CA Module 10 Part3

Module 10 : Configuration de la
sécurité du commutateur
3eme partie
Objectifs de ce module
Titre du module : Configuration de la sécurité du commutateur
Objectif du module: configurer la sécurité des commutateurs pour atténuer les attaques LAN
Titre du rubrique Objectif du rubrique

Mise en œuvre de la sécurité Implémentez la sécurité des ports pour atténuer les attaques de
des ports table d'adresses MAC.
Expliquez comment configurer le DTP et le VLAN natif pour
Atténuer les attaques VLAN
atténuer les attaques de VLAN.
Expliquez comment configurer la suveillance DHCP pour atténuer
Atténuer les attaques DHCP
les attaques DHCP.
Expliquez comment configurer l'inspection ARP pour atténuer les
Atténuer les attaques ARP
attaques ARP.
Expliquez comment configurer PortFast et BPDU Guard pour
Atténuer les attaques STP
atténuer les attaques STP.
© 2016 Cisco et/ou ses filiales. Tous droits réservés. Confidentiel Cisco 2
10.1 Mettre en oeuvre la sécurité
des ports
Mettre en œuvre la sécurité des ports
Ports inutilisés sécurisés

Les attaques de couche 2 sont parmi les plus faciles à déployer pour les pirates, mais ces menaces
peuvent également être atténuées avec certaines solutions de couche 2 courantes.
• Tous les ports (interfaces) du commutateur doivent être sécurisés avant que le commutateur ne
soit déployé pour une utilisation en production. La façon dont un port est sécurisé dépend de sa
fonction.
• Une méthode simple que de nombreux administrateurs utilisent pour protéger le réseau contre les
accès non autorisés consiste à désactiver tous les ports inutilisés d'un commutateur. Naviguez
vers chaque port inutilisé et émettez la commande shutdown de Cisco IOS. Si un port doit être
réactivé plus tard, il peut être activé avec la commande no shutdown .
• Pour configurer une portée de ports, utilisez la commande interface range .
Switch(config)# interface range type module/first-number – last-number
Atténuer les attaques de table d'adresses MAC

La méthode la plus simple et la plus efficace pour empêcher les attaques par débordement de la table
d'adresses MAC consiste à activer la sécurité des ports.
• La sécurité des ports limite le nombre d'adresses MAC valides autorisées sur un port. Il permet à
un administrateur de configurer manuellement les adresses MAC d'un port ou de permettre au
commutateur d'apprendre dynamiquement un nombre limité d'adresses MAC. Lorsqu'un port
configuré avec la sécurité de port reçoit une trame, l'adresse MAC du source de la trame est
comparée à la liste des adresses MAC des source sécurisées qui ont été configurées
manuellement ou apprises dynamiquement sur le port.
• En limitant le nombre d'adresses MAC autorisées sur un port à un, la sécurité du port peut être
utilisée pour contrôler l'accès non autorisé au réseau.
Activer la sécurité des ports

La sécurité des ports est activée avec la commande de configuration de l'interface switchport port-
security .
Notez que dans l'exemple, la commande switchport port-security a été rejetée. C'est parce que, la
sécurité des ports ne peut être configurée que sur des ports d'accès configurés manuellement ou des
ports de trunk de réseau configurés manuellement. Par défaut, les ports de commutateur de couche 2
sont réglés sur l'auto dynamique (trunking activée). Par conséquent, dans l'exemple, le port est configuré
avec la commande de configuration de l'interface switchport mode access .
Remarque: la sécurité des ports trunc dépasse le cadre de ce cours.
Activer la sécurité des ports (Suite)

Utilisez la commande show port-security interface pour
afficher les paramètres de sécurité de port actuels pour
FastEthernet 0/1.
• Remarquez comment la sécurité des ports est activée, le
mode de violation est arrêté et comment le nombre
maximal d'adresses MAC est 1.
• Si un périphérique est connecté au port, le commutateur
ajoute automatiquement l'adresse MAC du périphérique
en tant que MAC sécurisé. Dans cet exemple, aucun
périphérique n'est connecté au port.
Remarque: si un port actif est configuré avec la

commande switchport port-security et que plusieurs
périphériques sont connectés à ce port, le port passera à
l'état désactivé par erreur.
Activer la sécurité des ports (Suite)

