switch 安全笔记

cisco12355074

如果流量通过一个被保护的接口发出，则这个流量无法通过另一个被保护的接口进入。

对于DHCP Snooping 非信任接口（缺省状态），该接口无法接收任何DHCP Offer报文以及DHCP ACK报文，但是可以接收Discovery以及Request报文对于发送,一个非信任接口

只能转发DHCP服务器发送的DHCP Offer 以及ACK报文，而无法转发Discovery以及Request.

防御DHCP欺骗攻击

Switch(config)# ip dhcp snooping

Switch(config)# ip dhcp snoopinginformation option

Switch(config-if)# ip dhcpsnooping trust

Switch(config)# ip dhcp snoopinglimit rate [rate]

Switch(config)# ip dhcp snoopingvlan number [number]

减轻 VLAN 跳跃

Switch(config)# interface-range typemod/port-port

Switch(config-if)#switchport mode access

Switch(config-if)#switchport access vlanvlan-id

配置 VACLs

Switch(config)#vlan access-map map_name [seq#]

Switch(config-access-map)# match {ipaddress {1-199 | 1300-2699 | acl_name} | ipx address {800-999 | acl_name}|mac address acl_name

Switch(config-access-map)#action {drop[log]} | {forward [capture]} | {redirect {type slot/port}| {port-channel channel_id}}

Switch(config)#vlan filter map_namevlan_list list

配置 PVLANs

Switch(config-vlan)#private-vlan [primary | isolated | community]

Switch(config-vlan)#private-vlanassociation {secondary_vlan_list | add svl | remove svl}

Switch#show vlan private-vlan type

配置 PVLAN 端口

Switch(config-if)#switchport mode private-vlan {host | promiscuous}

Switch(config-if)#switchportprivate-vlan host-association {primary_vlan_ID secondary_vlan_ID

Switch(config-if)#private-vlan mapping primary_vlan_ID{secondary_vlan_list | add svl | remove svl}

Switch#show interfaces private-vlanmapping

在交换机上配置IP源保护

Switch(config)# ip dhcp snooping

Switch(config)# ip dhcpsnooping vlan number [number]

Switch(config-if)# ip verify source vlan
dhcp-snooping port-security

配置 DAI

Switch(config)#ip arp inspection vlan vlan_id[,vlan_id]

Switch(config-if)#ip arp inspectiontrust

Switch(config-if)#ip arp inspectionvalidate {[src-mac][dst-mac] [ip]}

DAITrust 接口，该接口和收到ARP请求以及ARP应答的时候会根据ARP载荷中

的源地址信息判定该ARP报文是否合法，合法则发送，非法则丢去。

DAIuntrust 接口，该接口行为和TRUNK接口一致收到ARP请求或应答的时候查看

源地址信息，判断是否合法，合法则转发，非法则丢去。

当在接口定义所能接收到的ARP请求和应答的最高的频率的时候，如果该接口收到

的是合法的ARP请求或应答此时计数器才开始计算所收到的ARP报文的数量；如果

收到的是非法的ARP报文，则计数器不会计算该接口接收的ARP报文数量。

writer崇阳

Rockyw

感谢楼主分享！

鲁智林

不错哦！

relax_lml

谢谢共享资料