终端设备违规时都可以通过如下三种模式之一进行惩罚。
保护(Protect)当新的终端设备接入交换机时如果该端口的 MAC 地址条目超过最大数目或者与静态配置的 MAC地址不同则这个新的终端设备将无法接入而原有的设备不受影响交换机不发送警告信息。限制Restrict)当新的终端设备接入交换机时如果该端口的 MAC 地址条目超过最大数目或者与静态配置的MAC地址不同则这个新的终端设备将无法接入而原有的设备不受影响交换机会发送警告信息同时会增加违规计数器的计数。关闭(Shutdown):当新的终端设备接入交换机时如果该端口的MAC地址条目超过最大数目或者与静态配置的MAC地址不同交换机该端口将会被关闭并立即变为错误禁用(error-disabled)状态这个端口下的所有设备都无法接入交换机交换机会发送警告信息同时会增加违规计数器的计数。当交换机端口处于error-disabled状态时在端口先输入shutdown命令然后再输入 no shutdown命令可重新开启端口如果仍有违规终端设备接入则继续进入error-disabled 状态。这种惩罚模式是交换机端口安全的默认惩罚模式。3种交换机端口安全交换机端口安全惩罚模式比较如下表所示。
3种交换机接口安全惩罚模式比较 惩罚模式转发违规设备流量发出警告增加违规计数关闭端口Protect否否否否Restrict否是是否Shutdown否是是是
