W tym filmie omówimy zabezpieczenia portów, które służą do zapewnienia poziomu
uwierzytelnienia w środowisku Ethernet w środowisku przewodowej sieci Ethernet.
Nic nie stoi na przeszkodzie, aby po prostu podłączyć komputer do dowolnego otwartego portu w sieci.
Dla przykładu nic nie stoi na przeszkodzie, aby użytkownik łączył swój komputer z portem w
biurze dyrektora, co skutkuje dostępem do złoczyńcy reżysera.
Nic nie stoi na przeszkodzie, aby użytkownik łączył bezprzewodowy punkt dostępowy z siecią i umożliwia
wielu użytkownikom dostęp do sieci przewodowej przez ten punkt dostępu bezprzewodowego.
To poważne zagrożenie dla bezpieczeństwa.
Jakie jest bezpieczeństwo portów? Sprawdza źródłowy adres MAC odebranych ramek na porcie i
można ograniczyć ramki są dozwolone na określonym porcie do pojedynczego adresu MAC, który konfigurujesz lub
do ograniczonej liczby adresów MAC, które są dynamicznie nauczyliśmy.
Są różne opcje, które omówimy.
Ale na przykład można powiedzieć, że na porcie, który łączy się z biurem dyrektora, tylko adres
MAC powiązany z laptopem lub komputerem osobistym może wysyłać ramki do przełącznika, a zatem
należy do dyrektorów tego terenu.
Lub możesz ograniczyć liczbę adresów MAC dozwolonych w porcie, jako przykład możesz ograniczyć
liczbę adresów MAC do jednego, który pozwoliłby tylko jednemu komputerowi na dostęp do sieci przez ten port.
Lub jeśli masz komputer podłączony do telefonu IP, możesz ograniczyć adresy MAC do trzech 2 dla telefonu IP i
jednego dla komputera podłączonego do telefonu IP.
To zatrzymałoby użytkownika łączącego punkt dostępowy lub koncentrator z siecią i umożliwiając wielu nieautoryzowanym
urządzeniom dostęp do sieci Ethernet.
Należy pamiętać, że nie należy używać żadnego użytkownika kationowego.
Każde pytanie można zaimplementować za pomocą Ada do tego jednego x.
Jest to bardziej podstawowe uwierzytelnianie na podstawie adresów MAC, więc dozwolone są tylko ramki z określonych
adresów MAC lub ograniczona liczba adresów MAC jest dozwolona na porcie przełącznika, co rozwiązuje problem użytkownika łączącego
się z portem, do którego nie są uprawnieni. połączyć się z.
Zatrzymanie użytkownika łączącego koncentrator z bezprzewodowym punktem dostępowym z siecią, umożliwiając w ten sposób
nieautoryzowany dostęp do sieci.
Możesz zdecydować, co się stanie, gdy dojdzie do naruszenia zabezpieczeń portów.
Możesz po prostu upuścić klatki lub możesz zamknąć port używając tego, co nazywa się
błędem lub wyłączyć stan w najbezpieczniejszej implementacji, w której wyłączasz port.
Jako administrator musisz ręcznie ponownie włączyć port, aby użytkownik musiał skontaktować się z działem pomocy technicznej
jako przykładem i wyjaśnić, że nie ma już dostępu do sieci.
Następnie możesz zbadać, co się stało, i zobaczysz, czy autoryzowany adres MAC lub grupa adresów
MAC próbowały uzyskać dostęp do sieci przez ten port.
Zabezpieczenia portów to jeden z wielu mechanizmów bezpieczeństwa, które można wdrożyć w sieci.
Bezpieczeństwo jest jak stary zamek, jak pokazano tutaj.
Chodzi o to, że masz wiele mechanizmów bezpieczeństwa, które same w sobie
nie zapewniają całkowitego bezpieczeństwa, ale każda warstwa zabezpieczeń lub każdy mechanizm dodaje wyższy poziom bezpieczeństwa.
W tym przykładzie musielibyście przejść przez morze, aby dostać się do zamku.
Wtedy musisz przeskalować zewnętrzną ścianę, a ty wciąż nie jesteś w centrum zamku.
Musiałbyś wspiąć się na to wzgórze, a następnie przeskalować wewnętrzną ścianę, aby jako przykład dostrzec
króla w zamku.
