交换机安全防御——MAC地址安全

2020-04-10

加入收藏

为什么需要mac安全？

任何网络接入都需要交换机。

不管什么型号的交换机这对二层数据转发都会有MAC地址表来进行指导转发。

[SW1]dis mac-address summary

显示MAC地址总体信息

看出可用MAC地址表共可用数量32768个。

MAC的学习是在同一个广播域里学习到的。所以一般这些MAC条目够用。

基于MAC地址的攻击：泛洪和欺骗

泛洪攻击：伪造大量不同源mac的数据包，如果设备没有ARP防护的话就会让交换机的MAC地址条目占满，交换机如果没有目的MAC地址的交换表，就会泛洪该数据包，所有处在同一广播域的设备都会收到。

MAC泛洪攻击实验：

使用Kali linux系统中的工具macof工具对本地局域网进行ARP泛洪攻击并使用wireshark进行抓包观察。

短短三十秒Kali就发出了66万条源MAC不同的数据包。

一旦交换机的MAC地址表占满，交换机收到数据包后就会泛洪。

会造成严重的信息泄露。

MAC地址欺骗：攻击者通常伪装成网关。局域网内的设备不能访问外网。

一---修改所有SW的MAC地址表老化时间为1000S

mac-address aging-time 1000

二---MAC地址安全

（1）静态MAC地址条目优于动态

手动配置PC-1的MAC地址绑定在G0/0/10接口，配置完成后再补更改PC-1连线的情况下Ping测PC-2的地址，测试是否通，解释原因

[Huawei] mac-address static 5489-98f1-329d GigabitEthernet0/0/10 vlan 1

无法ping通，因为lsw1收到pc1的数据帧后先查看源mac地址，若mac地址表存在与该mac相同表项时刷新老化时间，若不存在，则记录到mac地址表。此处mac地址在mac地址表中，但接口不一致，又因为静态配置大于动态学习，无法覆盖mac地址表，于是不进行加表。于是回传给5489-98f1-329d 的数据从g0/0/10发出，到达不了pc1，所以无法ping通。

（2）关闭MAC地址学习，可对MAC表项不存在对应条目的数据设定丢弃处理

PC-3为合法用户，PC-4为攻击者，请确保用户PC-3的通信，拒绝为攻击者提高数据转发服务

[Lsw1]mac-address static 5489-98a2-1e94 GigabitEthernet0/0/3 vlan 1

interface GigabitEthernet0/0/3

mac-address learning disable action discard

在关闭g0/0/3接口mac地址学习功能前不做ping命令，以免pc-3和pc-4的mac地址加表。