Une fois la sécurité des ports est activée, d'autres spécificités de sécurité des ports peuvent être
configurées, comme illustré dans l'exemple.
Limiter et apprendre les adresses MAC

Pour définir le nombre maximal d'adresses MAC autorisées sur un port, utilisez la
commande suivante:
Switch(config-if)# switchport port-security maximum value
• La valeur de sécurité du port par défaut est 1.

• Le nombre maximal d'adresses MAC sécurisées pouvant être configurées dépend du
commutateur et de l'IOS.
• Dans cet exemple, le maximum est 8192.
Limiter et apprendre les adresses MAC (Suite)

Le commutateur peut être configuré pour en savoir plus sur les adresses MAC sur un port sécurisé de
trois manières:
1. Configuration manuelle: l'administrateur configure manuellement une ou des adresses MAC
statiques à l'aide de la commande suivante pour chaque adresse MAC sécurisée sur le port:
Switch(config-if)# switchport port-security mac-address mac-address
2. Apprentissage dynamique: lorsque la commande switchport port-security est entrée, le
MAC source actuel du périphérique connecté au port est automatiquement sécurisé mais n'est pas
ajouté à la configuration en cours. Si le commutateur est redémarré, le port devra réapprendre
l'adresse MAC du périphérique.
3. Apprentissage dynamique - Sticky: l'administrateur peut activer le commutateur pour

apprendre dynamiquement les adresses MAC et les «coller» à la configuration en cours en
utilisant la commande suivante:
Switch(config-if)# switchport port-security mac-address sticky
L'enregistrement de la configuration en cours valide l'adresse MAC apprise dynamiquement dans
la NVRAM.
Limiter et apprendre les adresses MAC(Suite)

L'exemple illustre une configuration de sécurité
de port complète pour FastEthernet 0/1.
• L'administrateur spécifie un maximum de 4
adresses MAC, configure manuellement
une adresse MAC sécurisée, puis
configure le port pour apprendre
dynamiquement des adresses MAC
sécurisées supplémentaires jusqu'à 4
adresses MAC sécurisées au maximum.
• Utilisez les commandes show port-
security interface et show port-security
address pour vérifier la configuration.
Obsolescence de la sécurité des ports (suite)

L'obsolescence de la sécurité des ports peut être utilisée pour définir le temps d'obsolescence des
adresses sécurisées statiques et dynamiques sur un port.
• Absolue - Les adresses sécurisées sur le port sont supprimées après le temps d'obsolescence
spécifié.
• Inactivité - Les adresses sécurisées sur le port sont supprimées si elles sont inactives pendant
une durée spécifiée.
Utilisez l'obsolescence pour supprimer les adresses MAC sécurisées sur un port sécurisé sans
supprimer manuellement les adresses MAC sécurisées existantes.
• l'obsolescence des adresses sécurisées configurées statiquement peut être activé ou désactivé
par port.
Utilisez la commande switchport port-security aging pour activer ou désactiver l'obsolescence
statique pour le port sécurisé, ou pour définir le temps ou le type d'obsolescence.
Switch(config-if)# switchport port-security aging {static | time time | type {absolute | inactivity}}
Obsolescence de la sécurité des ports (suite)

L'exemple montre un administrateur
configurant le type d'obsolescence
à 10 minutes d'inactivité.
La commande show port-security

confirme les modifications. la
commande interface pour vérifier
la configuration.
Modes de violation de la sécurité des ports

