امن سازی سوئیچ های سیسکو | امنیت در سوئیچ های سیسکو
سطوح امنسازی در سوئیچهای لایه 2
امنسازی Management plane
پیکربندی و محدودسازی Lineهای VTY
فعال کردن SSH
تنظیمات Time and NTP
غیرفعال کردن سرویسهای غیرضروری
جلوگیری از TCP SYN Flood و Buffer Overflow
امنسازی پسوردها
جلوگیری از تلاشهای ناموفق ورود
پیادهسازی MPP
پیادهسازی Login Block For
تنظیمات Syslog
امنسازی Control plane
تنظیمات VTP
تنظیمات Spanning-tree
تنظیمات امنیتی پورت Trunk
تنظیمات امنیتی Port Security
تنظیمات امنیتی DHCP
تنظیمات امنیتی ARP
تنظیمات IP Source Guard
امنسازی Data plane
غیرفعالسازی ترافیکهایIP Option و سرویس IP Redirect
تنظیمات Access Control List
امن سازی سوئیچ های سیسکو | امنیت در سوئیچ های سیسکو
دستورالعملهای امنسازی سوئیچهای لایه 2
این سند راهنمایی برای پیکربندی امن سوئیچهای لایه 2 میباشد. در این سند مقادیر و تنظیمات امن برای پیکربندی ارائه‌شده است. مخاطب، با استفاده از این سند توانایی پیادهسازی تنظیمات ارائه‌شده را خواهد داشت. این سند به‌منظور استفاده مدیران شبکه و متخصصان امنیت شبکه وزارت راه و شهرسازی تدوین گردیده است که میتواند مرجعی برای پیکربندی امن برای سوئیچهای لایه 2 باشد.
پوشش ویژگیهای امنیتی در این سند، اغلب جزئیات کافی برای پیکربندی ویژگیهای امن سوئیچهای لایه 2 را در اختیار کارفرما قرار خواهد داد. این سند حاوی توصیههایی است که در صورت امکان و وجود شرایط لازم در سازمان جهت پیادهسازی این دستورالعملها، به امنیت شبکه کمک شایانی میکند. لازم به ذکر است بیشتر تنظیمات پیشنهادی این مستند به‌جز مواردی محدود مانند AAA، بدون نیاز به سختافزار یا نرمافزار خاصی بر روی تجهیزات لایه 2 قابل پیادهسازی میباشند.
این سند، اطلاعاتی را برای راهنمایی کارفرما و کارشناسان در امنسازی سوئیچهای لایه 2 شرح داده است که باعث افزایش امنیت کلی شبکه در سازمان میشود. در این سند با در نظر گرفتن سه ساختار مهم عملکرد دستگاهها با کمک اسناد مربوطه توصیههای امنسازی گردآوری‌شده است.
در سوئیچهای لایه 2 سه سطح عملکرد مختلف جهت امنسازی وجود دارد که هرکدام عملکردهای مختلفی را ارائه میدهند:
-
امنسازی Management Plane
Management Plane ترافیکی که به دستگاه ارسال میشود و از برنامهها و پروتکلهایی مانند Secure Shell (SSH) و Simple Network Management Protocol (SNMP) تشکیل‌شده است را، مدیریت میکند.
- امنسازیControl Plane
Control Plane ترافیکی را پردازش میکند که برای Maintain عملکرد زیرساخت شبکه از اهمیت بالایی برخوردار است. Control Plane شامل Applicationها و پروتکلهایی بین دستگاههای شبکه است که شامل پروتکل Border Gateway (BGP) و همچنین پروتکلهای Interior Gateway (IGP) مانندEnhanced Interior Gateway Routing Protocol (EIGRP) و Open Shortest Path First (OSPF) است.
- امنسازیData Plane
Data Plane داده را از طریق دستگاههای شبکه Forward میکند. لازم به ذکر است که Data Plane شامل ترافیکی نیست که مقصد خود دستگاه باشد.
