DCN交换机在网络安全解决方案中的应用.pdfVIP

DCN交换机在网络安全解决方案中的应用 修改历史： 2008-06-26，版本0.1 。 用户处可能面临各种各样的欺骗与攻击，以及网络各种异常事件。本文主要给 出DCN-L2/L3交换机在使用过程中面临的一些攻击及可能的解决方法，该文档应当 不断完善。 来自内部的欺骗、攻击、维护脆弱性需求，首先可以在接入层解决： 。MAC泛洪 。非法DHCP server、DHCP攻击 。ARP欺骗、ARP扫描 。STP攻击 。端口形成环路 。“冲击波”、“震荡波”、“红色代码”等病毒 。ICMP攻击 。IP Flood、 。TCP Sync Flood 。UDP Flood 。各种DOS攻击 。非法组播源 汇聚层 。 常用配置方案: 。DHCP server/DHCP relay/DHCP Option 82 。DHCP Snooping 。Dot1x/Radius/TACACS+ 。FreeResource （=dot1x userbased advanced ）、ARP-Guard 。防ARP扫描 。关闭ARP/ND学习与更新、限制动态ARP/ND数量 。ARP Local Proxy 。AM 。Isolate-port 。Private-Vlan 。IGMP Snooping 。组播VLAN 。DCSCM 。ACL 采用网络协议使系统更加可靠、安全地运行： 。广播风暴抑制 。带宽限速 。STP/RSTP/MSTP 。LACP 。VRRP 。端口环路检测（Loopback Detection） 。单向链路检测（ULDP） 。虚拟线缆检测（VCT ） 。单播逆向路径转发（URPF） 。黑洞路由 。双向转发检测（BFD） 1. 防 MAC 泛洪攻击 MAC泛洪攻击步骤： 1: 2层交换机是基于MAC地址去转发数据帧的。 2: 转发过程中依靠对CAM表的查询来确定正确的转发接口。 3: 一旦在查询过程中无法找到相关目的MAC对应的条目，此数据帧将作为广 播帧来处理。 4: CAM表的容量有限，只能储存不多的条目，当CAM表记录的MAC地址达到 上限后，新的条目将不会添加到CAM表中。 因而某台PC不断发送去往未知目的地的数据帧，且每个包的源MAC地址都不 同，当这样的数据包发送的速度足够快之后，快到在刷新时间内将交换机的CAM表 迅速填满。CAM表被这些伪造的MAC地址占据。（与攻击者连接着的相同VLAN 的） 无辜主机尝试与当前不在CAM表中的主机通信，由于CAM表中没有空间存储不存在 项的主机，因此所有到该主机的通信都会以广播的形式来处理。 化解攻击方法：采用端口安全管理特性。 L2：switchport port-security maximum value 或 dot1x 5950, 76(68)00上：限制端口上动态MAC、ARP数量的限制 动态MAC数量限制，对于交换机已经动态学习到的MAC地址，如果大于等于允 许学习的最大动态MAC数量时，则关闭该端口的MAC学习功能，如果少于允许 学习的最大动态MAC数量时，这时仍然可以继续学习。（该功能与switchport port-security maximum命令的区别？？？） 动态ARP数量限制，对于交换机已经动态学习到的ARP/ND ，如果大于等于允 许学习的最大动态ARP/ND数量时，则关闭该端口的ARP/ND学习功能，如果少 于允许学习的最大动态ARP/ND数量时，这时仍然可以继续学习。 2 DHCP 采用 DHCP server可以自动为用户设置网络IP地址、掩码、网关、DNS、WINS 等网络参数，简化了用户网络设置，提高了管理效率。但在DHCP管理使用上也存 在着一些令网管人员比较头痛的问题，常见的有： 攻击方式 DHCP Snooping接入认证技术