防入侵交换机_防网络攻击交换机

如何攻击交换机？

利用交换机漏洞的攻击方法如下：

一、生成树攻击

生成树协议(STP)可以防止冗余的交换环境出现回路。要是网络有回路，就会变得拥塞不堪，从而出现广播风暴，引起MAC表不一致，最终使网络崩溃。

使用STP的所有交换机都通过网桥协议数据单元(BPDU)来共享信息，BPDU每两秒就发送一次。交换机发送BPDU时，里面含有名为网桥ID的标号，这个网桥ID结合了可配置的优先数(默认值是32768)和交换机的基本MAC地址。交换机可以发送并接收这些BPDU，以确定哪个交换机拥有最低的网桥ID，拥有最低网桥ID的那个交换机成为根网桥(rootbridge)。

根网桥好比是小镇上的社区杂货店，每个小镇都需要一家杂货店，而每个市民也需要确定到达杂货店的最佳路线。比最佳路线来得长的路线不会被使用，除非主通道出现阻塞。

根网桥的工作方式很相似。其他每个交换机确定返回根网桥的最佳路线，根据成本来进行这种确定，而这种成本基于为带宽所分配的值。如果其他任何路线发现摆脱阻塞模式不会形成回路(譬如要是主路线出现问题)，它们将被设成阻塞模式。

恶意黑客利用STP的工作方式来发动拒绝服务(DoS)攻击。如果恶意黑客把一台计算机连接到不止一个交换机，然后发送网桥ID很低的精心设计的BPDU，就可以欺骗交换机，使它以为这是根网桥，这会导致STP重新收敛(reconverge)，从而引起回路，导致网络崩溃。

二、MAC表洪水攻击

交换机的工作方式是：帧在进入交换机时记录下MAC源地址，这个MAC地址与帧进入的那个端口相关，因此以后通往该MAC地址的信息流将只通过该端口发送出去。这可以提高带宽利用率，因为信息流用不着从所有端口发送出去，而只从需要接收的那些端口发送出去。

MAC地址存储在内容可寻址存储器(CAM)里面，CAM是一个128K大小的保留内存，专门用来存储MAC地址，以便快速查询。如果恶意黑客向CAM发送大批数据包，就会导致交换机开始向各个地方发送大批信息流，从而埋下了隐患，甚至会导致交换机在拒绝服务攻击中崩溃。

三、ARP攻击

ARP(AddressResolutionProtocol)欺骗是一种用于会话劫持攻击中的常见手法。地址解析协议(ARP)利用第2层物理MAC地址来映射第3层逻辑IP地址，如果设备知道了IP地址，但不知道被请求主机的MAC地址，它就会发送ARP请求。ARP请求通常以广播形式发送，以便所有主机都能收到。

恶意黑客可以发送被欺骗的ARP回复，获取发往另一个主机的信息流。假设黑客Jimmy也在网络上，他试图获取发送到这个合法用户的信息流，黑客Jimmy欺骗ARP响应，声称自己是IP地址为10.0.0.55(MAC地址为05-1C-32-00-A1-99)的主人，合法用户也会用相同的MAC地址进行响应。结果就是，交换机在MAC地表中有了与该MAC表地址相关的两个端口，发往这个MAC地址的所有帧被同时发送到了合法用户和黑客Jimmy。

网络攻击无所不用其极，对于网络攻击我们应当如何预防？

面对网络攻击，我们应该要及时向有关部门报警。在日常生活当中，不应该随意点击陌生链接。

网络科技目前是非常先进的，而且网络已经离不开我们的生活。无论是普通的办公以及日常生活，我们都能够看到网络的身影。除此之外很多人也喜欢在网络的账号当中存储个人信息，究竟是有很多机密信息。但是网络也并不是我们想象当中那样安全，也会存在窃取个人信息的情况发生。要知道网络是一个开放世界，并没有绝对的私人空间。

网络攻击无所不用其极。

目前全世界的网络科技是非常发达的，尤其是全球网络都是处于同一个平台当中。每个国家的网络都是有联系的，因此这也直接导致网络攻击的手段频繁发生。每当某地区发生严重的以及相应的热点事件之后，那么相关网站以及个人用户都会遭受到很多网络攻击。会直接导致网站的瘫痪，以及大量的用户数据遭到泄露。

