Tweet
Cấu hình các tính năng bảo mật trên Switch 4000
3.6.1 Port Security.
Bạn có thể sử dụng chức năng Port Security để ngăn chặn các kết nối vào cổng Ethernet, Fast Ethernet hay Gigabit Ethernet có MAC address khác với MAC address đã được chỉ định cho port.
Ngoài ra còn có thể chỉ định số MAC address tối đa hỗ trợ trên một port, thời gian có hiệu lực của MAC address trên port đó. Bạn còn có thể xác định trạng thái mà một port sẽ được đặt vào nếu có sự xâm phạm về bảo mật. Trạng thái shutdown là trạng thái đầu tiên trong đó bạn có thể shutdown port trong một khoảng thời gian xác định hay không xác định (trạng thái mặc định). Trạng thái thừ hai là trạng thái giới hạn (restrictive mode), trong đó port vẫn trong trạng thái hoạt động và chỉ loại bỏ các packet từ các địa chỉ lạ.
Khi có sự vi phạm về bảo mật LED link của port đó chuyển sang màu cam (orange) vàthông báo link-down sẽ được gửi đến Simple Network Management Protocol (SNMP) manager. SNMP trap sẽ không được gửi đi nếu bạn cấu hình port ở chế độ restrictive
• Cấu hình Port Security
Cấu hình Port Security bao gồm các phần sau:
Cho phép Port Security
Xác định số lượng MAC Addresses tối đa
Xác định thời gian hiệu lực của Port Security
Xoá MAC Addresses
Xác định Security Violation Action
Xác định Shutdown Time
Loại bỏ Port Security
Monitoring Port Security
Cho phép Port Security
Ví dụ:
Console> (enable) set port security 2/1 enable
Port 2/1 port security enabled with the learned mac address.
Trunking disabled for Port 2/1 due to Security Mode
Console> (enable) show port 2/1
Port Name Status Vlan Level Duplex Speed Type
----- ------------------ ---------- ---------- ------ ------ ----- ------------
2/1 connected 522 normal half 100 100BaseTX
Port Security Secure-Src-Addr Last-Src-Addr Shutdown Trap IfIndex
----- -------- ----------------- ----------------- -------- -------- -------
2/1 enabled 00-90-2b-03-34-08 00-90-2b-03-34-08 No disabled 1081
Port Broadcast-Limit Broadcast-Drop
-------- --------------- --------------
2/1 - 0
Port Align-Err FCS-Err Xmit-Err Rcv-Err UnderSize
----- ---------- ---------- ---------- ---------- ---------
2/1 0 0 0 0 0
Port Single-Col Multi-Coll Late-Coll Excess-Col Carri-Sen Runts Giants
----- ---------- ---------- ---------- ---------- --------- --------- ---------
2/1 0 0 0 0 0 0 0
Last-Time-Cleared
--------------------------
Fri Jul 10 1998, 17:53:38
Ví dụ bổ sung MAC address vào danh sách bảo mật.
Console> (enable) set port security 2/1 enable 00-90-2b-03-34-08
Port 2/1 port security enabled with 00-90-2b-03-34-08 as the secure mac address
Trunking disabled for Port 2/1 due to Security Mode
Console> (enable)
Xác định số lượng MAC address tối đa.
Bạn có thể xác định số lượng MAC address tối đa cho phép trên port. Số lượng tối đa cho phép là 1024 MAC address.
Ví dụ
Console> (enable) set port security 7/7 maximum 20
Maximum number of secure addresses set to 20 for port 7/7.
Console> (enable)
Console> (enable) set port security 7/7 maximum 18
Maximum number of secure addresses set to 18 for port 7/7
00-11-22-33-44-55 cleared from secure address list for port 7/7
00-11-22-33-44-66 cleared from secure address list for port 7/7
Console> (enable)
Xác định thời gian hiệu lực của port security:
Thời gian hiệu lực này bắt đầu tính từ khi MAC address tương ứng truyền dữ liệu qua port. Khi hết thời gian này MAC address này sẽ tự động bị xóa khỏi danh sách bảo mật. Thời gian này có thể từ 10 đến 1440 phút. Giá trị 0 có nghĩa là không xác định thời gian hiệu lực cho port security.
