הסבר על Port Security
show mac address-table מראה את שתי הכתובות שנלמדו.switchport port-security maximum 2, כי פורט אחד עשוי לשרת מחשב ומכונה וירטואלית במצב bridge. ההגדרה לבדה לא מפעילה את התכונה.switchport mode access מפורש, כי פורט דינמי (dynamic) לא מאפשר Port Security. רק אחר כך switchport port-security. הפורט השלישי שלא הוגדר לא היה מוגן.show port-security מציג מקסימום, כתובות שנלמדו, ומספר הפרות. כשהוחלפה כתובת ה-MAC במחשב לכתובת שלישית, הפורט נפל.shutdown (ברירת מחדל) מכבה את הפורט, וצריך מנהל שיעשה shutdown ואז no shutdown. restrict חוסם רק כתובות לא מורשות ומתריע (ביומן ובשרת Syslog) וסופר הפרות. protect חוסם בלי התרעה ובלי ספירה.reload. switchport port-security mac-address <כתובת> קובע כתובת ידנית, והיא נשמרת ב-running-config וב-startup-config אחרי write.switchport port-security mac-address sticky לומד את הכתובת לבד ושומר אותה בקונפיגורציה, כך שהיא נשארת אחרי אתחול.show port-security, show port-security address, show port-security interface fa0/1switchport port-security violation shutdown|restrict|protectפרקי ההרצאה: הסבר על Port Security
תמלול ההרצאה: הסבר על Port Security
הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על Port Security» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, ברוכים הבאים להרצאה על פורט סיקיוריטי. בואו נתחיל מזה שנשים סוויץ' ונשים שני מחשבים, אחד ושתיים, ונחבר את כולם ביחד, וניתן להם כתובות IP, 10.0.0.1 ו-10.0.2, שתי כתובות IP.
וכדי לא לחכות שהסוויץ' פה יעלה, אנחנו נזרז את הזמן, אתם רואים, אני יכול לזרז פה את הזמן על ידי הכפתור הזה, ואני יכול לעשות גם ריסט של חשמל, אתם רואים אני עושה ריסט של חשמל, הנה כל החשמל עשה ריסט, וכדי לא לחכות הרבה זמן אני יכול לזרז לו את השעון, אתם רואים הזמן פה קופץ, יופי.
אז בואו נבדוק רק שיש לנו פינג, נתחיל מזה שנראה ש-ARP-A כרגע הוא לא למד כלום, הוא לא מכיר כלום, פינג 10.0.0.2, אנחנו רואים שיש לנו פינג, הפינג עובד לנו, הכל תקין, ופה בסוויץ' הזה, נקודת ההתחלה שלנו שלא היה לנו כלום, ועכשיו show mac address table הוא למד את שתי כתובות המאק מה אנחנו רוצים אנחנו רוצים
למנוע מפורט מסוים ללמוד יותר מנניח שתי כתובות מאק למה שתיים אחת זה של הציוד הפיזי הכתובת השנייה נניח של המכונה הווירטואלית שבמצב ברידג' גם אם כאילו מחשב נפרד דרך אותו פורט פיזי אז אם יש לי יוזר משתמש רשאי להפעיל מכונות וירטואליות אז אני יכול להגיד לו שמותר לו עד נניח שני מאקים אחד לציוד פיזי אחד למכונה וירטואלית
במצב ברידג' אז המטרה הסופית שלי שהזיכרון בסוויץ' לא ייגמר כי מאחורי כל פורט יכולים להיות יותר ממאק אחד ואם ייגמר לזיכרון הסוויץ' יתחיל להעביר את הפאקטים לכל הפורטים זאת אומרת כל פאקט גם אם הוא מיועד למישהו ספציפי הוא יעבור לכל הפורטים בסוויץ' כי הסוויץ' לא ידע למי להעביר את זה כי כל הזיכרון שלו יהיה תפוס במידע כוזב
אז אם מישהו יעשה לי הרעלה של הסוויץ', יעביר לי מידע כוזב שבפורט מסוים יש מאק מסוים, וימלא לי את כל הטבלה של המאקים, את הטבלה הזאת עם מידע כוזב, אז כשיגיע פאקט אמיתי, סוויץ' לא ידע לאיזה פורט לשייך אותו, כי בעצם הטבלה תהיה מלאה במידע כוזב של המאקים המזויפים,
ומה שיעשה סוויץ' במקרה כזה, הוא יעביר כל פאקט אמיתי לכל הפורטים שיוצאים ממנו, ואז האקר יוכל להזין בפורט מסוים ולשמוע את כל התעבורה שקורית לי ברשת.
ואני לא רוצה את זה שהאקר יזין לי לכל התעבורה, ולכן אני רוצה להגביל כמה כתובות Mac מוכן הסוויץ' ללמוד מפורט מסוים, להגיד בפורט 0-1 הוא מוכן ללמוד מקסימום שתי כתובות Mac.
