В современном мире защита сети от несанкционированного доступа является ключевым фактором для сохранения конфиденциальности данных и бесперебойной работы всех систем. Технология Port Security - это один из инструментов безопасности сети, который позволяет администраторам контролировать доступ определенных устройств к сегменту сети через определенный порт коммутатора. Она предотвращает несанкционированный доступ к сети, блокируя подключения от неизвестных или неавторизованных устройств.
Преимущества Port Security
- Предотвращение атаки Man in the middle (MITM): Port Security предотвращает подмену злоумышленниками MAC-адреса для доступа к сети.
- Защита от несанкционированного доступа: только разрешенные устройства получают доступ к сети.
- Повышение безопасности сети: ограничение доступа к сети помогает предотвратить атаки на доступные ресурсы.
- Упрощение управления сетью: администраторы могут легко управлять доступом к сети, редактируя список разрешенных MAC-адресов.
Типы Port Security
Static Port Lock
Принцип работы:
- Вручную формируется привязка MAC-адреса устройства к порту.
- Порты не будут пропускать кадры с MAC-адресами, отличными от указанных.
Недостатки:
- Необходимость ручной конфигурации при добавлении новых устройств и в случае выхода коммутатора из строя.
- После срабатывания правила Port Security с установленным действием “shutdown” необходимо вручную включать интерфейс обратно.
Dynamic Port Lock
Принцип работы:
- Устанавливается ограничение количества MAC-адресов, которые может «выучить» порт.
- Порт автоматически изучает MAC-адреса.
- Когда максимально установленное количество MAC-адресов на порте достигнуто, он будет либо отбрасывать пакеты с новыми MAC-адресами или заблокируется.
Недостатки:
- После срабатывания правила Port Security с установленным действием “shutdown” необходимо вручную включать интерфейс обратно.
Настройка Port Security на коммутаторах Kyland
Теперь перейдем к примерам настройки Port Security на коммутаторах серии SICOM3000A.
Static Port Lock
1. Перед настройкой в режиме Static Port Lock на коммутатор необходимо загрузить определенную версию прошивки, которую можно скачать по ссылке.
2. Далее переходим во вкладку MAC Table -> MAC Table Configuration и прописываем разрешенный MAC-адрес устройства для определенного порта, который будет иметь доступ к сети.
3. После этого переходим во вкладку Network -> Port Security -> Configuration и включаем использование технологии Port Security.
4. А также включаем режим на выбранном порте 2, выставляем лимит 0 (это специфика работы Port Security на коммутаторах SICOM3000A) и действие shutdown.
Столбец Action отвечает за действия коммутатора при несанкционированном подключении. Таких действий на коммутаторе SICOM3000A всего 4.
None – порт не переходит в состояние «shutdown», но несанкционированный MAC блокируется.
Trap – порт не переходит в состояние «shutdown», несанкционированный MAC блокируется и отправляется Trap-сообщение.
Shutdown – порт переходит в состояние «shutdown».
Trap & Shutdown – порт переходит в состояние «shutdown» и отправляется Trap-сообщение.
После завершения всех настроек не забываем сохранить конфигурацию: Maintenance -> Save Current Configuration.
Теперь доступ в сеть может осуществляться только со 2 порта устройством с MAC-адресом E0-1C-FC-AE-A7-CF. При получении пакетов с MAC-адресами, отличными от указанного, коммутатор переведёт порт в состояние shutdown. Для разблокировки порта необходимо нажать кнопку Reopen.
Dynamic Port Lock
! При работе с Dynamic Port Lock специализированная прошивка не потребуется.
1. Переходим во вкладку Network -> Port Security -> Configuration и включаем использование технологии Port Security.
2. После чего включаем режим на выбранном порте 1, выставляем лимит 2 и действие shutdown.
* Максимальное количество MAC-адресов - 1024.
3. После завершения всех настроек необходимо сохранить конфигурацию: Maintenance -> Save Current Configuration.
Теперь коммутатор на порте 1 будет изучать MAC-адреса согласно лимиту, а при достижении максимального количества MAC-адресов (для примера - 3 MAC-адреса) порт перейдет в состояние shutdown.