Si l'adresse MAC d'un périphérique connecté à un port diffère de la liste des adresses sécurisées, une
violation de port se produit et le port entre dans l'état désactivé par erreur.
• Pour définir le mode de violation de sécurité du port, utilisez la commande suivante:
Switch(config-if)# switchport port-security violation {shutdown | restrict | protect}
Le tableau suivant montre comment un commutateur réagit en fonction du mode de violation configuré.
Mode Description
Le port passe immédiatement à l'état désactivé par erreur, éteint la LED du port et envoie un message
shutdown Syslog. Il incrémente le compteur de violations. Lorsqu'un port sécurisé est dans l'état désactivé par erreur,
(par défaut) un administrateur doit le réactiver en entrant les commandes shutdown and no shutdown
Le port supprime les paquets dont l'adresse source est inconnue jusqu'à ce que vous supprimiez un nombre
suffisant d'adresses MAC sécurisées pour passer en dessous de la valeur maximale ou augmenter la valeur
restreindre maximale. Ce mode entraîne l'incrémentation du compteur de violation de sécurité et génère un message
syslog.
Il s'agit du mode de violation de sécurité le moins sécurisé. Le port supprime les paquets avec des adresses
source MAC inconnues jusqu'à ce que vous supprimiez un nombre suffisant d'adresses MAC sécurisées
protéger pour descendre en dessous de la valeur maximale ou augmenter la valeur maximale. Aucun message
Syslog n'est envoyé.
Modes de violation de la sécurité des ports (suite)
L'exemple montre un administrateur

remplaçant la violation de sécurité par
«Restreindre».
La sortie de la commande show port-

security interface confirme que la
modification a été effectuée.
Ports en état désactivé par erreur

Quand un port est fermé et placé dans l'état error-disabled, aucun trafic n'est envoyé ou reçu sur ce
port
Une série de messages liés à la sécurité des ports s'affiche sur la console, comme illustré dans
l'exemple suivant.
Remarque: Le protocole de port et l'état de la liaison passent à l'état bas et le voyant du port est
éteint.
Ports en état désactivé par erreur (suite)

• Dans l'exemple, la commande show
interface identifie l'état du port comme étant err-
disabled.. La sortie de la commande show port-
security interface affiche désormais l'état du port
comme étant secure-shutdown. Le compteur de
violation de sécurité incrémente de 1.
• L'administrateur doit déterminer la cause de la
violation de sécurité. Si un périphérique non
autorisé est connecté à un port sécurisé, la
menace de sécurité est éliminée avant de réactiver
le port.
• Pour réactiver le port, utilisez d'abord la
commande shutdown puis utilisez la
commande no shutdown .
Vérifier la sécurité des ports

Après avoir configuré la sécurité des ports sur un commutateur, vérifiez chaque interface pour vérifier que
la sécurité des ports est correctement définie et assurez-vous que les adresses MAC statiques ont été
correctement configurées.
Pour afficher les paramètres de sécurité des ports pour le commutateur, utilisez la commande showport-
security .
• L'exemple indique que les 24 interfaces sont

configurées avec la commande switchport
port-security car le maximum autorisé est 1
et le mode de violation est arrêté.
• Aucun périphérique n'est connecté, par
conséquent, le CurrentAddr (Count) est 0 pour
chaque interface.
Vérifier la sécurité des ports(suite)
Utilisez la commande show port-security

interface pour afficher les détails d'une interface
spécifique, comme indiqué précédemment et
dans cet exemple.
Pour vérifier que les adresses MAC «collent»

à la configuration, utilisez la commande show
run comme indiqué dans l'exemple pour
FastEthernet 0/19.
Pour afficher toutes les adresses

MAC sécurisées configurées
manuellement ou apprises
dynamiquement sur toutes les
interfaces de commutateur,
utilisez la commande show port-
security address comme indiqué
dans l'exemple.
Packet Tracer – Mettre en œuvre la sécurité des ports
Dans ce Packet Tracer, vous atteindrez les objectifs suivants:

• Partie 1: Configuration de la sécurité des ports
• Partie 2: Vérification de la sécurité des ports
10.2 Atténuer les attaques VLAN
Revue des attaques VLAN