Tak więc w bezpieczeństwie implementujesz wiele ścian lub mechanizmów, aby utrudnić hakerom zaatakowanie
twojej sieci.
Dotyczy to również użytkowników, którzy nieumyślnie lub nie złośliwie robią coś, czego nie powinni wykonywać w
Twojej sieci.
Tak więc bezpieczeństwo portów nie jest mechanizmem catch all security.
To tylko jeden z wielu i zapewnia podstawowy lub podstawowy mechanizm zabezpieczeń sieci Ethernet.
Po raz kolejny nie ma wbudowanego zabezpieczenia.
Użytkownik może po prostu podłączyć laptopa do sieci i uzyskać pełny dostęp do sieci, teraz jest
kilka sposobów na poznanie adresów MAC.
Pierwszy statyczny sposób statycznej konfiguracji określonych adresów MAC, które są dozwolone lub dozwolone
na porcie, adresy MAC, których nie określa się niedozwolonymi na porcie.
Zaletą tej metody jest to, że masz dużo kontroli, ale
wadą jest to, że musisz ręcznie określić, jakie są adresy MAC wszystkich urządzeń, a następnie ręcznie je skonfigurować.
Można również użyć uczenia dynamicznego, w którym określa się, ile adresów MAC jest dozwolone na porcie
i są one dynamicznie uczone.
Na przykład można powiedzieć, że tylko dwa adresy MAC są dozwolone
na porcie, a pierwsze dwa adresy MAC, które są wyuczone, są dozwolone, a wszelkie
kolejne adresy MAC są niedozwolone, użyłbyś tego jako przykładu do ograniczenia adresów MAC dozwolonych, ale nie
do których adresy MAC są dozwolone, więc ograniczasz liczbę adresów MAC, a nie ograniczanie na podstawie określonych adresów MAC.
Pamiętać o nauce Domenica jest to, że gdy przełącznik zostanie ponownie uruchomiony, gdy port
zostanie opuszczony, adresy MAC zostaną usunięte, a nowe adresy MAC będą wtedy dozwolone, gdy port pojawi
się ponownie.
Można również określić przedział wiekowania, aby umożliwić zapomnienie adresów MAC po pewnym czasie.
Więc jeśli miałeś sytuację, w której miałeś gorące biurko lub salę konferencyjną, możesz zezwolić na określoną liczbę adresów
MAC na porcie, ale te adresy MAC mogą się zmieniać z czasem.
Można również wykonać połączenie uczenia statycznego i dynamicznego, w którym wyraźnie dozwolone są określone
adresy MAC.
Jako przykład można ograniczyć liczbę adresów MAC na porcie do czterech, ale tylko statycznie skonfigurowane
do adresów MAC pozostałe dwa adresy MAC mogą być dynamicznie nauczone.
Statyczne adresy MAC nie są jotą, ale możesz pozwolić dynamicznie
wyuczonym adresom MAC na uczenie się stikkiem pozwala automatycznie dodać wyuczony adres MAC do uruchomionej konfiguracji
przełącznika.
Zamiast statycznego konfigurowania adresów MAC można zezwolić przełącznikowi na poznanie
adresów MAC, a następnie dodanie ich do konfiguracji po zapisaniu uruchomionej konfiguracji do konfiguracji startowej.
Te adresy MAC będą przechowywane w pamięci nv i dlatego nie zostaną utracone, jeśli przełącznik zostanie ponownie uruchomiony.
Istnieją różne opcje.
Pamiętaj, że bezpieczeństwo portów to pierwszy sposób na wdrożenie zabezpieczeń.
Umożliwia ograniczenie liczby adresów MAC dozwolonych na porcie i pozwala określić, które
adresy MAC są dozwolone na porcie.
Możesz ograniczyć się tylko do adresów MAC na porcie, ale nie martwić się, jakie są te
adresy MAC.
Zatrzymaliby użytkownika, który doprowadziłby punkt dostępowy lub router domowy do pracy i podłączenie go do sieci
oraz umożliwienie znajomym dostępu do sieci.
Albo możesz być surowy i zezwalać tylko na określone adresy MAC na porcie, aby użytkownik nie mógł połączyć się z
portem reżysera, a tym samym mieć dostęp do widoku reżysera i.