پوشش ویژگیهای امنیتی در این سند، اغلب جزئیات کافی برای پیکربندی ویژگیهای امن سوئیچهای لایه 2 را در اختیار کارفرما قرار خواهد داد. این سند حاوی توصیههایی است که در صورت امکان و وجود شرایط لازم در سازمان جهت پیادهسازی این دستورالعملها، به امنیت شبکه کمک شایانی میکند.
پروتکلهای مدیریتی مانند SSH ,HTTP ,HTTPS ,SNMP ,NTP ,NETFLOW و… در دستگاهها، نیاز به امنسازی دارند تا بتوان ایجاد محدودیت کرد که امکان مدیریت دستگاهها را فراهم کند و حتی پروتکلهای ناامنی مانند TELNET، HTTP و… را بر روی دستگاه غیرفعال کرد. در کنار این موارد استفاده از نسخههای بهروز پروتکلهایی مانندSNMP ,NTP و… از اهمیت بالایی برخوردار است.
روشهای مختلفی برای دسترسی به روتر، سوئیچ یا Deviceهای سیسکو وجود دارد مانند پورت Console و پورتهای مجازی Line VTY و غیره. برای امنیت بیشتر Lineهای VTY و کنسول میتوان از محدود کردن این قسمتها استفاده کرد.
جدول 2- Lineهای VTY و کنسول
| پیکربندی | عنوان | ردیف |
| پیکربندی Lineکنسول به احراز هویت از AAA | ||
| hostname(config)#line console 0
hostname(config-line)#login authentication {default | aaa_list_name} |
پیکربندی Line Con 0 | 1 |
| پیکربندی و محدودسازیVTY 0 1 Line | ||
| hostname(config)#line vty 0 1
hostname(config-line)#login authentication {default | aaa_list_name} |
پیکربندی نحوه ورود به Line vty 0 1 به احراز هویت از AAA | 2 |
| hostname(config)#line vty 0 1
hostname(config-line)#exec-timeout 5 0 |
پیکربندی Timeout | 3 |
| hostname(config)#line vty 0 1
hostname(config-line)# Privilege Level 15 |
تنظیم Privilege Level | 4 |
| hostname(config)#line vty 0 1
hostname(config-line)# Transport input ssh |
تنظیم Transport Input | 5 |
| hostname(config)#line vty 0 1
hostname(config-line)# Transport output none |
تنظیم Transport Output | 6 |
| پیکربندی و محدودسازیVTY 2 15 Line | ||
| hostname(config)#line vty 2 15
hostname(config-line)#no exec |
غیرفعالسازی line | 7 |
| hostname(config)#line vty 2 15
hostname(config-line)# Transport input none |
تنظیم Transport input | 8 |
| hostname(config)#line vty 2 15
hostname(config-line)# Transport output none |
تنظیم Transport output | 9 |
| پیکربندی ACLجهت محدودسازی دسترسی بهLineهای دستگاه | ||
| hostname(config)#access-list 10 permit <Network Addr> <Wildcard Mask>
hostname(config)#line vty <Line Number> hostname(config)#access-class 10 in |
پیکربندی ACL | 10 |
با توجه به ماهیت Clear text بودن پروتکل Telnet، امکان Sniff کردن این پروتکل زیاد است و ممکن است اطلاعات مهمی مانند کلمات عبور تجهیزات، افشا شوند. بنابراین استفاده از پروتکلVersion2 SSH به همراه طول کلید مناسب برای تمامی تجهیزات شبکه الزامی است. به‌روزرسانی IOS تجهیزات به نسخهای که ویژگی SSH را پشتیبانی میکند ضروری میباشد. البته باید دقت داشته باشید که این ویژگی در نسخههایK9 از IOS پشتیبانی میشود.
