8-LABORATORIYA ISHI
CISCO PACKET TRACER DASTURIDA PORT HAVFSIZLIGINI
TA`MINLASH
Ishdan maqsad : Cisco
Packet
Tracer
dasturida kommutatorning port
havfsizligini funksiyasi bilan tanishish va amaliy ko`nikmalarga ega bo`lish .
Nazariy qism.
Port xavfsizligi - Cisco catalyst kommutatorlari tavsifi va ularni sozash
Port xavfsizligi
Cisco
catalyst
kommutatorlarida foydalanish
kerak
bo'lgan xususiyatdir. Ethernet freymlari tugmachadan
o'tib ,
MAC
manzil
jadvalini ushbu
freymlarda
ko'rsatilgan
yuboruvchi
manzilidan foydalanib
to'ldiradi . Ushbu jadvalning maksimal hajmi cheklangan, tajovuzkor uchun uni
to'ldirish qiyin bo'lgani kabi qiyin emas, tasodifiy qaytish manzillari bilan ko'plab
freymlarni yaratadigan maxsus dasturlardan foydalanish kifoya.
Nega sizga kerak bo'lishi mumkin? MAC-manzil jadvali to'lib toshgan
taqdirda, kommutator markaz vazifasini bajarishi mumkin - ya'ni barcha qabul
qilingan kadrlarni barcha portlarga yuborish. Hujumchining keyingi harakati -
snaynerni ishga tushirish Bizning switch vahima holatida buyon, barcha kiruvchi
paketlarni ko'rish uchun dastur, va tajovuzkor ning portiga bir xil VLAN unga
o'tib, barcha paketlari ko'rinadigan bo'ladi tajovuzkor . Bunday vaziyatni oldini
olish uchun siz port xavfsizligi barcha kommutatorlarda ishlashiga oldindan e'tibor
berishingiz kerak .
Ushbu funktsiyaning mohiyati nimada: u yoki bu tarzda har bir port uchun
unda paydo bo'lishi mumkin bo'lgan MAC-manzillar ro'yxati (yoki raqami)
cheklangan, agar portda juda ko'p manzillar ko'rinadigan bo'lsa, u holda port
o'chadi. Shunday qilib, ko'rish qiyin emasligi sababli tasodifiy qaytish manzillari
bilan freymlarni yaratish g'oyasi tezda muvaffaqiyatsiz bo'ladi.
MAC manzillariga cheklovlarni kiritishning ikki yo'li mavjud:
1.
Statik - administrator qaysi manzillarga ruxsat berilganligini
ro'yxatlashganda
2.
Dinamik - ma'mur nechta manzilga ruxsat berilishini
aniqlaganda va o'tish tugmasi bilib oladi, qaysi manzilga hozirda ko'rsatilgan port
orqali kirish mumkinligini eslab qoladi
O'z navbatida, dinamik ravishda o'rganilgan manzillar kommutatorning
RAM-da saqlanishi mumkin, bu holda qayta ishga tushirilgandan so'ng "o'rganish"
ni
takrorlash
kerak
bo'ladi; yoki konfiguratsiyada -
keyin konfiguratsiyani
saqlash mumkin va qayta yuklangandan keyin ham manzillar qoladi. Ikkinchi rejim
"yopishqoq" ( yopishqoq ) deb nomlanadi , chunki u portga qanday yopishish
kerakligi haqida gapiradi, shundan so'ng "unstick" ularni faqat administrator
qilishlari mumkin - qo'lda. Yana bir savol - agar xavfsizlik buzilgan bo'lsa
va portga xavfsizlikni sozlashimizga qaraganda ko'proq manzillar kirsa nima qilish
kerak ? Ushbu holatdagi o'tish rejimiga uchta rejimdan biri javobgardir:
Himoya qilish - yangi MAC-manzillarga ega bo'lgan ramkalar e'tiborga
olinmaydi, qolganlari ham ishlashda davom etmoqda. Rejim yaxshi, chunki port
ishlashda davom etmoqda, ammo yomon tomoni shundaki, administrator o'z
tarmog'ida bunday g'alati narsalar yuz berayotganini hech qachon bilmaydi
Cheklash - himoya qilish rejimiga o'xshaydi, faqat kommutator SNMP
orqali bunday noxush holat yuz berganligi to'g'risida xabar beradi, bundan tashqari,
bu haqda syslog- ga ma'lumot yozadi (agar tuzilgan bo'lsa)
O'chirish - nomidan ko'rinib turibdiki, syslog va SNMP orqali xabarlarga
qo'shimcha ravishda port o'chadi. Bu tarmoq xatolariga bardoshlik nuqtai
nazaridan unchalik yaxshi emas, lekin biz portni qo'lda yoqmagunimizcha
tajovuzkor o'z
tarmog'imizni
o'rganish
bo'yicha
tajribalarini
davom
ettira olmasligini aniq bilamiz .
