הסבר נוסף על Port Security
switchport port-security מפעיל את התכונה על הפורט.switchport port-security maximum קובע כמה כתובות MAC מותר ללמוד. על פורט שמחובר למחשב יחיד מגדירים 1. פורט שמחובר לסוויץ' אחר צריך מספר גבוה יותר.show mac address-table מראה את הכתובות שנלמדו. ההרצאה מציינת שבסימולטור Packet Tracer הפעלה מחדש של הפורט לא עבדה, וזו תקלה של הסימולטור.פרקי ההרצאה: הסבר נוסף על Port Security
תמלול ההרצאה: הסבר נוסף על Port Security
הטקסט המלא של הדקות הראשונות בהרצאה «הסבר נוסף על Port Security» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם בהרצאה הזאת אנחנו נלמד על פורט סיקיוריטי שזה הבסיס של אבטחת מידע בסיסקו והרעיון הוא להגביל מחשב שיכול להתחבר לפי Mac אדרס סוויץ' הרי יודע רק Mac אדרס וזה בא למנוע מצב שמחברים לי לדוגמה את כן שבא לפרוץ לי את הרשת איך פורצים את הרשת עושים הצפה של כתובות זאת אומרת סוויץ' יכול מקסימום להחזיק נניח 1,000 כתובות או 5,000 כתובות,
אבל הזיכרון שלו מוגבל. ברגע שנגמר לו הזיכרון, הוא חושב שזו רשת גדולה מדי בשבילו, ומתחיל להעביר את כל התקשורת לכולם, הוא מתחיל להיות האב.
זה נקרא הצפה של סוויץ' במאקים, זה נורא פשוט לעשות. פשוט לשלוח המון פאקטים, כל פעם עם מאק אחר, וסוויץ' פשוט יהפוך להאב, ויתחיל להעביר את כל התקשורת לכולם, וגם אנחנו רוצים למנוע מצב שהאקר בא ומתחבר לנו לסוויץ' עם המחשב האישי שלו.
עכשיו האמת שהאקר שבא להתחבר עם המחשב האישי שלו זה נורא קשה להגן נגדו כי הוא יכול להחליף לעצמו מאק, יש מיליון תוכנות שמחליפות מאק.
תכתבו מאק צ'יינג'ר בגוגל ואתם תראו שיש הרבה תוכנות כאלו. אז קצת פחות הגנה נגד מישהו שרוצה להתחבר עם הלפטופ שלו לתוך הסוויץ', ליותר הגנה נגד מישהו שרוצה לעשות לי הצפה לסוויץ', ואז ברגע שיש לי הצפה הוא מקבל גישה לכל הפאקטים שיעברו דרכו,
כי הוא יעשה סניפינג על המחשב שלו, הוא יעשה סניפינג ויראה את כל הפאקטים שעוברים לי ברשת, וככה הוא יכול להאזיני לכל הרשת.
זה נקרא לעשות הצפה, זה מאוד פשוט. קוזינינג, להרעיל את הסוויץ'. בקיצור, אנחנו רוצים להגן נגד מצב שמישהו בא ושולח לי מלא מאקים ומפוצץ לי את הסוויץ' במאקים ואם אנחנו נעשה show mac address table אנחנו נראה שיש לי כרגע שני מאקים בטבלה ואם אני אעשה לדוגמה, טוב אחרי זה אנחנו נעשה
את זה בהמשך, אתם תראו שיש מגבלה על כמות המאקים שאנחנו יכולים ללמוד, זה בין 1000 ל-5000 תלוי גם בסוויץ' שלכם. אז הרעיון הוא איך אנחנו מגנים.
עכשיו שימו לב, לסוויץ' יכול להיות מחובר עוד סוויץ' פה, וכשלסוויץ' מחובר סוויץ', דרך פורט 0.3 יכולים לעבור לא מאק אחד כמו פה ופה, אלא לעבור פה 50 מאקים.
כל מי שמחובר לסוויץ' השני שלי יעבור דרך פסט אינטרנט 0.3. אז אנחנו נעשה עכשיו מגבלות, אבל תיקחו בחשבון שיכול להיות מצב שיעברו פה בפורט 1 מלא מאקים.
