防止私接小路由器

news/2024/12/23 1:52:22/

电脑获取到IP地址不是DHCP服务器的IP地址段,导致整个公司网络瘫痪,这些故障现象通常80%原因是私接小路由器导致的,以下防止私接小路由器措施。

一、交换机配置DHCP Sooping

DHCP snooping是一种DHCP安全特性,用于防止非法设备获取DHCP分配的IP地址。在一个带有多个交换机的网络中,可以配置交换机以便它们对DHCP数据包进行监听和记录。

配置思路:用户终端接口开启DNCP Snooping功能,配置信任接口只接收DHCP服务器报文,这样用户终端即使接私接小路由,也无法发送DHCP报文。

配置参考如下:

1、全局开启DHCP

[Sw1] dhcp enable

2、使能用户侧接口的DHCP Snooping功能,假设3口为用户终端端口

[Sw1] interface ge 1/0/3

[Sw1-ge1/0/3] dhcp snooping enable

3、配置信任接口,假设该口接DHCP服务器,以2口为例

[Sw1] interface ge 0/0/2
[SSw1-ge0/0/2] dhcp snooping trusted

二、交换机配置端口安全

端口安全是根据MAC地址对网络流量进行控制和管理的安全功能,该功能不仅将MAC地址与端口绑定,还可以限制端口学到的MAC地址的数量。端口安全功能可以阻止非法用户通过本端口和交换机通信,从而增强网络的安全性。

思路:用户终端侧接口开启终端安全并只允许学习一个MAC地址,发现私接小路由器后,接口学习到2个MAC地址,就自动shutdown,减少对现网影响。

配置参考如下:

1、在用户终端侧端口配置端口安全

[Sw1] interface ge1/0/3

[Sw1-ge1/0/3] port-security enable

2、限制端口学习MAC地址数量:

[Sw1-ge1/0/3] port-security mac-address sticky

3、安全MAC地址限制数量为1

[Sw1-ge1/0/3] port-security max-mac-num 1

4、发现非法接入设备,直接关闭端口并告警

[Sw1-ge1/0/3]port-security protect-action shutdown

三、交换机配置ACL访问控制

ACL(Access Control List,访问控制列表)是一种基于包过滤的访问控制技术,主要用于对网络流量进行控制和管理。ACL限制非法DHCP服务器接入的思路:DHCP 客户端使用源端口68发送数据包,服务端使用源端口67发送数据包,可限制用户终端接口67端口。

配置思路:通过ACL限制用户终端接口发送DHCP报文,进而即使私接小路由器也不会对现网产生影响。

配置参考如下:

1、配置ACL 3000

[SW1]acl 3000

2、配置规则,拒绝UDP 67端口

[SW1-acl-adv-3000]rule 5 deny udp source-port eq 67

[SW1-acl-adv-3000]rule 10 permit ip

3、ACL规则在用户终端接口应用

[SW1-acl-adv-3000]port-group group-member ge1/0/3 to ge1/0/4

[SW1-acl-adv-3000]traffic-filter inbound acl 3000

四、交换机配置Vlan隔离

VLAN 隔离技术根据特定的策略,把物理上形成的局域网(Local Area Network,LAN)划分成不同的逻辑子网,把数据链路层广播报文隔离在逻辑子网之内,形成各自的广播域,每个逻辑子网就是一个“虚拟的局域网(Virtual LAN)”每个接入至支持 VLAN 的交换机的终端设备,都属于一个特定的 VLAN,不同 VLAN 中的终端设备无法直接通过数据链路层通信。VLAN 技术有效限制了广播报文的传输范围,一定程度上抑制了广播风暴,提高了网络的安全性。

思路:将终端用户接口互相隔离,防止非法DHCP服务器对现网其他终端造成影响。

配置思路:开启vlan隔离,即使用户终端接口私接小路由器,也不会影响其他终端。

参考配置如下:

1、进入接口视图,以3口举例

[SW1]interface ge1/0/3

2、配置VLAN 10为隔离VLAN,只允许VLAN 10的数据通过,假设用户终端vlan 10

[SW1-ge1/0/3] port isolate enable vlan 10


http://www.ppmy.cn/news/1557337.html

相关文章

安装openGauss数据库一主一备

安装openGauss数据库一主一备 一.安装准备1.修改/etc/selinux/config文件中的“SELINUX”值为“disabled”。2.重新启动操作系统。3.检查防火墙是否关闭。4.关闭防火墙并禁止开机重启。5.关闭交换内存6.设置主机名7.设置解析主机名和 IP 地址8.安装相关依赖包9.创建单独的用户组…

CoinShares预测2025年加密市场前景看涨

原文来源:CoinShares预测2025年加密市场前景看涨 - 币热网 - 区块链数字货币新闻消息资讯 欧洲加密投资公司CoinShares发布了2025年的市场预测,概述了可能塑造行业的关键趋势。 报告指出,在即将上任的川普政府下,监管环境将更加…

信息安全管理与评估赛题第7套

全国职业院校技能大赛 高等职业教育组 信息安全管理与评估 赛题七 模块一 网络平台搭建与设备安全防护 1 赛项时间 共计180分钟。 2 赛项信息 竞赛阶段 任务阶段 竞赛任务 竞赛时间 分值 第一阶段 网络平台搭建与设备安全防护 任务1 网络平台搭建 XX:XX- XX:XX 50 任务2…

202411 第十六届蓝桥杯青少组 STEMA 考试真题 汇总

2024年11月 第十六届 蓝桥杯青少组 STEMA测评考试,包含scratch图形化编程,Python,C,microbit,EV3,arduino,计算思维U12,U8,U10等真题汇总。 202411 蓝桥杯青少组 STEMA测评 Scratch 试题 20241…

如何使用 Python 连接 MySQL 数据库?

在Python开发中,连接MySQL数据库是一个常见的需求。 我们可以使用多种库来实现这一功能,其中最常用的是mysql-connector-python和PyMySQL。 下面我将详细介绍如何使用这两个库来连接MySQL数据库,并提供一些实际开发中的建议和注意事项。 1…

华为云stack网络服务流量走向

1.同VPC同子网同主机内ECS间互访流量走向 一句话通过主机内部br-int通信 2.同VPC同子网跨主机ECS间互访流量走向 3.同VPC不同子网同主机ECS间互访流量走向 去往本机的mac地址都记录在br-tun流表里 4.同VPC不同子网跨主机ECS间互访流量走向 5.对等连接流量走向(跨V…

html中实用标签dl dt dd(有些小众的标签 但是很好用)

背景描述 html <dl> <dt> <dd>是一组合标签&#xff0c;他们与ol li、ul li标签很相似 但是他却是没有默认前缀并且有缩进的标签 使用方式与table表格的标签一致 使用方式 dt和dd是放于dl标签内&#xff0c;dt与dd处于dl下相同级。就是dt不能放入dd内&am…

Linux dd 命令详解:工作原理与实用指南(C/C++代码实现)

这段代码是一个模仿 Linux dd 命令的工具&#xff0c;它用于在不同文件之间复制数据。dd 是一个非常强大的命令行工具&#xff0c;可以用于数据备份、转换和复制。下面我将详细解释这段代码的原理、实现方式以及如何运行和测试。 Linux dd 命令的工作原理 dd 命令是 Unix 和 …