Console> (enable) set port security 7/7 age 600
Secure address age time set to 600 minutes for port 7/7.
Console> (enable)
Xóa bỏ MAC Address
Sử dụng lệnh clear port security để xóa MAC address khỏi danh sách bảo mật:
Ví dụ:
Console> (enable) clear port security 7/7 00-11-22-33-44-55
00-11-22-33-44-55 cleared from secure address list for port 7/7
Console> (enable)
Console> (enable) clear port security 7/5-7 all
All addresses cleared from secure address list for ports 7/5-7
Console> (enable)
Xác định Security Violation Action
Khi có sự xâm nhập vào chế độ bảo mật, port có thể được đặt vào 1 trong 2 trạng thái sau:
+ Shutdown: Shutdown port cố định hay trong một khoảng thời gian xác định. Mặc định là shutdown cố định.
+ Giới hạn: Loại bỏ tất cả các packet từ MAC address lạ nhưng port vẫn ở trạng thái hoạt động..
Ví dụ:
Console> (enable) set port security 7/7 violation restrict
Port security violation on port 7/7 will cause insecure packets to be dropped.
Console> (enable)
• Xác định Shutdown Time
Ví dụ:
Console> (enable) set port security 7/7 shutdown 600
Secure address shutdown time set to 600 minutes for port 7/7.
Console> (enable)
Loại bỏ Port Security
Ví dụ:
Console> (enable) set port security 2/1 disable
Port 2/1 port security disabled.
Console> (enable)
Console> (enable) show port security 2/1
Port Security Violation Shutdown-Time Age-Time Max-Addr Trap IfIndex
----- ------- --------- ------------- -------- -------- - ------ -------
3/24 disabled restrict 20 300 10 disabled 921
Port Num-Addr Secure-Src-Addr Age-Left Last-Src-Addr Shutdown/Time-Left
----- -------- ----------------- -------- ----------------- ------------------
3/24 1 00-e0-4f-ac-b4-00 - - - -
Console> (enable)
Monitoring Port Security
Lệnh show port security hiển thị các thông tin sau:
+ Hiển thị danh sách MAC addressesbảo mật.
+ Số lượng MAC address tối đa.
+ Thời gian hiệu lực
+ Shutdown/security mode
Ví dụ:
Console> (enable) show port security 3/24
Port Security Violation Shutdown-Time Age-Time Max-Addr Trap IfIndex
----- -------- --------- ------------- -------- -------- -------- -------
3/24 enabled shutdown 300 60 10 disabled 921
Port Num-Addr Secure-Src-Addr Age-Left Last-Src-Addr Shutdown/Time-Left
----- -------- ----------------- -------- ----------------- ------------------
3/24 4 00-e0-4f-ac-b4-00 60 00-e0-4f-ac-b4-00 no -
00-11-22-33-44-55 0
00-11-22-33-44-66 0
00-11-22-33-44-77 0
Console> (enable) show port security statistics 3/24
Port Total-Addrs Maximum-Addrs
----- ----------- -------------
3/24 4 10
Console> (enable)
Port Total-Addrs Maximum-Addrs
----- ----------- -------------
3/24 1 10
Console> (enable)
Console> (enable) show port security statistics 7
Port Total-Addrs Maximum-Addrs
----- ----------- -------------
7/1 0 1
7/2 0 1
7/3 0 1
7/4 0 1
7/5 0 1
7/6 0 1
7/7 0 1
7/8 0 1
7/9 0 1
7/10 0 200
7/11 0 1
7/12 0 1
7/13 0 1
7/14 0 1
7/15 0 1
7/16 0 1
7/17 0 1
7/18 0 1
7/19 0 1
7/20 0 1
7/21 0 1
7/22 0 1
7/23 0 1
7/24 0 1
Module 7:
Total ports: 24
Total MAC address(es): 223
Total global address space used (out of 1024): 199
Status: installed
Console> (enable)
Console> (enable) show port security statistics system
Module 1:
Total ports: 2
Total MAC address(es): 2
Total global address space used (out of 1024): 0
Status: installed
Module 3:
Module does not support port security feature
Module 6:
Total ports: 48
Total MAC address(es): 48
Total global address space used (out of 1024): 0
Status: installed
Module 7:
Total ports: 24
Total MAC address(es): 223
Total global address space used (out of 1024): 199
Status: installed
Console> (enable)
3.6.2 IP permit list.
Tính năng IP permit ngăn chặn các IP address không có thẩm quyền truy cập vào switch thông qua Telnet hay SNMP. Các dịch vụ TCI/IP khác (như IP traceroute và IP ping) vẫn hoạt động bình thường. Các phiên outbound telnet, TFTP và các dịch vụ dựa trên IP khác cũng không bị ảnh hưởng.