جدول 3- پیکربندی SSH
| پیکربندی | عنوان | ردیف |
| hostname(config)#hostname{switch or router name} | تنظیم نام دستگاه | 1 |
| hostname (config)#ip domain-name{domain-name} | تنظیم نام دامنه | 2 |
| hostname(config)#crypto key generate rsa general-keys modulus 2048 | تنظیمCrypto Key Generate RSA | 3 |
| hostname(config)#ip ssh timeout [60] | تنظیم زمان برای ارتباط SSH | 4 |
| hostname(config)#ip ssh authentication-retries [3] | محدود کردنIP SSH Authentication-retries | 5 |
| hostname(config)#ip ssh version 2 | استفاده از SSH نسخه 2 | 6 |
| hostname(config)#line vty <line-number> <ending-line-number>
hostname(config-line)#transport input ssh |
تنظیم SSH برای Line VTY و غیرفعال کردن Telnet | 7 |
همزمانسازی زمان و تاریخ تجهیزات شبکه برای ثبت و ضبط رخدادها و نیز امکان رهگیری، از الزامات امنیتی و کنترلی است. تنظیمات مذکور میبایست بهگونهای باشد که سوئیچهای ناحیه Core بتوانند باNTP ، خود را هم‌زمان سازند و دستگاهها و تجهیزات داخلی بتوانند خود را با آنها هم‌زمان سازند. در خصوص پیکربندی سرویس NTP رعایت موارد زیر پیشنهاد میگردد.
جدول 5- پیکربندی NTP
| پیکربندی | عنوان | ردیف |
| hostname(config)# clock timezone TEH +3 30 | تنظیم Time Zone | 1 |
| hostname(config)#ntp authenticate | تنظیم NTP authenticate | 2 |
| hostname(config)#ntp authentication-key{ntp_key_id} md5 {ntp_key} | تنظیم NTP authentication-key | 3 |
| hostname(config)#ntp trusted-key {ntp_key_id} | تنظیم NTP trusted-key | 4 |
| hostname(config)#ntp server {ntp-server_ip_address}{key ntp_key_id} | تنظیم key for each NTP sever | 5 |
| hostname(config)#ntp server {ip address} | تنظیم ip address for NTP server | 6 |
فعال بودن سرویسهای غیرضروری سبب ایجاد حفرههای امنیتی در تجهیزات شبکه میشود که امکان سوءاستفاده از آنها را برای انجام کارهای مخرب فراهم مینماید. لذا جهت افزایش امنیت و کاهش نقاط آسیبپذیر شبکه، میبایست کلیه سرویسهای غیرضروری بر روی تجهیزات شبکه غیرفعال گردد. با توجه به وضعیت فعلی پیکربندی تجهیزات شبکه پیشنهاد میگردد حداقل سرویسهای ذیل غیرفعال گردند. لازم به ذکر است که ممکن است دستگاه، تمامی این موارد را پشتیبانی نکند.
جدول 6- غیرفعال کردن سرویسهای غیرضروری
| پیکربندی | عنوان | ردیف |
| hostname(config)#int { interface_number} [Access Port]
hostname(config-if)#no cdp enable |
غیرفعال کردن سرویسCDP بر روی پورتهای Access در صورت عدم استفاده از Cisco VOIP | 1 |
| hostname(config)#no lldp run | غیرفعال کردن LLDP روی تمامی پورتها | 2 |
| hostname(config)#no ip bootp server
hostname(config)#ip dhcp bootp ignore |
غیرفعال کردن سرویس BOOTP | 3 |
| hostname(config)#no service dhcp | غیرفعال کردن سرویس DHCP | 4 |
| hostname(config)#no ip finger | غیرفعال کردن سرویس Finger | 5 |
| hostname(config)#no ip domain-lookup | غیرفعال کردن سرویسDNS در دستگاه | 6 |
| hostname(config)#no ip http server
hostname(config)#no ip http secure-server |
غیرفعال کردن سرویس HTTP و HTTPS | 7 |
| hostname(config)#no vstack join-window mode
hostname(config)#no vstack |
غیرفعال کردن سرویس Vstack | 8 |
حمله SYN flood در دسته حمله‌های DDoS قرار می‌گیرد و مانند این حمله‌ها، سعی میکند با ارسال درخواست و مشغول نگه‌داشتن سرور، ظرفیت سرور برای پاسخ‌گویی به درخواست‌ها را به حداقل ممکن برساند و مانع دسترسی کاربران به سرویس شود. زمانی که یک کاربر (برای نمونه یک مرورگر) قصد دارد با استفاده از پروتکل TCP به سروری وصل شود، ابتدا یک پیام SYN برای سرور ارسال میکند. کاربر با ارسال این پیام، اطلاعاتی را در اختیار سرور می‌گذارد که از آنها پس از ایجاد TCP connection و برای تبادل اطلاعات استفاده میشود. سرور در جواب پیام SYN، یک پیام ACK ارسال میکند که نشان‌دهنده‌ی دریافت پیام SYN کاربر است. سپس، به شکل هم‌زمان یک پیام SYN را نیز، برای کاربر ارسال میکند. در پایان اگر کاربر هم برای سرور جواب ACK را ارسال کند، TCP connection برقرار میشود.
