以太网安全

媒介：

• 端口隔离可实现同一VLAN内端口之间的隔离。用户只须要将端口到场到隔离组中，就可以实现隔离组内端口之间的二层数据的隔离
  
• 端口安满是一种在互换机接入层实行的安全机制，旨在通过控制端口的MAC所在学习举动，确保仅授权装备可以或许接入网络，并防御常见的二层攻击
  

---

端口隔离

  传统以太网中，全部装备处于同一广播域，广播帧（如ARP哀求）会被泛洪到全部端口，导致广播风狂风险，尤其在装备麋集场景（如校园网、数据中心）大概引发网络拥塞
   在一些共享情况中需防止用户间互访引发攻击（如ARP诱骗、横向渗出）等，于是便诞生了端口隔离
  简朴来说，端口隔离就是通过限定二层直接通讯，在保障须要连通性的同时，办理了广播风暴、安全风险及资源浪费等标题
概况：

 端口隔离（Port Isolation）是一种在互换机上实现的网络技能，通过限定同一装备上差别端口之间的二层直接通讯（如数据链路层帧转发），仅答应其与指定上行端口（如网关、焦点互换机或服务器）通讯，从而实现网络流量的精致化控制  
二层通讯阻断：
互换机通过设置隔离组（Isolation Group），将多个端口分别到同一组内
组内端口之间无法直接传输单播、组播或广播帧（如ARP哀求、ICMP报文等）
如端口A和端口B到场组1 ————无法互访
    端口C到场组2——可以与A B互访
上行端口（Uplink Port）：
隔离组内的全部流量必须通过指定的上行端口（如毗连网关或焦点互换机的端口）举行转发
上行端口与其他端口之间通讯不受限定，可作为组内装备访问外部网络的唯一出口
隔离范例：
单向隔离：答应A→B通讯，但克制B→A，可以实现差别端口隔离组的接口之间的隔离，（如监控端口仅吸取数据，不自动发送）
双向隔离：同一端口隔离组的接口之间相互隔离，差别端口隔离组的接口之间不隔离
隔离模式：
    二层隔离模式（L2)隔离同一VLAN内的广播报文
    三层隔离模式（L3)同一VLAN的差别端口下用户二三层彻底隔离无法通讯
示例：

•         用户A（端口1）实行访问用户B（端口2）：
  
  
  
  •                 互换机查抄端口1和端口2是否属于同一隔离组。
    
  •                 若属于同一隔离组，直接扬弃数据包，阻断通讯。
    
         
  
•         用户A（端口1）访问网关（上行端口24）：
  
  
  
  •                 数据帧从端口1发送至上行端口24，互换机正常转发。
    
  •                 网关处理惩罚哀求后，返回的流量通过上行端口24发回端口1，通讯完成。
    
         
  
•         用户A（端口1）发送广播帧（如ARP哀求）：
  
  
  
  •                 广播帧仅泛洪到同一隔离组内的其他端口，而非全网广播
    
         
  

设置下令：

2. [Huawei]port-isolate mode {l2|all}   
3. //l2仅二层隔离，all为L2+L3隔离
4. [Huawei-GigabitEthernet0/0/1]port-isolate enable [group <group-id>]  
5. //加入隔离组
6. [Huawei-Ethernet0/0/2]am isolate interface <目标接口>
7. //单向隔离 阻断本端口到目标端口的流量 仅支持l2隔离

复制代码

2. [Huawei] port-isolate mode l2
3. [Huawei] interface GigabitEthernet0/0/1  
4. [Huawei-GigabitEthernet0/0/1] port-isolate enable group 1  
5. [Huawei] interface GigabitEthernet0/0/2  
6. [Huawei-GigabitEthernet0/0/2] port-isolate enable group 1
7. [Huawei-Ethernet0/0/2] am isolate Ethernet0/0/3  

