局域网安全14 屏蔽控制平面协议

1、需要控制平面行为的场合




[/b]

2、安全的屏蔽控制平面行为
1)协议屏蔽+VACL
（1）屏蔽STP
Switch(config-if)#spanning-tree bpduguard enable
（2）屏蔽链路聚合协议
Switch(config-if)#no channel-group
（3）屏蔽VTP
set port channel 0/1 mode off 仅支持于VTP版本3，ciscoIOS不支持
（4）屏蔽DTP
Switch(config-if)#switchport mode access
（5）屏蔽HSRP和VRRP
（6）屏蔽管理协议和路由协议
（7）使用ACL
· 发送Cisco多播地址 0100.0CCC.CCCC 的帧。CDP（0x2000）、VTP（0x2003）、DTP（0x2004）、PAgP（0x0104）
· 送往IEEE慢速协议多播地址 0180.C200.0002的帧。LACP（0x8809）
Switch(config)#mac access-list extended macacl
Switch(config-ext-macl)#permit any host 0100.0CCC.CCCC 0104 0
Switch(config-ext-macl)#permit any host 0100.0CCC.CCCC 2000 0
Switch(config-ext-macl)#permit any host 0100.0CCC.CCCC 2003 0
Switch(config-ext-macl)#permit any host 0100.0CCC.CCCC 2004 0
Switch(config-ext-macl)#permit any host 0180.C200.0002 8809 0
Switch(config)#vlan access-map mymap
Switch(config-access-map)#match mac address macacl
Switch(config-access-map)#action drop
2）屏蔽其他控制平面行为
（1）生成ICMP消息
· Administrator prohibited（ICMP强制制止消息）：ACL丢弃数据包时生成该消息
· TTL expired：TTL为0时
· 需要分片：有助于MTU发现
· 目标不可达：硬件CoPP亦可以抵挡
Switch(config)#ip icmp rate-limit unreachable 10
Switch(config-if)#no ip unreachable
（2）控制IPv6、802.1x
较老平台转发IPv6时使用进程交换（现在都是CEF）。依赖于硬件辅助，否则对IPv6合理限速（以太网类型：0x86DD）
Switch(config)#mac access-list extended macacl
Switch(config-ext-macl)#permit any any 86DD 0
（3）智能端口宏
· cisco-桌面：cisco-desktop
· cisco-电话：cisco-phone
配置
Switch(config-if)#macro apply cisco-desktop $access_vlan 10 //自动生成配置