جدول 7- پیکربندی جهت جلوگیری از TCP Syn Flood
| پیکربندی | عنوان | ردیف |
| hostname (config)# service tcp-keepalives-in
hostname (config)# service tcp-keepalives-out |
فعالسازی TCP Keepalive | 1 |
امنسازی تمامی پسوردهای داخل Database دستگاه با انجام الگوریتمهای Hash روی پسوردهای متن‌باز.
جدول 9- امنسازی پسوردها
| پیکربندی | عنوان | ردیف |
| hostname(config)#username [username] secret [password] | تنظیم User | 1 |
| hostname(config)#service password-encryption | رمزنگاری کردن تمامی پسوردهای داخل دستگاه | 2 |
| hostname(config)#enable secret [password] | تنظیم پسورد برای ورود به Privilege Mode | 3 |
به کمک این روش میتوان مشخص کرد که اگر ورود ناموفق به دستگاه تا تعداد موردنظر صورت گرفت آن USER را بلاک کرد.
جدول 10- جلوگیری از تلاش ناموفق ورود
| پیکربندی | عنوان | ردیف |
| hostname(config)# aaa local authentication attempts max-fail <max-attempts> | قفل‌کردن یوزر در صورت تعداد تعیین‌شده نادرست ورود به دستگاه | 1 |
با پیادهسازیMPP یاManagement Plane Protection میتوان مشخص کرد که برای مدیریت دستگاه از چه پروتکلهایی استفاده کرد و از چه پورتهایی بتوان دستگاه را مدیریت کرد. این قابلیت در IOSهای ورژنهای 12.4 به بعد اضافه‌شده است.
جدول 11- پیکربندی MPP
| پیکربندی | عنوان | ردیف |
| hostname(config)# control-plane host
hostname(config)#management-interface gigabitethernet 0/1 allow ssh https |
مشخص کردن پروتکلهای مدیریتی و پورت فیزیکی مخصوص مدیریت | 1 |
یک ابزار فوقالعاده برای حملاتLogin Brute Force است که به این صورت عمل میکند که اگر در بازه زمانی خاص و مشخص‌شده کاربر غیرمجاز تلاش برای ورود به دستگاه را کرد آن را بلاک کند.
جدول 12- پیکربندی Login Block For
| پیکربندی | عنوان | ردیف |
| hostname(config)#login block-for 30 attempts 2 within 10 | بلاک کردن یوزر برای 30 ثانیه در صورت 2 بار تلاش ناموفق در بازه زمانی 10 ثانیه | 1 |
| hostname(config)#login quiet-mode access-class X | مستثنا کردن سیاست دستور قبلی برای موارد خاص مشخص‌شده در ACL | 2 |
| hostname(config)#login delay 10 | تنظیم 10 ثانیه تأخیر برای هر بار سعی در Login | 3 |
| hostname(config)# login on-failure | فعالسازی Log برای Loginهای ناموفق | 4 |
| hostname(config)# login on-success | فعالسازی Log برای Loginهای موفق | 5 |
برای ارسال پیامهای تولیدشده توسط تجهیزات شبکه به یک مکان متمرکز جهت جمعآوری و تحلیل این دسته از پیامها، میتوان از پیکربندی Syslog سرور استفاده نمود. پس از ایجاد این سرور میتوان با هدایت Syslog Messages، آنها را در سرور فوق برای نگهداری و بررسی مورداستفاده قرار داد.
