Перейти к основному содержанию

Боковая панель

Merion Academy

0

Уведомления

Уведомлений нет

Смотреть все

0

Личный кабинет

О пользователе

Оценки

Сообщения

Настройки

Выход

OCT-1

Участники

Значки

Компетенции

Добро пожаловать!

Введение в сетевые технологии

TCP и UDP

Принципы построения коммутируемых сетей

Про VLAN (Virtual Local Area Network)

Про DHCP (Dynamic Host Configuration Protocol)

Работа с маршрутизатором

Протокол динамической маршрутизации EIGRIP (Enhanced Interior Gateway Routing Protocol)

Протокол динамической маршрутизации OSPF (Open Shortest Path First)

Протокол динамической маршрутизации BGP (Border Gateway Protocol)

Говорим про Route Redistribution

Листы контроля доступа (ACL)

Протокол Spanning Tree (STP)

Агрегация по технологии EtherChannel

Настройка VPN (Site-To-Site IPSec, DMVPN)

WLAN (беспроводные сети)

Частный траблшутинг и устранение неисправностей

Финальный тест

Личный кабинет

Домашняя страница

Календарь

Личные файлы

Мои курсы

Сетевой инженер: основы сетевых технологий

Личный кабинет

Мои курсы

OCT-1

Принципы построения коммутируемых сетей

Принципы коммутации и маршрутизации

Печатать книгу

Печатать эту главу

Принципы коммутации и маршрутизации

Базовые принципы коммутации и маршрутизации, базовый подход к траблшутингу и обслуживанию сетей

◄ Предыдущая: 7. Обслуживание и траблшутинг сетей Следующая: 9. Настройка времени на Cisco: NTP и руками ►

8. Port-Security

Поговорим о базовой сетевой безопасности, а именно о Port-Security и о том, как его настроить на коммутаторах Cisco.

Для начала разберемся, что же вообще такое Port-Security.
Port-Security – это функция коммутатора, при помощи которой мы можем
указать каким устройствам можно пропускать трафик через определенные
порты. Устройство определяется по его MAC-адресу.

Эта функция предназначена для защиты от несанкционированного
подключения к сети и атак, направленных на переполнение таблицы
MAC-адресов. При помощи нее мы можем указывать конкретные адреса, с
которых разрешен доступ или указывать максимальное количество
MAC-адресов, которые могут передавать трафик через порт.

Типы Port-Security

Существует несколько способов настройки port-security:

Статические MAC-адреса – MAC-адреса, которые вручную настроены на порту, из режима конфигурации порта при помощи команды switchport port-security mac-address [MAC-адрес] . MAC-адреса, сконфигурированные таким образом, сохраняются в таблице адресов и добавляются в текущую конфигурацию коммутатора.

Динамические MAC-адреса - MAC-адреса, которые динамически
изучаются и хранятся только в таблице адресов. MAC-адреса,
сконфигурированные таким образом, удаляются при перезапуске коммутатора.

Sticky MAC-адреса - MAC-адреса, которые могут быть изучены
динамически или сконфигурированы вручную, затем сохранены в таблице
адресов и добавлены в текущую конфигурацию.

Sticky MAC-адреса

Если необходимо настроить port-security со sticky
MAC-адресами, которые преобразуются с из динамически изученных адресов и
добавляются в текущую конфигурацию, то необходимо настроить так
называемое sticky изучение. Для того чтобы его включить необходимо на
интерфейсе коммутатора выполнить команду switchport port-security mac-address sticky из режима конфигурации интерфейса.

Когда эта команда введена, коммутатор преобразует все динамически
изученные MAC-адреса (включая те, которые были динамически изучены до
того, как было включено sticky обучение) к sticky MAC-адресам. Все
sticky MAC-адреса добавляются в таблицу адресов и в текущую
конфигурацию.

Также sticky адреса можно указать вручную. Когда sticky MAC-адреса настроены при помощи команды switchport port-security mac-address sticky [MAC-адрес], все указанные адреса добавляются в таблицу адресов и текущую конфигурацию.

Если sticky MAC-адреса сохранены в файле конфигурации, то при
перезапуске коммутатора или отключении интерфейса интерфейс не должен
будет переучивать адреса. Если же sticky адреса не будут сохранены, то
они будут потеряны.

Если sticky обучение отключено при помощи команды no switchport port-security mac-address sticky , то эти адреса будут оставаться в таблице адресов, но удалятся из текущей конфигурации.

Обратите внимание, что port-security не будут работать до тех пор, пока не будет введена команда, включающая его - switchport port-security

Нарушение безопасности

Нарушением безопасности являются следующие ситуации:

Максимальное количество MAC-адресов было добавлено в таблицу адресов
для интерфейса, а устройство, MAC-адрес которого отсутствует в таблице
адресов, пытается получить доступ к интерфейсу.