Bạn có thể cấu hình đến 10 entry trong IP permit list. Mỗi một entry bao gồm một cặp IP address và subnet mask. Trong câu lệnh xác định IP permit, nếu không xác định subnet mask hay sử dụng tên host thay cho IP address, giá trị mặc định của subnet mask sẽ là 255.255.255.255, nếu không xác định loại truy cập bị giới hạnlà Telnet hay SNMP, cả hai dịch vụ sẽ cùng bị giới hạn.
• Cấu hình IP Permit mặc định
• Cấu hình IP Permit List
Bổ sung IP Address vào IP Permit List
Cho phép IP Permit List
Tắt the IP Permit List
Xóa IP Permit List Entry
Bổ sung IP Address vào IP Permit List
Ví dụ:
Console> (enable) set ip permit 172.16.0.0 255.255.0.0 telnet
172.16.0.0 with mask 255.255.0.0 added to telnet permit list.
Console> (enable) set ip permit 172.20.52.32 255.255.255.224 snmp
172.20.52.32 with mask 255.255.255.224 added to snmp permit list.
Console> (enable) set ip permit 172.20.52.3 all
172.20.52.3 added to IP permit list.
Console> (enable) show ip permit
Telnet permit list feature enabled.
Snmp permit list feature enabled.
Permit List Mask Access Type
---------------- ---------------- -------------
172.16.0.0 255.255.0.0 telnet
172.20.52.3 snmp telnet
172.20.52.32 255.255.255.224 snmp
Denied IP Address Last Accessed Time Type Telnet Count SNMP Count
----------------- ------------------ ------ ------------ ----------
172.100.101.104 01/20/97,07:45:20 SNMP 14 1430
172.187.206.222 01/21/97,14:23:05 Telnet 7 236
Console> (enable)
Cho phép IP Permit List
Ví dụ:
Console> (enable) set ip permit enable
IP permit list enabled.
Console> (enable) set snmp trap enable ippermit
SNMP IP Permit traps enabled.
Console> (enable) set logging level ip 4 default
System logging facility <ip> set to severity 4(warnings)
Console> (enable) show ip permit
Telnet permit list feature enabled.
Snmp permit list feature disabled.
Permit List Mask Access-Type
---------------- --------------- ---------------
172.16.0.0 255.255.0.0 telnet
172.20.52.3 snmp telnet
172.20.52.32 255.255.255.224 snmp
Denied IP Address Last Accessed Time Type Telnet Count SNMP Count
----------------- ------------------ ------ ------------ ----------
172.100.101.104 01/20/97,07:45:20 SNMP 14 1430
172.187.206.222 01/21/97,14:23:05 Telnet 7 236
Console> (enable) show snmp
RMON: Disabled
Extended Rmon: Extended RMON module is not present
Traps Enabled:
ippermit
Port Traps Enabled: None
Community-Access Community-String
---------------- --------------------
read-only public
read-write private
read-write-all secret
Trap-Rec-Address Trap-Rec-Community
---------------------------------------- --------------------
Console> (enable)
Tắt IP Permit List
Ví dụ:
Console> (enable) set ip permit disable
IP permit list disabled.
Console> (enable)
Xóa IP Permit List Entry
Ví dụ:
Console> (enable) clear ip permit 172.100.101.102
172.100.101.102 cleared from IP permit list.
Console> (enable) clear ip permit 172.160.161.0 255.255.192.0 snmp
172.160.128.0 with mask 255.255.192.0 cleared from snmp permit list.
Console> (enable) clear ip permit 172.100.101.102 telnet
172.100.101.102 cleared from telnet permit list.
Console> (enable) clear ip permit all
IP permit list cleared.
Console> (enable)