جدول 13- پیکربندی Syslog
| پیکربندی | عنوان | ردیف |
| hostname(config)#logging on | تنظیم Logging on | 1 |
| hostname(config)#logging buffered [log_buffer_size]
[Recommended size is 64000] |
تنظیمBuffer Size | 2 |
| hostname(config)#logging console critical | تنظیم Logging Console Critical | 3 |
| hostname(config)#logging host syslog_server | تنظیم IP Address for Logging Host | 4 |
| hostname(config)#logging trap informational | تنظیم Logging Trap Informational | 5 |
| hostname(config)#service timestamps debug datetime {msec} show-timezone | تنظیم Service Timestamps Debug Datetime | 6 |
| hostname(config)#logging source-interface | تنظیم Logging Source Interface | 7 |
ترافیکها از نگاه روتر و سوئیچ یا هر دستگاه شبکهای به دودسته کلیHOST وTransmit تقسیم میشوند ترافیکهایHOST مقصد خود دستگاه را دارند و معمولاً توسطCPU دستگاه تحلیل میشوند، ولی ترافیکهای عبوری معمولاً توسط سختافزار جدا در دستگاهها تحلیل میشوند که در تجهیزات سیسکو توسطCEF امکانپذیر است. در کنار این موارد، ترافیکهای کنترلی دیگری نیز وجود دارد که فقط توسطCPU دستگاه تحلیل میشود که مقصد این ترافیکهای عمدتاًBroadcast یا Multicast است مانند ARP ,CDP ,VTP ,OSPF ,EIGRP و …
لازم به ذکر است حتی ترافیکهای از جنسTransmit در شرایط خاص توسطCEF تحلیل نمیشوند (مانند بستههایی کهIP OPTION دارند) یا حتی بستههای سایز بالاتر ازMTU روتر که نیاز به Fragmentation دارند. بنابراین باید ترافیکهایی که جزء این سه دسته کلی میباشند (که توسطCPU تحلیل میشوند) را امن کنیم تا منابع روتر یا سوئیچ (مانندCPU و Memory) دچار مشکل نشوند.
وظیفه این پروتکلShare کردنVLAN.dat سوئیچ VTP Server بر روی بقیه سوئیچها است. یعنی با ساختVLAN در سوئیچVTP Server سوئیچهایVTP Client بهصورت خودکار آنVLAN را بر روی خودساخته و در فایلVLAN.dat ذخیره میکنند.
همچنین پیشنهاد میشود در صورت پشتیبانی سوئیچ ازVTP ورژن سه از این نسخه، استفاده شود.
جدول 15- پیکربندیVTP
| پیکربندی | عنوان | ردیف |
| تنظیمات عمومی VTP | ||
| hostname(config)#vtp mode server | تنظیم VTP Server | 1 |
| hostname(config)#vtp mode client | تنظیم VTP Client | 2 |
| hostname(config)#vtp mode transparent | تنظیم VTP Transparent | 3 |
| hostname(config)#vtp domain <domain-name> | تنظیم VTP Domain | 4 |
| hostname(config)#vtp password <password> hidden/secret | تنظیم VTP Password | 5 |
| hostname(config)#vtp pruning | تنظیم VTP pruning در سرور | 6 |
| پیکربندی مخصوص VTP ورژن 3 | ||
| hostname(config)#vtp version 3 | تنظیمVTP ورژن 3 | 7 |
| hostname(config)# vtp password <Password> hidden | با Hidden و Secret کردن پسورد امکان Decrypt مشاهده آن بصورت Clear-Text وجود ندارد. | 8 |
| hostname(config)# vtp password <Password> secret | 9 | |
گاهی به دلیل رعایت افزودگی در سطح لینک، بین سوئیچها ارتباطات Layer 2 بسیاری را ایجاد میکنند که در صورت استفاده نکردن از پروتکلSTP ، ممکن است باعث ایجادLoop در شبکه شود و بازدهی شبکه را پایین آورد به همین دلیل، نه‌تنها باید از این پروتکل بهره برد، حتی نیاز به شخصیسازی آن میباشد تا در بهترین حالتLoop را تشخیص و از بین ببرد. استفاده از آخرین نسخهSTP یعنیRapid-PVST از اهمیت بالایی برخوردار است. زیرا میزان همگرایی شبکه را به‌شدت کاهش میدهد.