Une attaque par saut de VLAN peut être lancée de trois manières:
• Usurpation des messages DTP de l'hôte attaquant pour que le commutateur passe en mode de
jonction. À partir de là, l'attaquant peut envoyer du trafic étiqueté avec le VLAN cible, et le
commutateur délivre ensuite les paquets à la destination.
• Présentation d'un commutateur escroc et activation de la jonction. L'attaquant peut alors accéder à
tous les VLAN sur le commutateur victime à partir du commutateur non autorisé.
• Un autre type d'attaque par saut de VLAN est une attaque à double marquage (ou à double
encapsulation). Cette attaque tire parti du fonctionnement du matériel sur la plupart des
commutateurs.
Étapes pour atténuer les attaques de saut de VLAN

Utilisez les étapes suivantes pour atténuer les attaques par
saut de VLAN:
Étape 1: désactivez les négociations DTP (jonction
automatique) sur les ports sans jonction à l'aide de la
commande de configuration de l'interface switchport
mode access .
Étape 2: désactivez les ports inutilisés et placez-les dans
un VLAN inutilisé.
Étape 3: Activez manuellement la liaison de jonction sur un
port de jonction à l'aide de la commande switchport mode
trunk .
Étape 4: désactivez les négociations DTP (trunking
automatique) sur les ports de jonction à l'aide de la
commande switchport nonegotiate .
Étape 5: définissez le VLAN natif sur un VLAN autre que
VLAN 1 à l'aide de la commande switchport trunk native
vlan vlan_number .
10.3 Atténuer les attaques DHCP
Revue d'attaque DHCP

Le but d'une attaque de famine DHCP est d'utiliser un outil d'attaque tel que Gobbler pour créer un
déni de service (DoS) pour connecter les clients.
Rappelez-vous que les attaques de famine DHCP peuvent être efficacement atténuées en utilisant la
sécurité des ports car Gobbler utilise une adresse MAC source unique pour chaque demande DHCP
envoyée. Cependant, l'atténuation des attaques d'usurpation DHCP nécessite plus de protection.
Gobbler peut être configuré pour utiliser l'adresse MAC de l'interface réelle comme adresse Ethernet
source, mais spécifiez une adresse Ethernet différente dans la charge utile DHCP. Cela rendrait la
sécurité du port inefficace car l'adresse MAC source serait légitime.
Les attaques d'usurpation DHCP peuvent être atténuées en utilisant la surveillance DHCP sur les
ports approuvés.
Surveillance du DHCP
La surveillance DHCP filtre les messages DHCP et limite le trafic DHCP sur les ports non approuvés.
• Les périphériques sous contrôle administratif (par exemple, les commutateurs, les routeurs et les
serveurs) sont des sources fiables.
• Les interfaces sécurisées (par exemple, liaisons de jonction, ports de serveur) doivent être
explicitement configurées comme sécurisées.
• Les périphériques en dehors du réseau et tous les ports d'accès sont généralement traités comme
des sources non fiables.
Une table DHCP est créée qui inclut l'adresse MAC source d'un périphérique sur un port non
approuvé et l'adresse IP attribuée par le serveur DHCP à ce périphérique.
• L'adresse MAC et l'adresse IP sont liées ensemble.
• Par conséquent, cette table est appelée table de liaison d'espionnage DHCP.
Étapes pour implémenter la surveillance DHCP

Utilisez les étapes suivantes pour activer la surveillance DHCP (snooping):
Étape 1. Activez la surveillance DHCP à l'aide de la commande de configuration globale ip dhcp
snooping .
Étape 2. Sur les ports approuvés, utilisez la commande de configuration de l'interface ip dhcp
snooping trust .
Étape 3: sur les interfaces non fiables, limitez le nombre de messages de découverte DHCP pouvant
être reçus à l'aide de la commande de configuration d'interface ip dhcpsnooping limit rate packets-
per-second .
Étape 4. Activez la surveillance DHCP par VLAN, ou par une portée de VLAN, en utilisant la
commande de configuration globale ip dhcp snooping vlan .
Exemple de configuration de surveillance DHCP

Reportez-vous à l'exemple de topologie de surveillance DHCP avec des ports approuvés et non
approuvés.
• La surveillance DHCP est d'abord activé sur S1.