Endi biz butun nazariyani bilamiz, keling, port xavfsizligini sozlashga harakat
qilaylik :
S1#configure terminal
S1(config)#interface fastEthernet 0/11
S1(config-if)#switchport mode access
S1(config-if)#switchport port-security
Shunday qilib, biz ushbu funktsiyani interfeysda standart qiymatlari bilan
yoqdik, ya'ni:
Har bir port uchun maksimal 1 MAC-manzil
Xotira rejimi dinamikasi (RAMda, yopishqoq emas )
Ikkinchi MAC-manzil paydo bo'lganda harakat - portni o'chirib qo'ying
Bu siz portiga 11, uchun, kompyuterni ulash tekshirish oson Ping narsa,
so'ngra MAC o'zgartirish va harakat Ping yana . Port o'chiriladi va xato-o'chirib
qo'yilgan holatga kiradi . Portni qayta yoqish uchun uni o'chirib yoqishingiz kerak:
S1(config)#interface fastEthernet 0/11
S1(config-if)#shutdown
%LINK-5-CHANGED: Interface FastEthernet0/11, changed state to
administratively down
S1(config-if)#no shutdown
%LINK-5-CHANGED: Interface FastEthernet0/11, changed state to up
%LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/11,
changed state to up
Amaldagi port xavfsizligini quyidagi buyruq bilan ko'rish mumkin:
S1#show port-security
Secure Port MaxSecureAddr CurrentAddr SecurityViolation Security Action
(Count) (Count) (Count)
--------------------------------------------------------------------
Fa0/11 1 1 0 Shutdown
----------------------------------------------------------------------
Jadvalda siz maksimal 1 MAC ekanligini ko'rishingiz mumkin va u
allaqachon o'rganilgan, harakat O'chirish .
Qayta switch, saqlanishi MAC unutiladi va bu oldini olish uchun qayta-
o'rganish kerak bo'lsa, u MAC- yod "yopishqoq" o'z ichiga zarur s . Shu bilan
birga, keling, ularning sonini beshdan oshiraylik:
S1(config)#interface fastEthernet 0/11
S1(config-if)#switchport port-security mac-address sticky
S1(config-if)#switchport port-security maximum 5
Agar biz manzillarni statik ravishda qo'lda ro'yxatlashni istasak,
unda yopishqoq so'z o'rniga (yoki unga parallel ravishda - alohida satrda) ularni
quyidagi buyruq bilan ro'yxatlashimiz mumkin:
S1 ( config -if) # switchport port-security mac-address 1234.abcd.1234
Ammo
biz
MACni
statik
ravishda
qo'shmadik,
shunchaki yopishqoq rejimni yoqdik . Biz kompyuterdan ping qilishga
harakat
qilamiz , shundan so'ng biz konfiguratsiyani ko'rib chiqamiz :
S1#show running-config
Building configuration...
Current configuration : 1185 bytes
!
version 12.2
no service timestamps log datetime msec
no service timestamps debug datetime msec
no service password-encryption
!
hostname S1
…
interface FastEthernet0/1
switchport mode access
switchport port-security
switchport port-security mac-address sticky
switchport port-security mac-address sticky 0001.4276.96B5
…
Biz
nimani
ko'ramiz? «switchport
port-security mac-address sticky
0001.4276.96B5» qatori kompyuter manzilini eslab qolganligini va "portga
yopishib qolgan" degan ma'noni anglatadi, go'yo biz o'zimiz uni statik ravishda
haydab
yubordik. Agar
siz
hozirda konfiguratsiyani saqlasangiz, qayta yoqilgandan so'ng manzil yo'qolmaydi
va kommutatorni qayta tayyorlash kerak bo'lmaydi.
Xulosa shuki, port xavfsizlik xususiyati hisoblanadi modernizatsiya qilish
uchun juda oson va juda yaxshi hujumlar ba'zi turlariga qarshi yordam beradi.
Do'stlaringiz bilan baham: |