10个局域网安全实验

1、 配置端口安全

Switch(config)#int f0/1

Switch(config-if)#switchport port-security

               Switchport port-security mac-address 0001.0001.0001

               Switchport port-security maximum 1

               Switchport port-secruity violation shutdown

注意事项：

l         配置安全端口之前必须使用命令switchport mode access将端口设置为access端口。

l         当端口由于违规被关闭时，可以在全局模式下用errdisable recovery 命令将其恢复到UP状态。

l         在实验中安全MAC地址清配置为测试主机PC1的真实MAC地址。

2、 配置动态ARP检测

SW2(config)#ip arp inspection

SW2(config)#ip arp inspection vlan 2

! 在VLAN2上启用DAI

SW2(config)#int f0/24

SW2(config-if)#ip arp inspection trust

! 配置F0/24端口为监控信任端口

注意事项：

l         DHCP监听只能够配置在物理端口上，不能配置在VLAN接口上。

l         DAI只能够配置在物理端口上，不能配置在VLAN接口上。

l         如果端口所属的VLAN启用了DAI，并且为Untrust端口，当端口收到ARP报文后，若查找不到DHCP监听表项，则丢弃ARP报文，造成网络中断。

l         WinArpSpoofer软件仅可用于实验。

3、 配置端口阻塞

Switch(config)#int f0/3

Switch(config-if)#switchport block unicast

! 配置F0/3为阻塞端口

实验原理：交换机的端口阻塞是指在特定端口上，阻止广播、未知目的的MAC单播或未知目的的MAC组播帧从这个端口泛洪出去，这样不仅节省了带宽资源，同时也避免了终端设备收到多余的数据帧。

4、 配置系统保护

Switch(config)#int f0/1

Switch(config-if)#system-guard enable

Switch(config-if)#system-guard scan-dest-ip-attack-packets 100

! 配置针对目的IP地址变化的扫描的检测阈值为每秒100个不同目的的IP的报文

Switch(config-if)#system-guard isolate-time 600

! 配置隔离时间为600s

实验原理：交换机系统保护特性是一种工作在物理端口的安全机制，它通过监视端口收到的报文的速率判断是否存在扫描攻击，并对攻击IP进行阻断，保护交换机系统资源。系统保护可以识别两种攻击行为：目的IP地址变化的扫描和针对网络中不存在的IP发送大量报文的攻击。

5、 配置风暴控制

Switch(config)#int f0/1

Switch(config-if)#storm-control broadcast pps 100

! 设置报文速率阈值为每秒100个报文

注意事项：

l         实际启用风暴控制的端口所允许通过的流量可能会与配置的阈值有细微的偏差。

6、 配置ARP检查

Switch(config)#port-security arp-check

Switch(config)#int f0/1

Switch(config-if)#switchport port-secruity

               Switchport port-secruity mac-address 0008.0df9.4c64 ip-address 172.16.1.64

               !将攻击者的MAC地址与其真实的IP地址绑定

注意事项：

l         WinArpSpoofer软件仅可用于实验。

7、              配置BPDU Guard

Switch(config)#int f0/1

Switch(config-if)#spanning-tree bpduguard enable

注意事项：

l         当端口进入“err-disabled”状态后，端口将被关闭，丢弃所有报文，需要使用errdisable recovery命令手工启用端口，或者使用errdisable recovery interval time命令设置超时间隔，此时间间隔过后，端口将自动被启用。

8、 配置DHCP监听

SW1(config)#ip dhcp snooping

SW1(config)#int f0/1

SW1(config-if)#ip dhcp snooping trust

注意事项：

l         DHCP监听只能够配置在物理端口上，不能配置在VLAN接口上。

9、 配置保护端口

Switch(config)#int r f0/1-2

Switch(config-if-range)#switchport protected

! 配置端口F0/1和端口F0/2为保护端口

背景描述：某网络中，有两台服务器属于同一个VLAN中，并且接入到了一台交换机上。为了安全起见，需要防止这两台服务器之间进行通信。

10、 配置PortFast

Switch(config)#int r f0/1-2

Switch(config-if-range)#spanning-tree portfast

注意事项：

l         仅RSTP与MSTP支持PortFast特性

背景描述：

正常情况下，交换机会向所有启用的接口发送BPUD报文，以便进行生成树的选举与拓扑维护。但是如果交换机的某个端口连接的为终端设备，如PC机、打印机等，而这些设备无需参与STP计算，所以无需接收BPDU报文。

服务器租用/服务器托管中国五强！虚拟主机域名注册顶级提供商！15年品质保障！--亿恩科技[ENKJ.COM]