• L'interface en amont du serveur DHCP est
explicitement approuvée.
• F0 / 5 à F0 / 24 ne sont pas approuvés et sont
donc limités à six paquets par seconde.
• Enfin, la surveillance DHCP est activée sur les
VLANS 5, 10, 50, 51 et 52.
Exemple de configuration de surveillance DHCP

Utilisez la commande EXEC
privilégiée show ip dhcp
snooping pour vérifier les
paramètres de surveillance DHCP.
Utilisez la commande show ip
dhcp snooping binding pour
afficher les clients qui ont reçu
des informations DHCP.
Remarque:La surveillance DHCP

est également requis par
l'inspection ARP dynamique (DAI).
10.4 Atténuer les attaques d'ARP
Atténuer les attaques d'ARP
Inspection ARP dynamique

Dans une attaque ARP typique, un acteur de menace peut envoyer des réponses ARP non sollicitées
à d'autres hôtes du sous-réseau avec l'adresse MAC de l'acteur de menace et l'adresse IP de la
passerelle par défaut. Pour empêcher l'usurpation ARP et l'empoisonnement ARP qui en résulte, un
commutateur doit garantir que seules les demandes et réponses ARP valides sont relayées.
L'inspection ARP dynamique (DAI) nécessite la surveillance DHCP et aide à prévenir les attaques
ARP en:
• Ne pas relayer les réponses ARP non valides ou gratuites vers d'autres ports du même VLAN.
• Interception de toutes les demandes et réponses ARP sur des ports non approuvés.
• Vérification de chaque paquet intercepté pour une liaison IP-MAC valide.
• Abandon et journalisation des réponses ARP provenant de non valides pour empêcher
l'empoisonnement ARP.
• Erreur-désactivation de l'interface si le nombre DAI de paquets ARP configuré est dépassé.
Atténuer les attaques d'ARP
Directives d'implémentation DAI

Pour atténuer les risques d'usurpation ARP et
d'empoisonnement ARP, suivez ces directives
d'implémentation DAI:
• Activez globalement la surveillance DHCP.
• Activez la surveillance DHCP sur les VLAN
sélectionnés.
• Activez DAI sur les VLAN sélectionnés.
• Configurez des interfaces sécurisées pour la
surveillance DHCP et l'inspection ARP.
Il est généralement conseillé de configurer tous les
ports de commutateur d'accès comme non
approuvés et de configurer tous les ports de liaison
montante qui sont connectés à d'autres
commutateurs comme approuvés.
Exemple de configuration DAI

Dans la topologie précédente, S1 connecte deux utilisateurs sur le VLAN 10.
• DAI sera configuré pour atténuer les attaques d'usurpation ARP et d'empoisonnement ARP.
• La surveillance DHCP est activée car DAI

nécessite la table de liaison de surveillance
DHCP pour fonctionner.
• Ensuite, la surveillance DHCP et l'inspection
ARP sont activés pour les PC sur VLAN10.
• Le port de liaison montante vers le routeur est
approuvé et est donc configuré comme
approuvé pour la surveillance DHCP et
l'inspection ARP.
Exemple de configuration DAI (suite)

DAI peut également être configuré pour vérifier les adresses MAC et IP de destination ou de source:
• MAC destination - vérifie l'adresse MAC de destination dans l'en-tête Ethernet par rapport à
l'adresse MAC cible dans le corps ARP.
• MAC source -vérifie l'adresse MAC de source dans l'en-tête Ethernet par rapport à l'adresse
MAC de l'expéditeur dans le corps ARP.
• Adresse IP -Vérifie le corps ARP pour les adresses IP invalides et inattendues, y compris les
adresses 0.0.0.0, 255.255.255.255 et toutes les adresses de multidiffusion IP.
Exemple de configuration DAI (suite)

