文章內(nèi)容

10個局域網(wǎng)安全實驗

發(fā)布時間: 2012/9/15 18:14:40

1、配置端口安全

Switch(config)#int f0/1

Switch(config-if)#switchport port-security

Switchport port-security mac-address 0001.0001.0001

Switchport port-security maximum 1

Switchport port-secruity violation shutdown

注意事項：

l 配置安全端口之前必須使用命令switchport mode access將端口設(shè)置為access端口。

l 當(dāng)端口由于違規(guī)被關(guān)閉時，可以在全局模式下用errdisable recovery 命令將其恢復(fù)到UP狀態(tài)。

l 在實驗中安全MAC地址清配置為測試主機(jī)PC1的真實MAC地址。

2、配置動態(tài)ARP檢測

SW2(config)#ip arp inspection

SW2(config)#ip arp inspection vlan 2

! 在VLAN2上啟用DAI

SW2(config)#int f0/24

SW2(config-if)#ip arp inspection trust

! 配置F0/24端口為監(jiān)控信任端口

注意事項：

l DHCP監(jiān)聽只能夠配置在物理端口上，不能配置在VLAN接口上。

l DAI只能夠配置在物理端口上，不能配置在VLAN接口上。

l 如果端口所屬的VLAN啟用了DAI，并且為Untrust端口，當(dāng)端口收到ARP報文后，若查找不到DHCP監(jiān)聽表項，則丟棄ARP報文，造成網(wǎng)絡(luò)中斷。

l WinArpSpoofer軟件僅可用于實驗。

3、配置端口阻塞

Switch(config)#int f0/3

Switch(config-if)#switchport block unicast

! 配置F0/3為阻塞端口

實驗原理：交換機(jī)的端口阻塞是指在特定端口上，阻止廣播、未知目的的MAC單播或未知目的的MAC組播幀從這個端口泛洪出去，這樣不僅節(jié)省了帶寬資源，同時也避免了終端設(shè)備收到多余的數(shù)據(jù)幀。

4、配置系統(tǒng)保護(hù)

Switch(config)#int f0/1

Switch(config-if)#system-guard enable

Switch(config-if)#system-guard scan-dest-ip-attack-packets 100

! 配置針對目的IP地址變化的掃描的檢測閾值為每秒100個不同目的的IP的報文

Switch(config-if)#system-guard isolate-time 600

! 配置隔離時間為600s

實驗原理：交換機(jī)系統(tǒng)保護(hù)特性是一種工作在物理端口的安全機(jī)制，它通過監(jiān)視端口收到的報文的速率判斷是否存在掃描攻擊，并對攻擊IP進(jìn)行阻斷，保護(hù)交換機(jī)系統(tǒng)資源。系統(tǒng)保護(hù)可以識別兩種攻擊行為：目的IP地址變化的掃描和針對網(wǎng)絡(luò)中不存在的IP發(fā)送大量報文的攻擊。

5、配置風(fēng)暴控制

Switch(config)#int f0/1

Switch(config-if)#storm-control broadcast pps 100

! 設(shè)置報文速率閾值為每秒100個報文

注意事項：

l 實際啟用風(fēng)暴控制的端口所允許通過的流量可能會與配置的閾值有細(xì)微的偏差。

6、配置ARP檢查

Switch(config)#port-security arp-check

Switch(config)#int f0/1

Switch(config-if)#switchport port-secruity

Switchport port-secruity mac-address 0008.0df9.4c64 ip-address 172.16.1.64

!將攻擊者的MAC地址與其真實的IP地址綁定

注意事項：

l WinArpSpoofer軟件僅可用于實驗。

7、配置BPDU Guard

Switch(config)#int f0/1

Switch(config-if)#spanning-tree bpduguard enable

注意事項：

l 當(dāng)端口進(jìn)入“err-disabled”狀態(tài)后，端口將被關(guān)閉，丟棄所有報文，需要使用errdisable recovery命令手工啟用端口，或者使用errdisable recovery interval time命令設(shè)置超時間隔，此時間間隔過后，端口將自動被啟用。

8、配置DHCP監(jiān)聽

SW1(config)#ip dhcp snooping

SW1(config)#int f0/1

SW1(config-if)#ip dhcp snooping trust

注意事項：

l DHCP監(jiān)聽只能夠配置在物理端口上，不能配置在VLAN接口上。

9、配置保護(hù)端口

Switch(config)#int r f0/1-2

Switch(config-if-range)#switchport protected

! 配置端口F0/1和端口F0/2為保護(hù)端口

背景描述：某網(wǎng)絡(luò)中，有兩臺服務(wù)器屬于同一個VLAN中，并且接入到了一臺交換機(jī)上。為了安全起見，需要防止這兩臺服務(wù)器之間進(jìn)行通信。

10、配置PortFast