אז בואו נעשה את זה, בואו נפעיל נניח על אינטרפייס, ניכנס ל-confty, באינטרפייס רנג' נפעיל את זה ישר על רנג' של נניח פא 01 מכף 2 על שני הפורטים שלנו את הפקודות הבאות קודם כל אנחנו רוצים סוויץ' פורט פורט סקיוריטי ויש לנו פה כל מיני דברים שאנחנו רוצים לכוון אותם כמו כמה מקסימום
אפשר מה קורה כשיש ולואיישן הפרה בואו נגדיר שהמקסימום זה יהיה שניים והגדרתי שהמקסימום בפורט רנג' הזה זה בשני האינטרפייסים, בשני האינטרפייסים אפשר ללמוד עד שתי כתובות Mac לכל פורט, לא יותר מזה ויש לנו מה קורה כשמפירים את זה אבל כל החוקים האלו לא עובדים כרגע למה הם לא עובדים כרגע?
כי עוד לא הפעלנו את הפורט סיקיוריטי זה שהגדרנו אותו זה לא אומר שהפעלנו אותו אם אני עושה do show running config בואו נזרז את השעון פה אם אתם עושים טעות אתם פשוט מזרזים את השעון וזהו, כי זה סימולטור do show run config אנחנו נראה פה שהגדרנו על שני פורטים מקסימום שתיים אבל זה לא עובד למה זה לא עובד כי צריך גם להפעיל את זה זה שהגדרנו זה לא אומר שהפעלנו אותו אז איך
אנחנו מפעילים את זה אנחנו מפעילים את זה על ידי פשוט מאוד על ידי cr מה זה cr זה ללחוץ enter הנה אני לוחץ enter והוא כותב לי אתה לא יכול להפעיל את זה למה אתה לא יכול להפעיל את זה כי הוא במצב dynamic זה אומר שהוא לא יודע אם הוא טראנק או שהוא אקסס והוא דינמי קובע את זה
ברגע שזה נקבע דינמית אי אפשר לעשות פורט סיקיוריטי אז מה אנחנו יכולים לעשות? אנחנו יכולים להיכנס בתוך האינטרפס לסוויץ' פורט ולקבוע לו מוד הפעלה איזה מוד הפעלה יש לו? יש לו שלושה או שזה טראנק שמחבר סוויץ' לסוויץ' ועוברים בו כל הווילנים וכל פאקט מסומן לאיזה
ווילן הוא משוייך או אקסס שזה למעשה חיבור לציוד קצה שהפורט הזה מחובר לציוד קצה ואין בו שום וילאנים הוא פשוט שייך לאיזשהו וילאן אבל הפאקטים עובדים באופן רגיל, עוברים באופן רגיל ו-Dynamic שלקבוע האם הוא טראנק או לא טראנק נקבע באופן דינמי
אם בצד השני של הפורט המסוים הזה מישהו יקבע שהוא טראנק אז הוא יהפוך לטראנק ואם הוא לא יקבע שהוא טראנק אז הוא יהיה access עכשיו אנחנו צריכים להגיד לו שבאופן מפורש הוא יהיה במצב access כי אין פה סוויץ' אחר שצריך להעביר אליו את כל הווילאנים וכל הנושא הזה של דינאמיק זה משהו שסיסקו המציאו יש להם פרוטוקול משלהם שבסוויץ' אחד יכול לדבר
עם סוויץ' שני ולשאול אותו בוא נעבור למצב של טראנק כי אני רוצה להיות טראנק והשני אומר לו בסדר אני הייתי טראנק באופן אוטומט זה בעיה באבטחה כי זה לא נקבע באופן מפורש וכל הווילאנים יעברו לשם אז דינאמיק הזה זה נוראי מבחינת האבטחה אז קבעתי שזה יהיה access, ועכשיו כשזה access אנחנו יכולים פשוט להפעיל את הפורט security על ידי פקודת פורט
security. זאת אומרת, הפעלנו את הפורט security ברת מחדל. אם נעשה do show running config אנחנו נראה את השלוש פקודות שיש לנו פה על כל אינטרפייס.
אחת קובעת שזה access, השנייה מפעילה את הפורט security, והשלישית קובעת שמקסימום שני מ"כים על כל פורט. בואו נבדוק מה יקרה אם יהיה לנו יותר מדי מ"כים.
אז ככה, בואו נצא ממצב הזה, נעשה פה show mac address table. אנחנו רואים כרגע שאין לו בכלל שום מ"כים שהוא למד. מה יש לנו פה עוד?
יש לנו פה show port security. אנחנו רואים שיש לנו כרגע שני אינטרפייסים שמשתתפים ב port security. דרך אגב, אם אני אחבר עוד אחד והוא לא ישתתף ב port security הוא לא יהיה. זאת אומרת אם יגיע מחשב ולא הפעלתי עליו את החוקים של port security, אז הוא לא ישתתף בפורט security זאת אומרת 10.0.0.3 אתם יכולים לראות שהפורט הזה אפילו שהוא up ומחובר הנה אתם יכולים לראות פה
שהוא up הוא לא ישתתף בפורט security למרות שיש לי שלושה פורטים למה כי לא הגדרתי עבורו את הפקודה שתפעיל את הפורט security אז כרגע כל האבטחה עובדת רק על שני פורטים האינטרפייס השלישי לא פעיל גם אם הוא ישלח פאקטים פשוט האבטחה הזאת לא פועלת לגביו, נעשה פינג 10.0.0.3, פינג 10.0.0.2, פינג 10.0.0.1, כל הפינגים עובדים, אבל זה לא עוזר לנו.