Адрес, полученный или сконфигурированный на одном интерфейсе, отображается на другом интерфейсе в той же VLAN.

На интерфейсе может быть настроен один из трех режимов реагирования при нарушении:

Protect - когда количество MAC-адресов достигает предела,
разрешенного для порта, пакеты с неизвестными исходными адресами
отбрасываются до тех пор, пока не будет удалено достаточное количество
MAC-адресов или количество максимально допустимых адресов для порта не
будет увеличено. Уведомление о нарушении безопасности отсутствует в этом
случае.

Restrict – то же самое, что и в случае Protect, однако в этом
случае появляется уведомление о нарушении безопасности. Счетчик ошибок
увеличивается

Shutdown – стандартный режим, в котором нарушения заставляют
интерфейс немедленно отключиться и отключить светодиод порта. Он также
увеличивает счетчик нарушений. Когда порт находится в этом состоянии (error-disabled), его можно вывести из него введя команды shutdown и no shutdown в режиме конфигурации интерфейса.

Чтобы изменить режим нарушения на порту коммутатора, используется команда port-security violation {protect | restrict |shutdown} в режиме конфигурации интерфейса.

Режим реагирования

Передача траффика

Отправка сообщения syslog

Отображение сообщения об ошибке

Увеличение счетчика нарушений

Выключение порта

Protect

Нет

Нет

Нет

Нет

Нет

Restrict

Нет

Да

Нет

Да

Нет

Shutdown

Нет

Нет

Нет

Да

Да

Настройка

Рассмотрим пример настройки:

Switch#interface fa0/1 – заходим в режим конфигурации порта
Switch(config-ig)#switchport mode access – делаем порт access
Switch(config-ig)#switchport port-security – включаем port-security
Switch(config-ig)#switchport port-security maximum 50 – задаем максимальное количество адресов на порту
Switch(config-ig)#switchport port-security mac-address sticky – включаем sticky изучение

Если мы не будем ничего уточнять и просто включим port-security командой switchport port-security
в режиме конфигурации интерфейса, то максимальное количество адресов на
порту будет один, sticky изучение будет выключено, а режим нарушения
безопасности будет shutdown.

Проверка порта

Чтобы отобразить параметры port-security используется команда show port-security [номер_интерфейса] .

Чтобы отобразить все защищенные MAC-адреса используется команда show port-security address.

◄ Предыдущая: 7. Обслуживание и траблшутинг сетей Следующая: 9. Настройка времени на Cisco: NTP и руками ►

◄ Закрепим знания тестом по TCP и UDP

Перейти на...