תחשבו שפה מחוברים 20 מחשבים, אז כל ה-20 האלו נכנסים לסוויץ' הזה, ונניח יש פה עוד ראוטר, נכנסים לסוויץ' הזה דרך 0.3, אז 0.3 הזה רואה מ"כים מכולם.
אז לא תמיד מגבילים לפורט 1, אוקיי? ל-MAC 1. טוב, בואו נתחיל. קודם כול, אנחנו רואים שהוא למד לשני כתובות, שימו לב, הוא למד אותם דינמית, כן? מה זה אומר דינמית?
זה אומר, אם אני אעשה עכשיו הפעלה מחדש לסוויץ', אני אעשה רילאוד, אז הכל יימחק לי, כן? הכל יימחק לי. למה אם אני אעשה רייט לסוויץ' ואני אעשה רילואוד, כל המאקים שנלמדו דינמית נמחקים מהזיכרון.
זה אומר שזו טבלה של מאק אדרס דינמית, כל מה שדינמי נמחק. אני יכול להכניס כתובת סטטית, ואז היא לא נמחקת גם כשנופל החשמל וחוזר החשמל, אוקיי?
זה ההבדל בין דינמיק לסטטיק, וזה מאוד חשוב לי שהאקר שיבוא ויחבר פה משהו שהוא חייב יהיה לחזור לכתובת Mac של ה-Device וזה קצת מקשה עליו, אוקיי?
אנחנו מניחים פה שהוא לא מזייף לנו כתובות Mac בהרצאה הזאת. דרך אגב, איך אני נלחם באאקר שבאמת מזייף לי כתובת Mac? זה כבר לבל הבא של סיקיוריטי, אנחנו לא נעשה אותו כאן, אבל בגדול אני דורש מכל מחשב שמתחבר לי דרך הפורט להציג לי גם תעודה דיגיטלית, שרת רדיוס.
אבל אנחנו לא עולים עכשיו לרמה הזאת. דרך אגב, יש לנו במנהלי רשת הרצאה כזאת וזה נקרא כל מיני נאק, מי ששמע מילת נאק זה זה.
בואו נרד קצת ככה יותר למטה ואנחנו רוצים להגביל לפי כתובות מאק. אנחנו רוצים להגביל לפי כתובות מאק, למנוע הפצצה.
בואו נתחיל לדבר על זה. אנחנו נכנסים ל-confty, נכנסים ל-confty, לאינטרפייס fastethernet 01 ויש לנו פה, זה נקרא switch port, אוקיי?
זה כל ההגדרות נמצאות בתוך ה-switch port. עכשיו בסוויץ' פורט יש לנו פורט סיקיוריטי ואנחנו הולכים לדבר על פורט סיקיוריטי אבל לפני שמתחילים יש פה איזה משהו קטן שחייבים לעשות לקבוע לו באיזה מוד הוא יעבוד האם הוא יהיה טרנק טרנק זה אומר שסוויץ' הזה מחובר להרבה וילאנים ביחד דרך פורט מסוים זאת אומרת הפורט הזה במקרה זה 0-1 הוא לא מחובר לעוד סוויץ' עם הרבה וילאנים ביחד
אז אני מעביר אותו ל-mode access. תראו את זה, switch port mode access. access זה אומר שזה בלי טייגים של וילאנים. trunk זה אומר שכל מה שיעבור פה יסומן עם הטייג של וילאן, אוקיי?
הסימון של טייג של וילאן נועד לחבר סוויץ' לסוויץ' כשיש הרבה וילאנים ברשת. מי שלא יודע מה זה וילאנים שיחזור להרצאות על הסוויצ'ים בהתחלה. אז ככה, אז אני חייב לקבוע האם זה trunk ה-01 הזה או שזה access.
אם זה access, הפאקט ימיצו בלי סימון של וילאן עליהם, כאילו זה למחשב רגיל לרמת האקסס לעדכני גישה, כמו מדפסות ומחשבים.
דיינאמיק זה אומר שהוא מקבל גם וגם. אז אם אני רוצה להשתמש בפורט סקיוריטי, הוא לא יכול להיות דינאמיק, והוא by default דינאמיק. אז אני חייב להעביר אותו ל-access.
