《高级路由技术（网络系统建设》课件——第10章 网络系统安全.pptxVIP

第10章网络系统安全

学习目标和素质目标理解交换机接口安全的原理和掌握防MAC泛洪攻击的配置理解DHCPSnooping的原理和掌握防DHCP欺骗的配置理解动态ARP检测的原理和掌握防ARP欺骗的配置理解防IP源地址欺骗的原理掌握防IP源地址欺骗的配置理解IPSecVPN的概念和原理和掌握IPSecVPN的配置。培养爱国情怀和工匠精神。培养学生的网络安全意识。提高学生的灵活应变能力。

10.1以太网安全以太网主要是由交换机组成，要保证以太网的安全就需要在交换机上做必要的安全措施，这些措施包含（但不仅限于）：接口安全、防DHCP欺骗、ARP安全、防IP源欺骗，这些措施将在本小节介绍。除此还有防止STP、VRRP、路由协议被攻击的措施，这些措施已经在相关章节介绍，不在本节介绍。

10.1.1交换机的接口安全MAC泛洪攻击原理黑客在STA3上，发送具有虚假源MAC地址的帧（即：不是STA3的真实MAC），每发送一个帧，源MAC改变一次，MAC表就会多一条记录，如此反复直到交换机MAC地址表爆满，交换机就无法再学习新的MAC记录。图中交换机的MAC表爆满后，STA4开机，交换机将无法学习STA4在哪个接口。交换机进入称为“失效开放”的模式，开始像集线器一样工作，将要发往STA4的数据帧从除了源端口外的全部接口泛洪出去。

10.1.1交换机的接口安全通过在交换机的特定接口上部署端口安全，可以限制接口的MAC地址学习数量，并且配置出现越限时的惩罚措施。安全MAC地址通常与安全保护动作结合使用，常见的安全保护动作有：Restrict：丢弃源MAC地址不存在的报文并上报告警。Protect：只丢弃源MAC地址不存在的报文，不上报告警。Shutdown：接口状态被置为error-down，并上报告警。类型定义特点安全动态MAC地址使能端口安全而未使能StickyMAC功能时转换的MAC地址。设备重启后表项会丢失，需要重新学习。缺省情况下不会被老化，只有在配置安全MAC的老化时间后才可以被老化。安全静态MAC地址使能端口安全时手工配置的静态MAC地址。不会被老化，手动保存配置后重启设备不会丢失。StickyMAC地址使能端口安全后又同时使能StickyMAC功能后转换到的MAC地址。不会被老化，手动保存配置后重启设备不会丢失。

10.1.1交换机的接口安全配置接口安全防止MAC泛洪攻击进入接口视图，执行【port-securityenable】命令，使能接口安全功能。默认情况下，交换机的接口未使能接口安全功能。（可选）执行【port-securitymax-mac-nummax-number】命令，配置接口安全动态MAC学习限制数量。默认时，接口学习的MAC地址限制数量为1。（可选）执行【port-securityprotect-action{protect|restrict|shutdown}】命令，配置接口安全保护动作。默认情况下，接口安全保护动作为restrict。执行【port-securitymac-addresssticky】命令，使能接口自动StickyMAC功能。默认情况下，接口未使能StickyMAC功能。（可选）执行【port-securitymac-addressstickymac-addressvlanvlan-id】命令，手动配置一条sticky-mac表项。

10.1.1交换机的接口安全Switch1GE0/0/1GE0/0/2GE0/0/3PC1PC2PC3PC4Switch2[Switch1]interfaceGigabitEthernet0/0/1[Switch1-GigabitEthernet0/0/1]port-securityenable[Switch1-GigabitEthernet0/0/1]port-securitymax-mac-num1[Switch1-GigabitEthernet0/0/1]port-securityprotect-actionrestrict[Switch1]interfaceGigabitEthernet0/0/3[Switch1-GigabitEthernet0/0/3]port-securityenable[Switch1-GigabitEthernet0/0/3]port-securitymax-mac-num2[Switch1-GigabitEthernet0/0/3]port-securityprotect-actionshutdown端口安全配置举例-安全动态MAC[Switch1]displaymac-address