向有关部门报警。

虽然网络是开放世界，那么这也意味着任何人都能够通过违法手段窃取个人信息。如果我们在日常生活当中，遭遇到了网络攻击，一定要及时向有关的信息安全部门报警。网络安全是非常重要的，个人信息的安全与否，关乎每一个人的财产安全。很多情况之下，居民的财产发生损失，都是由于存储在网络当中的身份信息遭到泄露而造成的。

不要随意点击陌生链接。

要想应对网络攻击，首先必须要从公民自己做起。我们在网络上浏览或者与他人聊天的时候，对他人发送的相关陌生链接，千万不能够随意点击。很多木马病毒以及网络入侵手段，都是通过这种方法。当我们点击陌生链接的时候，那么将会为网络黑客打开了入侵的通道。个人的身份信息将会遭到泄露，所带来的后果是非常严重的。

交换机端口安全主要有那两种方式？端口地址绑定可以预防哪些内网的网络攻击

防止局域网ARP攻击。

限制交换机端口的最大连接数   ,控制网络的恶意扩展和接入，端口的安全地址绑定,  解决局域网中IP地址冲突、ARP欺骗等问题。

VLAN 具备一个物理网段所具备的特性。相同的VLAN内的主机可以相互直接访问，不同的VLAN 间的主机之间互相访问必须经由路由设备进行转发，广播包只可以在本VLAN内进行传播，不能传输到其他VLAN中。

扩展资料：

注意事项：

应该做好外部电源的供应工作，一般通过引入独立的电力线来提供独立的电源，并添加稳压器来避免瞬间高压或低压现象。

如果条件允许，可以添加UPS(不间断电源)来保证交换机的正常供电，有的UPS提供稳压功能，而有的没有，选择时要注意。

在机房内设置专业的避雷措施，来避免雷电对交换机的伤害。现在有很多做避雷工程的专业公司，实施网络布线时可以考虑。

参考资料来源：百度百科-端口安全

参考资料来源：百度百科-交换机

二层交换机攻击与防范

我们知道，二层的以太网交换设备并不能识别32位的IP地址，它们是以48位以太网地址（就是我们常说的MAC地址）传输以太网数据包的。因此IP地址与MAC地址之间就必须存在一种对应关系，而ARP协议就是用来确定这种对应关系的协议。

ARP工作时，首先请求主机发送出一个含有所希望到达的IP地址的以太网广播数据包，然后目标IP的所有者会以一个含有IP和MAC地址对的数据包应答请求主机。这样请求主机就能获得要到达的IP地址对应的MAC地址，同时请求主机会将这个地址对放入自己的ARP表缓存起来，以节约不必要的ARP通信。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用（Windows系统这个时间为2分钟，而Cisco路由器的这个时间为5分钟），就会被删除。通过下面的例子我们可以很清楚地看出ARP的工作机制。

假定有如下五个IP地址的主机或者网络设备，它们分别是：

主机A 192.168.1.2

主机B 192.168.1.3

网关C 192.168.1.1

主机D 10.1.1.2

网关E 10.1.1.1

假如主机A要与主机B通信，它首先会检查自己的ARP缓存中是否有192.168.1.3这个地址对应的MAC地址，如果没有它就会向局域网的广播地址发送ARP请求包，大致的意思是192.168.1.3的MAC地址是什么请告诉192.168.1.2，而广播地址会把这个请求包广播给局域网内的所有主机，但是只有192.168.1.3这台主机才会响应这个请求包，它会回应192.168.1.2一个ARP包，大致的意思是192.168.1.3的MAC地址是02-02-02-02-02-02。这样的话主机A就得到了主机B的MAC地址，并且它会把这个对应的关系存在自己的ARP缓存表中。之后主机A与主机B之间的通信就依靠两者缓存表里的MAC地址来通信了，直到通信停止后2分钟，这个对应关系才会从表中被删除。

再来看一个非局域网内部的通信过程。假如主机A需要和主机D进行通信，它首先会发现这个主机D的IP地址并不是自己同一个网段内的，因此需要通过网关来转发，这样的话它会检查自己的ARP缓存表里是否有网关192.168.1.1对应的MAC地址，如果没有就通过ARP请求获得，如果有就直接与网关通信，然后再由网关C通过路由将数据包送到网关E，网关E收到这个数据包后发现是送给主机D（10.1.1.2）的，它就会检查自己的ARP缓存，看看里面是否有10.1.1.2对应的MAC地址，如果没有就使用ARP协议获得，如果有就是用该MAC地址与主机D通信。