وجود پروتکلSTP باعث ضعفهای امنیتی است که با استفاده از مکانیزمهای امنیتی مانند BPDUguard وBPDUfilter میتوان آن را بهبود بخشید. به کمکPortfast کردن پورتها میتوان زمان همگرایی را بر روی این پورتها به صفر ثانیه رساند.
جدول 16- پیکربندی STP بر روی تجهیزات سیسکو
| پیکربندی | عنوان | ردیف |
| hostname(config)#spanning-tree mode rapid-pvst | تنظیم Rapid-STP | 1 |
| hostname(config)#spanning-tree vlan <vlan-id> priority 0 | تنظیم سوئیچRoot Bridge برایVlan مشخص | 2 |
| hostname(config)#int {interface_number}
hostname(config-if)#spanning-tree guard root |
فعالسازی Root guard | 3 |
| hostname(config)#int {interface_number}
hostname(config-if)#spanning-tree BPDUguard enable |
تنظیم BPDU guard | 4 |
| hostname(config)#int {interface_number}
hostname(config-if)#spanning-tree BPDUfilter enable |
تنظیم BPDU filter | 5 |
| hostname(config)#spanning-tree logging | فعالسازیLog در STP | 6 |
به کمکAllowed VLAN میتوان مشخص کرد ترافیکهای کدام‌یک ازVLAN ها بر روی پورت Trunk ارسال شود و به کمکNative VLAN میتوان مشخص کرد که ترافیک کدامVLAN بر روی پورت Trunk بهصورت بدون Tag ارسال شود.
جدول 17- پیکربندی و محدود کردن پورتهای Trunk
| پیکربندی | عنوان | ردیف |
| hostname(config)#interface {interface_number}
hostname(config-if)#switchport trunk allowed vlan <vlan-id> |
تنظیم allowed Vlan | 1 |
| hostname(config)#interface {interface_number}
hostname(config-if)#switchport trunk native vlan <vlan-id> |
تنظیم Native Vlan | 2 |
با استفاده از این مکانیزم، سیستمهای مجاز برای اتصال به شبکه تشخیص داده میشود و در صورتی که سیستمی مجاز نباشد، این اجازه به آن داده نشده و یک پیغام به سرور syslog ارسال شود. بدین منظور باید موارد زیر مشخص و پیادهسازی شود.
- تعداد MACهای قابل قبول بر روی هر پورت، بهترین عدد، عدد یک میباشد و در صورت استفاده از IP-Phone عدد دو یا سه پیشنهاد میگردد.
- تنظیم Violation در حالت Restrict (علاوه بر قطع سیستم غیرمجاز، یک پیغام برای syslog تولید میکند.)
جدول 18- پیکربندی Port-Security
| پیکربندی | عنوان | ردیف |
| hostname(config)#int {interface_number}
hostname(config-if)#switchport mode access hostname(config-if)#switchport port-security mac-address sticky hostname(config-if)#switchport port-security maximum [Number] hostname(config-if)#switchport port-security violation restrict hostname(config-if)#switchport port-security |
فعال کردن Port Security
(بر روی پورتهای سوئیچ Access) |
1 |
برای ایجاد امنیت در شبکه، یکی از روشهای ارائه شده پیادهسازی مکانیزم DHCP Snooping است. با انجام تنظیمات امنیتی DHCP، از حملات DHCP Snooping و DHCP Starvation جلوگیری میشود.
برای تنظیمات این ویژگی، موارد زیر باید مد نظر گرفته شود.