复制代码

---

黑洞MAC

MAC所在表记录了互换机学习到的MAC所在与接口的对应关系，以及接口所属VLAN等信息
 [Huawei] mac-address blackhole mac-address [ vlan vlan-id ]
当装备收到目标MAC或源MAC所在为黑洞MAC所在的报文，直接扬弃

---

端口安全

随着网络规模的扩大和接入装备的多样化，网络面对诸多安全威胁，如非法装备接入、MAC所在诱骗、MAC泛洪攻击等。传统的基于IP或端口的访问控制（如ACL）难以应对动态厘革的接入装备，尤其是在企业内网、物联网（IoT）等场景中，怎样确保正当装备的安全接入成为关键需求，于是便产生了端口安全
端口安全（Port Security）是根据MAC所在对网络流量举行控制和管理的安全功能，其焦点目标是通过控制互换机端口的MAC所在学习举动
概况：

  端口安全功能不光将MAC所在与端口绑定，还可以限定端口学到的MAC所在的数量。它将端口学习到的动态MAC所在转换为安全MAC所在后，端口只答应源MAC所在在安全MAC所在列表里的报文通过，源MAC所在不在安全MAC所在列表里的报文被以为非法的用户报文
安全MAC所在的范例：

安全静态MAC	管理员手动设置答应访问端口的MAC所在列表，其他所在的流量将被阻断	不会被老化，手动生存设置后重启装备不会丢失
安全动态MAC	端口自动学习初次毗连装备的MAC所在，后续仅答应这些所在通讯	装备重启后表项会丢失，须要重新学习                         缺省情况下不会被老化，只有在设置安全MAC的老化时间后才可以被老化                         老化范例分为绝对时间老化和相对时间老化
Sticky MAC	动态学习的MAC所在会被转换为静态绑定，重启后仍见效	不会被老化，手动生存设置后重启装备不会丢失

凌驾MAC所在数量限定后

开启端口安全后，端口默认只能学习一个安全MAC，可以手工设置端口学习安全MAC数量。端口上安全MAC所在数到达限定后，假如收到源MAC所在是安全MAC列表里不存在的MAC所在，无论目标MAC所在是否存在，互换机即以为有非法用户攻击，就会根据设置的动尴尬刁难端口做掩护处理惩罚违规处理惩罚机制（即掩护处理惩罚）
原理：当检测到非法MAC所在（超出数量或未绑定）时，触发预界说的安全相应（只有三种）
模式举动Shutdown关闭端口（需管理员手动启用），彻底阻断风险Restrict扬弃非法流量并天生告警日志，正当流量正常转发Protect静默扬弃非法流量，不记录日志（实用于高潜伏性场景） 设置下令：

2. [HUAWEI-GigabitEthernet0/0/1] port-security enable
3. 在接口上开启端口安全
4. [HUAWEI-GigabitEthernet0/0/1] port-security max-mac-num 1
5. 配置MAC地址数量为1
6. [HUAWEI-GigabitEthernet0/0/1] port-security protect-action shutdown
7. 配置安全保护动作 缺省情况下，端口安全保护动作为restrict
8. [HUAWEI-GigabitEthernet0/0/1] port-security mac-address sticky AA-AA-AA-AA-AA-AA
9. 手工配置安全静态MAC地址表项
10. [Huawei-GigabitEthernet0/0/1] port-security aging-time time [type {absolute|inactivity}]
11. 配置接口学习到的安全动态MAC地址的老化时间 默认不会老化
12. type后接老化模式 absolute绝对时间模式 inactivity空闲时间模式
13. [Huawei-GigabitEthernet0/0/1] port-security mac-address sticky
14. 开启接口Sticky MAC功能

复制代码

2. [Huawei] interface GigabitEthernet0/0/1  
3. [Huawei-GigabitEthernet0/0/1] port-security enable  
4. [Huawei-GigabitEthernet0/0/1] port-security max-mac-num 1  
5. [Huawei-GigabitEthernet0/0/1] port-security protect-action shutdown  
6. [Huawei-GigabitEthernet0/0/1] port-security mac-address sticky  AA-AA-AA-AA-AA-AA

复制代码