למה זה לא עוזר לנו? כי פשוט לא הפעלנו אותו, הפעלנו אותו אך ורק על שני פורטים, אז show port security מראה לי שזה רק שני פורטים, אז אנחנו רואים פה שעבור פורט מסוים, מקס, כמות המוגבלת של כתובות שמותר מאקים זה שתיים, קארנט, כרגע סוויץ' למד מאק אחד,
עבור פורט מסוים מול עמד אחד מקסימום אפשר שתיים וכמה היו הפרות עד עכשיו של מה שמותר אפס הפרות ופה פעולה אקשן security action פעולה שצריך לעשות במקרה של הפרה אם תהיה הפרה נעשה פעולה שנקראת shutdown אנחנו נראה עוד מעט איזה פעולות אחרות קיימות אוקיי אז בואו נראה מה קורה כשאנחנו נעלה את הנוסיף עוד mac נלך למחשב הזה ובקונפיק שלו באינטרפייס החליף לו Mac ל-222
אחרי שהחלפתי לו Mac ל-222 בואו נבדוק שזה באמת תפס נעשה פקודה IP config/all ואנחנו רואים פה שבאמת ה-222 תפס יפה מאוד ונעשה עכשיו פינג נניח ל-1003 עשינו פינג נהדר בואו נראה מה קרה בסוויץ' מריצים עוד פעם show port security אנחנו רואים שהוא כבר למד שתי כתובות ויש לנו אפס הפרות, שתי כתובות מתוך שתיים,
והכל עובד תקין, יש לנו פינג תקין. זאת אומרת, אנחנו ממשיכים עם הפינג התקין שלנו, הכל בסדר. ומה יקרה אם הוא יפעיל עוד מכונה וירטואלית, או ינסה להעביר עוד מאק אחד, נניח 333, זה המאק השלישי, הולכים לדסקטופ, עושים IP config / all, רואים שהמאק הוא באמת 333,
ואז עושים פינג, לא יודע, לאיזושהי כתובת, שימו לב, הפינג לא עובר. זאת אומרת, אני מנסה לשלוח פה פינגים, בואו נעשה פינג ל-3, ואנחנו רואים שהפינגים לא עוברים.
לפני שנייה הפינגים כן עברו, אתם זוכרים, ועכשיו הפינגים לא עוברים. ושימו לב פה, מה קרה פה? הקו נפל, כל הקו נפל. אתם רואים? כל הקו נפל, ולא רק שהוא נפל, גם אם אני אנסה להחזיר חזרה לכתובת נכונה, כמו 222, זה כבר לא יעזור לי, כי הסוויץ' הפיל את כל הקו.
אתם רואים החזרתי חזרה ל-222 אבל זה לא עוזר כבר אין יותר פינג כי הקו נפל וצריך לבוא מנהל רשת ולהפעיל את הקו הזה וזאת פעולת ברירת המרדל של שאט דאון שימו לב אינטרפייס 01 אדמיניסטרטיבלי דאון באופן מנהלי הוא דאון וזהו הוא במצב של דאון בואו נראה שהוא מק אדריס טייבל אנחנו רואים ש-501 עם 2 מקסימום כרגע 0 כי הקו למטה הוא מחק את הכל
ויש הפרה אחת והקו נפל למטה יש לנו בשואופורט סיקיוריטי גם אדרסז אנחנו יכולים ממש לראות איזה כתובות הוא למד על כל פורט אתם רואים בפורט 001 היה בהתחלה כתובת כלשהי אחרי זה הייתה לו כתובת 222 וב-02 יש לנו כתובת 6003 אם אנחנו נעשה פה ככה שמאלה קצת וימינה קצת אנחנו נראה שטוב יהיה לנו ככה יותר מסודר לראות אבל אז
אז אנחנו רואים ב-show port security addresses בדיוק איזה כתובות הוא למד, ומה יש לנו פה עוד ב-show port security addresses? האינטרפייס פא-פא-אפס-אחד.
אנחנו פה רואים את כל המידע שקשור ל-port security, לאינטרפייס מסוים, שה-port security מופעל על האינטרפייס הזה. לדוגמה, אם נעשה אפס שלוש, אנחנו נראה שה-port security על האינטרפייס האחרון לא מופעל.
דרך אגב, אפס שתיים אנחנו רואים שהמצב של האינטרפס הזה השני שפועל הוא port security מופעל והוא secure up לעומת זאת אפס אחד port security מופעל והוא secure shutdown אתם רואים זה אומר שהאינטרפס נפל security shutdown מערכת אבטחה הפילה ופה מערכת אבטחה לא הפילה אותו secure down אז אנחנו רואים פה שהport סטטוס כי הוא שאט דאון וצריך
לבוא מנהל רשת ולהפעיל אותו ומצב הפעולה שלו במקרה של הפרה זה לכבות אותו בואו ניכנס לקונפטי לאינטרפייס 5.0.1