通过上面的例子我们知道，在以太局域网内数据包传输依靠的是MAC地址，IP地址与MAC对应的关系依靠ARP表，每台主机（包括网关）都有一个ARP缓存表。在正常情况下这个缓存表能够有效保证数据传输的一对一性，像主机B之类的是无法截获A与D之间的通信信息的。

但是主机在实现ARP缓存表的机制中存在一个不完善的地方，当主机收到一个ARP的应答包后，它并不会去验证自己是否发送过这个ARP请求，而是直接将应答包里的MAC地址与IP对应的关系替换掉原有的ARP缓存表里的相应信息。这就导致主机B截取主机A与主机D之间的数据通信成为可能。

首先主机B向主机A发送一个ARP应答包说192.168.1.1的MAC地址是02-02-02-02-02-02，主机A收到这个包后并没有去验证包的真实性而是直接将自己ARP列表中的192.168.1.1的MAC地址替换成02-02-02-02-02-02，同时主机B向网关C发送一个ARP响应包说192.168.1.2的MAC是02-02-02-02-02-02，同样，网关C也没有去验证这个包的真实性就把自己ARP表中的192.168.1.2的MAC地址替换成02-02-02-02-02-02。当主机A想要与主机D通信时，它直接把应该发送给网关192.168.1.1的数据包发送到02-02-02-02-02-02这个MAC地址，也就是发给了主机B，主机B在收到这个包后经过修改再转发给真正的网关C，当从主机D返回的数据包到达网关C后，网关也使用自己ARP表中的MAC，将发往192.168.1.2这个IP地址的数据发往02-02-02-02-02-02这个MAC地址也就是主机B，主机B在收到这个包后再转发给主机A完成一次完整的数据通信，这样就成功地实现了一次ARP欺骗攻击。

因此简单点说，ARP欺骗的目的就是为了实现全交换环境下的数据监听。大部分的木马或病毒使用ARP欺骗攻击也是为了达到这个目的。

如何发现及清除

局域网内一旦有ARP的攻击存在，会欺骗局域网内所有主机和网关，让所有上网的流量必须经过ARP攻击者控制的主机。其他用户原来直接通过网关上网，现在却转由通过被控主机转发上网。由于被控主机性能和程序性能的影响，这种转发并不会非常流畅，因此就会导致用户上网的速度变慢甚至频繁断线。另外ARP欺骗需要不停地发送ARP应答包，会造成网络拥塞。

一旦怀疑有ARP攻击我们就可以使用抓包工具来抓包，如果发现网内存在大量ARP应答包，并且将所有的IP地址都指向同一个MAC地址，那么就说明存在ARP欺骗攻击，并且这个MAC地址就是用来进行ARP欺骗攻击的主机MAC地址，我们可以查出它对应的真实IP地址，从而采取相应的控制措施。另外，我们也可以到路由器或者网关交换机上查看IP地址与MAC地址的对应表，如果发现某一个MAC对应了大量的IP地址，那么也说明存在ARP欺骗攻击，同时通过这个MAC地址查出用来ARP欺骗攻击的主机在交换机上所对应的物理端口，从而进行控制。

如何防范？

我们可以采取以下措施防范ARP欺骗。

（1）在客户端使用arp命令绑定网关的真实MAC地址命令如下：

arp -d *(先清除错误的ARP表)

arp -s 192.168.1.1 03-03-03-03-03-03 （静态指定网关的MAC地址）

（2）在交换机上做端口与MAC地址的静态绑定。

（3）在路由器上做IP地址与MAC地址的静态绑定。

（4）使用“ARP SERVER”按一定的时间间隔广播网段内所有主机的正确IP-MAC映射表。

（5）最主要是要提高用户的安全意识，养成良好的安全习惯，包括：及时安装系统补丁程序；为系统设置强壮的密码；安装防火墙；安装有效的杀毒软件并及时升级病毒库；不主动进行网络攻击，不随便运行不受信任的软件。

ARP工作原理如下:

在TCP/IP协议中,A给B发送IP包,在包头中需要填写B的IP为目标地址,但这个IP包在以太网上传输的时候,还需要进行一次以太包的封装,在这个以太包中,目标地址就是B的MAC地址.