جدول 19- پیکربندی DHCP Snooping
| پیکربندی | عنوان | ردیف |
| hostname(config)#ip dhcp snooping vlan [VLAN ID]
hostname(config)#ip dhcp snooping information option [optional] hostname(config)#ip dhcp snooping verify mac-address [optional] hostname(config)#ip dhcp snooping hostname(config)#int {interface_number} [Trunk Port] hostname(config-if)#ip dhcp snooping trust |
فعال کردن DHCP Snooping
(بر روی سوئیچ Access) |
1 |
بهطور معمول برای ایجاد تناظر میان MAC و آدرس IP گیرنده، از پروتکل ARP استفاده میشود. این پروتکل به دلیل استفاده از الگوی ترافیکی Broadcast قابلیت حملات Man in the Middle را دارد. به این صورت که مهاجم میتواند اطلاعات نادرست را در پاسخ به درخواست ARP تولید کند. با استفاده از ARP Snoof Protection میتوان مانع از اقدام فوق شد. پیادهسازی این مکانیزم وابسته به DHCP Snooping میباشد.
جدول 20- پیکربندی ARP
| پیکربندی | عنوان | ردیف |
| hostname(config)#int {interface_number} [Trunk Port]
hostname(config-if)# ip arp inspection trust hostname(config)#ip arp inspection vlan [VLAN ID] hostname(config)#ip arp inspection validate src-mac ip [optional] hostname(config)#ip arp inspection log-buffer entries 1024 [optional] hostname(config)#int {interface_number} hostname(config-if)#ip arp inspection limit rate 100 [optional] |
فعال کردن ARP inspection
(بر روی سوئیچهای Access) |
1 |
یکی از ویژگیهای امنیتی که ارتباط نزدیکی با ویژگی DHCP Snooping دارد، ویژگی IP Source Guard است. با استفاده از این ویژگی میتوان از سوء استفاده مهاجم از آدرس IP یک سیستم در شبکه براساس جدولDHCP Snooping Binding Database جلوگیری کرد. پس از فعالسازی این قابلیت، بستههای داده ارسال شده روی پورت که با جدول فوق مطابقت ندارد، حذف میشود.
جدول 21- پیکربندی IP Source guard
| پیکربندی | عنوان | ردیف |
| hostname(config)#int {interface_number}
hostname(config-if)# ip verify source |
فعال کردن IP Source guard
(بر روی پورتهای سوئیچ Access) |
1 |
ترافیکهایData یعنی ترافیک کلاینتهایی که از روتر یا سوئیچ عبور میکند و امنسازی آن به این دلیل اهمیت بالایی دارد که مهاجمان نتوانند ترافیکها را بهصورت غیرمجاز مشاهده کنند و یا حملاتی از جنسMan in The Middle را در شبکه پیادهسازی کنند.
ترافیکهای دارایIP Option توسطCPU دستگاه تحلیل میشود و باید بستههایی که این مقدار را در خود دارند را،Drop کنیم. همچنین سرویسIP Redirect یک حفره امنیتی برای مهاجمان ایجاد میکند، که باید در دستگاههای غیرضروری غیرفعال شود.
از این ابزار برای اهداف متفاوتی استفاده میشود، مانند محدودسازی دسترسی به Lineهای مدیریتی دستگاه یا اعمال سیاستهای ترافیک. برای درک بهتر این ابزار مثالی طراحی‌شده است که در آن دسترسی شبکه 192.168.1.0/24 را برای پروتکلهای HTTP و Telnet به مقصد آدرس 172.16.1.100 محدود شده است.
جدول 23- پیکربندی ACL
| پیکربندی | عنوان | ردیف |
| hostname(config)#access-list 120 deny tcp 192.168.1.0 0.0.0.255 hos t 172.16.1.100 eq 80
hostname(config)#access-list 120 deny tcp 192.168.1.0 0.0.0.255 hos t 172.16.1.100 eq 23 hostname(config)#access-list 120 permit ip any any hostname(config)#interface <interface-Num> hostname(config-if)# ip access-group 120 in/out |
تنظیمACL | 1 |
[1] Network Time Protocol