网站营销优化网站建设品

目前网络中以太网技术的应用非常广泛、然后、各种网络攻击的纯在（例如针对ARP DHCP 等攻击）不仅造成了网络合法用户无法正常访问网络资源、而且对网络信息安全构成严重威胁、以下配置是对局域网安全配置命令做详解

主要的安全威胁

MAC攻击:泛洪、欺骗

DHCP攻击：饿死、欺骗

ARP攻击：欺骗

IP攻击：欺骗

MAC地址安全	mac-address static 0000-11111-2222 g0/0/1 vlan1 PS:一个静态MAC地址只能绑定一个接口	添加静态MAC地址表项： 将一些固定的上行设备或者信任用户的MAC地址配置为静态MAC表项可以保证启安全通信
	mac-address blackhole 0666-0666-0666	添加黑洞mac地址表项： 防止黑客通过MAC地址攻击网络、交换机对来自黑洞mac或者去往黑洞mac的报文财务丢弃处理
	mac-address aging-time 60	配置老化时间、默认300s
	int g0/0/1  mac-address learning disable action  *discard  *forward (默认动作) *discard：对报文源MAC地址进行匹配。当源MAC地址于MAC地址表项匹配时、对该报文进行转发；否则丢弃该报文	关闭基于接口的mac地址学习功能后的报文处理动作
	VLAN 10  mac-address learning disable 优先级：基于VLAN>基于接口	关闭基于VLAN的MAC地址学习功能
	int g0/0/1  mac-limit maxmum 10  mac-limit action {discard | forward }  mac-limit alarm {discard | enable }	配置MAC地址数量上限（可以限制接口私接小交换机和无线路由器的问题） 配置超限后的动作 配置超限后是否告警
端口安全	in g0/0/1  port-security enable  port-security max-mac-num 10  port-security aging-time 10  port-security mac-address sticky  port-security protect-action   *protect   *shutdown   *restric	开启端口安全 配置最大安全MAC地址数 配置MAC地址老化时间 配置Sticky 配置保护动作
	display mac-address security display mac-address sec-config dispaly mac-address sticky	查看安全动态MAC地址表项 查看配置的安全静态mac地址表项 查看sticky MAc表项
mac地址漂移	mac-address flapping detection disaply mac-address flapping record undo mac-address flapping 2 allow-flapping	配置MAC地址漂移检测 查看MAC地址漂移记录 配置禁止相同优先级发生漂移
	intg/0/0/1  mac-learning priority 2  mac-learning priority flapping-defend action   *discard   *forward(默认动作) mac-address flapping action | trigger   *quit-vlan :退出当前VLAN   *err-down : 关闭接口	配置接口学习MAC的优先级 配置禁止MAC地址漂移时报文的处理动作 配置发生漂移后的处理动作
	eero-down auto-recovery cause mac-address-flapping interval time-value	Error-Down自动恢复命令：
	mac-address flapping quit-vlan recover-time time-value	Quti-VLAN自动恢复的命令：
流量抑制配置	suppression mode by-packets | by-bits	配置流量抑制模式： 默认微packets， bists颗粒更小、抑制更精准、但不是所有型号的设备都支持
	int g/0/0/1  broadcast-suppression 10  muticast-suppression packts 10  unicast-suppression 10  known-muticsat-suppression 10  known-unicast-suppression 10	配置广播报文抑制百分比 配置未知组播报文抑制PPS (PPS:每秒收到的包个数) 配置未知单播报文抑制PPS 配置已知组播报文流量抑制、百分比抑制、百分比10% 配置已知单播报文流量抑制、百分比抑制、百分比10%
交换机攻击防护	anti-attack fragment car cir 80000 anti-attack tcp-syn car cir 80000 anti-attack icmp-flood car cir 80000	限制TCP SYN报文接收的速率 限制ICMP泛洪攻击报文接收的速率 限制分片报文接收的速率
风暴控制（建议使用）	in g0/0/1  strom-control broadcast min-rate 1000 max-rate 2000  strom-control multicast min-rate 1000 max-rate 2000  strom-control unicast min-rate 1000 max-rate 2000  storm-control action block  strom-control enable log  strom-control interval 90	配置广播风暴控制 配置未知组播风暴控制 配置未知单播风暴控制 配置风暴控制的动作为阻塞报文 配置打开风暴控制时记录日志的功能 配置风暴控制的检测时间间隔
DHCP安全	dhcp snoopping enable {ipv4 | ipv6}	全局开启DHCP snooping功能
	vlan 10  dhcp snooping enable  dhcp snooping trustd interface g0/0/1	基于VLAN开启DHCP Snooping 配置信任接口
	in g0/0/1  dhcp snooping enable  dhcp snooping trustd	基于接口开启DHCP snooping 配置信任接口
	dhcp snooping check dhcp-chaddr enable	检测源MAC于CHADDR是否相同
	dhcp snooping check dhcp-giaddr enable	检测GIADDR字段是否非零
	dhcp snooping check dhcp-ratge enable dhcp snooping check dhck-rate 50	开启DHCP速率检查功能 配置默认速率上限、默认100pps
	dhcp snooping max-user-number 20	配置接口dhcp最大用户数
	dhcp snooping user-offine remove mac-address	配置DHCP用户下线后及时清除对应用户的MAC地址表项功能
	arp dhcp-snooping-detect enable	配置ARP和DHCP snooping联动
	display dhcp snooping configuration	验证DHCP snooping配置信息
	display dhcp snooping int g0/0/0/1	验证DHCP Snooping接口
	dispaly dhcp snooping user-bind all	验证DHCP snooping绑定表
IP安全	in g0/0/1  ip source check user-bind enable  ip source check user-bind alarm enable  ip source check user-bind alarm threshold 200	开启IPSG 开启检查告警功能 配置检查告警阈值	原理是检查mac地址绑定表
	display dhcp static user-bind all	验证静态绑定信息
	display dhcp snooping user-bind all	验证动态绑定信息