יש? יפה. כל מה שאני אסביר לכם עובד גם על דינאמיק ועל וילאנים.
אנחנו פה עכשיו לא מסתבכים, אנחנו רוצים להעביר אותו ל-access. יפה מאוד, אז סיימנו עם ה-switch port mode, סיימנו לקבוע לו את ה-mode לרמת access.
דרך אגב, אם היינו רוצים לשייך אותו לאיזשהו וילאן, יכלנו לעשות לו access, כן? switch port access, ולשייך אותו לאיזשהו וילאן, switch port access, ולהגיד לו לאיזה וילאן הוא שייך, לדוגמה, לוילאן 12. אנחנו עכשיו משאירים אותו ברירת מחדל בוילאן 1,
כן? יפה מאוד, חוזרים חזרה. אז אנחנו ב-switch port, אז אמרנו שדבר ראשון מעבירים אותו ל-mode access, או טראנק אבל לא משאירים אותו בדינאמיק באקסס הייתי קובע לו איזה וילאן הוא שייך אם הייתי רוצה פה אני לא רוצה לגעת אני רוצה שכולם יהיו באותו וילאן אחד הדפולטי
והגענו והתכנסנו לכאן בשביל לדבר על פורט סקיוריטי אז בואו נעבור לפורט סקיוריטי בפורט סקיוריטי יש לנו ארבע אופציות האופציה הראשונה לקבוע מאק אדרס שיהיה סטאטי זוכרים בהתחלה התחלתי מזה שיש מאק אדרס דינאמי וסטאטי וההבדל בין דינאמי לסטאטי שהסטאטי נרשם לתוך הסטארט-אפ קונפיג, אם אני אעשה רייט הוא נרשם
לתוך הסטארט-אפ קונפיג ואז איך שהסוויץ' עולה יש לו כבר את המאק שאמור להיות בפנים, זה המאק אדרס, אוקיי? האופציה השנייה, ואנחנו נעבור על כל האופציות לעומק, האופציה השנייה אומרת כמה מקסימום כתובות מאק מותר לי שיהיה לי על ה-0-1, על הפורט ה-0-1, שימו לב במקרה הזה זה רק אחד,
אבל אם היה לי פה עוד סוויץ' מחובר, אז אני יודע שמאחורי הסוויץ' הזה יש עשרה מחשבים, אז אני יכול להגיד מקסימום עשרה מחשבים, אבל זה בפורט שמחובר לסוויץ' אחר.
אז במקרה שלי אני צריך מקסימום אחד, ו-violation זה מה עושים אם יש הפרה של תנאי. מה קורה כשיש הפרה? מה עושים? האם לא נותנים לפאקט לעבור עם המאק הלא נכון, אבל נותנים לפאקט עם המאק הנכון כן לעבור, או שבכלל מכבים את כל הפורט ומכבים את כל הפורט הזה, אוקיי?
אנחנו גם יכולים אפילו לעשות דברים יותר מוגזמים, כמו לכבות את כל הווילאן. אבל בגדול, אנחנו רוצים לכבות, רק נניח את הפורט.
או לכבות, או לא לכבות, לתת רק למאקים הנכונים להמשיך לעבור, ולמאקים הלא נכונים למנוע מהם מעבר. זאת אומרת, אנחנו פה קובעים את המדיניות, האם לדווח או לא לדווח. עוד דקה, נראה את כל האופציות לעומק.
ו-CR זה אומר להפעיל את הסוויץ' פורט. CR זה אנטר, זה אומר ללחוץ אנטר. אז דבר ראשון בואו נפעיל את הסוויץ' פורט, אני עושה אנטר והפעלתי אותו, כן? לא לשכוח, לרוב עושים את זה בסוף, אני עשיתי את זה בהתחלה, אבל זה הקטע של להפעיל אותו.