Перейти на...
Как проходить курс
ИТ термины
Как делать лабораторные работы (Cisco Packet Tracer)
10 нужных инструментов для сетевого администратора
Как проходить тесты
Объявления
1. Модель OSI – это просто!
2. Маршрутизатор. Коммутатор. Хаб. Что это и в чем разница?
3. Что такое LAN и чем отличается от WAN?
4. Что такое IP - адрес и можно ли по нему кого-то вычислить?
5. Что такое MAC - адрес и как его узнать?
6. TCP и UDP – в чем разница?
7. Ethernet на пальцах - что это?
8. Что такое инкапсуляция данных в сети?
9. DNS сервер - что это и как работает?
10. Разбиение сети на подсети: VLSM
11. Address Resolution Protocol - что это?
12. NAT на пальцах: что это?
13. Введение: IPv6 - это просто
14. Что такое VPN и как он обходит блокировки?
15. Режимы передачи данных в сетях
16. Сегментация сети – почему это важно?
17. Что такое витая пара и как ее обжать?
18. Иерархическая модель сети от Cisco
19. Консоль, Терминал, Telnet и SSH - что это и зачем нужно?
20. Про операционную систему Cisco IOS
21. Интерфейс командной строки Cisco IOS
22. Структура команд Cisco IOS
23. Troubleshooting в Cisco IOS
24. Типы сетевых атак
25. QoS в сетях
Рассмотрение моделей TCP/IP и OSI в действии
Тестирование по блоку "Введение в сетевые технологии"
Протоколы TCP/IP 4 уровня: TCP и UDP
Популярные приложения TCP/IP
Установление и прекращение TCP соединения
Нужно знать: про TCP и UDP
Закрепим знания тестом по TCP и UDP
Тестирование по блоку "Принципы построения коммутируемых сетей"
VLAN (Virtual Local Area Network)
Настройка сетей VLAN
Настройка маршрутизации между сетями VLAN с использованием конфигурации ROS (Router-on-a-Stick)
Тестирование по блоку "VLAN (Virtual Local Area Network)"
Все, что вам нужно знать про DHCP
Настройка DHCP на оборудовании Cisco
Пример настройки DHCPv6
Настройка DHCP Snooping и Dynamic Arp Inspection на Cisco
Траблшутинг DHCP на оборудовании Cisco
Настройка протокола DHCP с помощью команд Cisco IOS
Тестирование по блоку "DHCP (Dynamic Host Configuration Protocol)"
Базовая конфигурация маршрутизатора
Настройка статических маршрутов
Настройка NAT на Cisco
Port Forwarding: теория и настройка Cisco
Тестирование по знаниям работы с маршрутизатором
EIGRIP (Enhanced Interior Gateway Routing Protocol)
Полное руководство по EIGRP в PDF
Базовая настройка протокола EIGRP для IPv4
Тестирование по Протоколу динамической маршрутизации EIGRIP
OSPF (Open Shortest Path First)
Настройка базового протокола OSPFv2 для одной области
Поиск и устранение неполадок в работе OSPFv2 для одной области
Настройка OSPFv2 для нескольких областей
Протокол динамической маршрутизации OSPF (Open Shortest Path First)
BGP (Border Gateway Protocol)
Полное руководство по BGP в PDF
Тестирование по знаниям BGP
Перераспределение маршрутов (Route redistribution)
Тестирование по знаниям Route Redistribution
Основы IPv4 Access Control Lists
Соответствие пакетов в IP ACL
Wildcard в ACL: бинарные обратные маски
Стандартные листы контроля доступа (ACL)
Расширенные листы контроля доступа (Extended ACL)
ACL check - анализ списков доступа сетевого оборудования Cisco
Настройка стандартных именованных ACL-списков
Настройка расширенных ACL-списков
Тестирование по блоку "Листы контроля доступа (ACL)"
Протокол Spanning Tree (STP)
Тестирование по блоку "Протокол Spanning Tree (STP)"
Настройка EtherChannel на Cisco
Настройка EtherChannel на Cisco с минимальным даунтаймом
Устранение неисправностей EtherChannel
Настройка EtherChannel
Поиск и устранение неполадок в работе EtherChannel
Тестирование по блоку "Агрегация по технологии EtherChannel"
Настройка Site-To-Site IPSec VPN на Cisco
Настройка DMVPN на оборудовании Cisco
Настройка сетей VPN (дополнительно)
Итоговый тест по теме "Настройка VPN (Site-To-Site IPSec, DMVPN)"
Сравнение проводных и беспроводных сетей
Топологии беспроводных сетей
Анатомия защищенного соединения в беспроводных сетях
TKIP, CCMP и GCMP. Про безопасность Wi-Fi
Тест по WLAN (беспроводные сети)
Траблшутинг NAT/PAT на Cisco
Устранение неисправностей DHCP на Cisco
FHRP траблшутинг на Cisco
Траблшутинг Network Management Protocols
Сброс пароля на коммутаторах и маршрутизаторах Cisco
Troubleshooting в Cisco IOS
Проверка и отладка настроек NAT
Тестирование по знаниям траблшутинга и устранения неисправностей
Финальный тест
Сертификат
Обратная связь

Тестирование по блоку "Принципы построения коммутируемых сетей" ►

Пропустить Оглавление

Оглавление

1. Нужно знать: про маршрутизацию и коммутацию

2. Базовая настройка коммутатора Cisco

3. Настройка интерфейсов коммутатора Cisco

4. Настройка IPv4-адресации для удаленного доступа к устройствам Cisco

5. Протокол ICMP - что это и для чего нужен?

6. Устранение неполадок коммутации Cisco

7. Обслуживание и траблшутинг сетей

8. Port-Security

9. Настройка времени на Cisco: NTP и руками

10. Повышаем безопасность коммутаторов и маршрутизаторов Cisco

Собеседники

Выбранные сообщения:
1

×

Собеседники

0

Настройки

Собеседники

Запросы

0

Нет контактов

Нет запросов на добавление в контакты

Запрос на добавление в контакты отправлен

Личное пространство

Сохраните черновики сообщений, ссылок, заметок и т.п. К ним можно будет вернуться позже.

Delete for me and for everyone else

Блок

Разблокировать

Удалить

Добавить

Удалить

Удалить

Отправить запрос на добавление в контакты

Принять и добавить в контакты

Отказаться

OK
Отмена

Помеченные

()

Нет помеченных разговоров

Группа

()

Нет групповых разговоров

Личное

()

Нет личных разговоров

Собеседники

Собеседники отсутствуют

Загрузить больше

Сообщения

Загрузить больше

Нет результатов

Поиск пользователей и сообщений

Приватность

Вы можете ограничить круг лиц, которые могут отправлять вам сообщения

Принимать сообщения от:

Только мои контакты

Мои контакты и любой в моих курсах

Настройка уведомлений

Основные

Использовать Enter для отправки

Удалить выбранные сообщения

Отправить запрос на добавление в контакты

Вы заблокировали этого пользователя

Разблокировать пользователя

Вы не можете отправить сообщение этому пользователю

Смотреть все

Вы зашли под именем Выход)

OCT-1

Сводка хранения данных
Скачать мобильное приложение
Политики