计算机A是如何得知B的MAC地址的呢？解决问题的关键就在于ARP协议。

在A不知道B的MAC地址的情况下,A就广播一个ARP请求包,请求包中填有B的IP(192.168.1.2),以太网中的所有计算机都会接收这个请求,而正常的情况下只有B会给出ARP应答包,包中就填充上了B的MAC地址,并回复给A。

A得到ARP应答后,将B的MAC地址放入本机缓存,便于下次使用。

本机MAC缓存是有生存期的,生存期结束后,将再次重复上面的过程。

ARP协议并不只在发送了ARP请求才接收ARP应答。当计算机接收到ARP应答数据包的时候，就会对本地的ARP缓存进行更新，将应答中的IP和MAC地址存储在ARP缓存中。因此，当局域网中的某台机器B向A发送一个自己伪造的ARP应答，而如果这个应答是B冒充C伪造来的，即IP地址为C的IP，而MAC地址是伪造的，则当A接收到B伪造的ARP应答后，就会更新本地的ARP缓存，这样在A看来C的IP地址没有变，而它的MAC地址已经不是原来那个了。由于局域网的网络流通不是根据IP地址进行，而是按照MAC地址进行传输。所以，那个伪造出来的MAC地址在A上被改变成一个不存在的MAC地址，这样就会造成网络不通，导致A不能Ping通C！这就是一个简单的ARP欺骗。

如何配置交换机，防止同网段ARP攻击

ARP攻击是一种常见的网络问题，对此，需要恰当配置交换设备。以下以H3C设备为例，介绍典型的配置方法。

一、对于阻止仿冒网关IP的arp攻击

1、二层交换机防攻击配置举例

网络拓扑如图。

图1

3552P是三层设备，其中ip：100.1.1.1是所有pc的网关，3552P上的网关mac地址为000f-e200-3999。现在PC-B装有arp攻击软件。现在需要对3026_A进行一些特殊配置，目的是过滤掉仿冒网关IP的arp报文。

对于二层交换机如3026c等，可以配置acl

(1)全局配置deny所有源IP是网关的arp报文(自定义规则)

ACL num 5000

rule 0 deny 0806 ffff 24 64010101 ffffffff 40

rule 1 permit 0806 ffff 24 000fe2003999 ffffffffffff 34

rule0目的：把整个3026C_A端口冒充网关的ARP报文禁掉，其中蓝色部分64010101是网关ip地址的16进制表示形式：100.1.1.1=64010101。

rule1目的：把上行口的网关ARP报文允许通过，蓝色部分为网关3552的mac地址000f-e200-3999。

在S3026C-A系统视图下发acl规则：

[S3026C-A]packet-filter user-group 5000

这样只有3026C_A上连设备能够下发网关的ARP报文，其它pc就不能发送假冒网关的arp响应报文。

2、三层交换机防攻击配置举例

网络拓扑图如下：

图2

对于三层设备，需要配置过滤源IP是网关的arp报文的acl规则，配置如下acl规则：

ACL num 5000

rule 0 deny 0806 ffff 24 64010105 ffffffff 40

rule0目的：把所有3526E端口冒充网关的ARP报文禁掉，其中蓝色部分64010105是网关ip地址的16进制表示形式：100.1.1.5=64010105。

二、仿冒他人IP的arp攻击

作为网关的设备有可能会出现arp错误表项，在网关设备上还需对仿冒他人IP的arp攻击报文进行过滤。

如图1，当PC-B发送PC-D的arp的reply攻击报文，源mac是PC-B的mac (000d-88f8-09fa)，源ip是PC-D的ip(100.1.1.3)，目的ip和mac是网关(3552P)的，这样3552上就会学错arp，如下：

--------------------- 错误 arp 表项 --------------------------------

IP Address MAC Address VLAN ID Port Name Aging Type

100.1.1.4 000d-88f8-09fa 1 Ethernet0/2 20 Dynamic 100.1.1.3 000f-3d81-45b4 1 Ethernet0/2 20 Dynamic

PC-D的arp表项应该学习到端口e0/8上，而不应该学习到e0/2端口上。

①在3552上配置静态arp，可以防止该现象：arp static 100.1.1.3 000f-3d81-45b4 1 e0/8

②同理，在图2中，也可以配置静态arp来防止设备学习到错误的arp表项。

③对于二层设备(3050和3026系列),除了可以配置静态arp外，还可以配置IP+mac+port绑定，比如在3026C端口4上作如下操作：am user-bind ip-addr 100.1.1.4 mac-addr 000d-88f8-09fa int e0/4则ip为100.1.1.4并且mac为000d-88f8-09fa的arp报文可以通过e0/4端口，仿冒其它设备arp报文无法通过，从而不会出现错误arp表项。