לחצתי סתם סוויץ' פורט אנטר והוא מופעל. הלאה, בואו נתחיל עכשיו לדבר על Mac אדרס. אם אנחנו נכנסים למאק אדרס סימן שאלה אנחנו יכולים לתת לו מאק אדרס סטטי שילמד את הכתובת הסטטית אוקיי זאת אומרת ממש להכניס לו בפקודה סוויץ' פורט מאק אדרס ולהכניס לו את הכתובת ידנית בואו נעשה את זה סתם דוגמא בואו נעלה למעלה הנה יש לנו פה בפסט אידרנט נניח 01
אני מעתיק את הכתובת הזאת ויכול להכניס אותה בתוך הפקודה ברגע שאני מכניס את זה לתוך הפקודה אני אעשה do show מה כאדרס טייבל, אתם רואים, הכתובת נהיית סטטית.
אתם רואים? למה היא נעלמה לי מפה? נעשה עוד פעם פינג, יופי. אתם רואים, הכתובת של הפייסט אינטרנט 01 היא סטטית, כי זה מה שעשיתי כרגע את הפקודה, ו-02 היא דינמית, אבל החיסרון של דינמית שאם היא נמחקת, אם אני אעשה ריסטארט ל...
אם אני אעשה עכשיו רייט, דו רייט, אתם רואים, עשיתי רייט, הוא רשם את כל הקונפיגורציה לתוך הסטארט-אפ קונפיג, את כל הסטאטיק הוא גם רשם לתוכה, אבל דינמיקים נעלמו.
דינמיק זה אומר שזה בזיכרון רם וזה נעלם עם ההפעלה מחדש, סטאטיקים נכנסים לזיכרון. עכשיו, זה נשמע מצוין, רק יש בעיה אחת, שאם יש לי המון המון המון מחשבים ברשת, נניח אפילו לא המון, יש לי 170 מחשבים, לא בא לי לעבור ולכתוב 170 מאקים ידנית, אוקיי? לא בא לי.
אז אני יכול לעשות Mac Address סטטי, אבל שילמד אותו לבד. שילמד אותו פעם אחת לבד ויהפוך אותו לסטטי. כמו שילמד דינמי, אבל לשמור אותו כאילו הוא סטטי.
ליהנות משני העולמות, ללמוד דינמית, אבל לשמור אותו בארדיסק, שיחשוב שזה כאילו סטטי. אז בואו נעשה את זה על ה-switch port השני. אתם יודעים מה?
אפשר להפוך אפילו בזה. בואו נעשה את זה no, נעשה את זה פה. בואו נעשה את זה no. show mac address dynamic שנייה הוא עדיין static רציתי שיהיה dynamic no switch port security בואו נכבה את ה-switch port security נפעיל switch port security נראה אם זה עזר לנו שנייה do show mac address dynamic
בואו נעשה לו מינוס t שלא אשכח אה אין פה מינוס t אתם רואים שניהם נהיו dynamic כי חיביתי את כל ה-port security עכשיו בואו נדליק port security בואו נדליק switch port security עוד פעם הוא שכח טוב, באמצעיות הסוויץ' שעובד יותר טוב מהסימולטור הזה,
הוא עדיין סטטיק, לא חשוב. הבנתם? בקיצור, הרעיון הוא... אני יכול למחוק בכלל את הסוויץ' הזה. טוב, הרעיון הוא כזה דבר, שהסטטיק הזה, אפשר לרשום אותו ידנית.
הסטטיק הזה, אפשר לרשום אותו מהקאדרס ידנית, 48 סיביות, או להגיד לו דינמית ללמוד, ואז להתייחס אליו כאילו הוא סטטי, אוקיי? יודעים מה? בגלל שזה לא עובד, אני אוכיח לכם את זה מהספרות של סיסקו.
שימו לב סיקיוריטי מאתר של סיסקו פורט סיקיוריטי הוא סטיקי מאק אדרס זה נקרא סטיקי מאק אדרס סטיקי דוויק אם אתה עושה רייט לזיכרון פורט סיקיוריטי עם מאק דוויק סייבס דינמיקלי לורן מאק אדרס שומר את הכתובת המאק שנלמדה דינמית בתוך הסטארטאפ קונפיג ואז הוא לא צריך ללמוד אותה בזמן הריסטארט כמו דינמיק בקיצור זה נקרא סטיקי הלאה בואו נמשיך בואו נמשיך
אז יש לנו פה switch port security ואנחנו