La commande de configuration globale ip arp inspection validate {[src-mac] [dst-mac] [ip]} est utilisée
pour configurer DAI pour supprimer les paquets ARP lorsque les adresses IP ne sont pas valides.
• Il peut être utilisé lorsque les adresses MAC dans le corps des paquets ARP ne correspondent pas
aux adresses spécifiées dans l'en-tête Ethernet.
• Remarquez dans l'exemple suivant comment une seule commande peut être configurée.
• Par conséquent, la saisie de plusieurs
commandes ip arp inspection
validate écrase la commande précédente.
• Pour inclure plusieurs méthodes de
validation, saisissez-les sur la même ligne de
commande comme indiqué dans la sortie.
10.5 Atténuer les attaques STP
PortFast et BPDU Guard

Rappelez-vous que les attaquants du réseau peuvent manipuler le protocole STP (Spanning Tree
Protocol) pour mener une attaque en usurpant le pont racine et en modifiant la topologie d'un réseau.
Pour atténuer les attaques STP, utilisez PortFast et Bridge Protocol Data Unit (BPDU) Guard:
PortFast
• PortFast amène immédiatement un port à l'état de transfert à partir d'un état de blocage, en
contournant les états d'écoute et d'apprentissage.
• Appliquer à tous les ports d'accès d'utilisateur final.
BPDU Guard
• BPDU guard – Désactive immédiatement par erreur un port qui reçoit une unité BPDU.
• Comme PortFast, la protection BPDU (BPDU guard) ne doit être configurée que sur les
interfaces connectées aux périphériques d'extrémité.
Configurer PortFast
PortFast contourne les états d'écoute et d'apprentissage STP pour minimiser le temps que les ports
d'accès doivent attendre pour que STP converge.
• Activez PortFast uniquement sur les ports d'accès.
• PortFast sur les liaisons inter-commutateurs peut créer une boucle de spanning-tree.
PortFast peut être activé:

• Sur une interface - Utilisez la commande de
configuration d'interface spanning-tree
portfast .
• Globalement - Utilisez la commande de
configuration globale spanning-tree portfast
default pour activer PortFast sur tous les ports
d'accès.
Configurer PortFast (suite)

Pour vérifier si PortFast est activé globalement, vous pouvez utiliser soit:
• show running-config | begin span commande
• S1# show spanning-tree summary
Pour vérifier si PortFast est activé sur une interface, utilisez la commande show running-config
interface type/number .
La commande spanning-tree interface type/number detail peut également être utilisée pour la

vérification.
Configurer BPDU Guard

Un port d'accès pourrait recevoir des BPDU inattendus accidentellement ou parce qu'un utilisateur a
connecté un commutateur non autorisé au port d'accès.
• Si une BPDU est reçue sur un port d'accès activé par BPDU Guard, le port est mis en état
désactivé par erreur.
• Cela signifie que le port est arrêté et doit être réactivé manuellement ou récupéré
automatiquement par la commande globale errdisable recovery cause psecure_violation .
BPDU Guard peut être activé:

• Sur une interface - Utilisez la commande de
configuration d'interface spanning-tree bpduguard
enable .
• Globalement - Utilisez la commande de configuration
globale spanning-tree portfast bpduguard
default pour activer BPDU Guard sur tous les ports
d'accès.
10.6 Module pratique et
questionnaire
Module pratique et questionnaire
Packet Tracer - Configuration de la Sécurité de Commutateur

Dans cette activité Packet Tracer, vous allez:
• Sécuriser les ports inutilisés
• Configurer la sécurité des ports
• Atténuer les attaques par saut de VLAN
• Atténuer les attaques DHCP
• Atténuer les attaques ARP
• Atténuer les attaques STP
• Vérifier la configuration de sécurité du commutateur
Travail pratique – Configuration de la sécurité du commutateur

Au cours de ces travaux pratiques, vous allez:
• Sécuriser les ports inutilisés
• Configurer la sécurité des ports
• Mitigate VLAN hopping attacks
• Atténuer les attaques DHCP
• Atténuer les attaques ARP
• Atténuer les attaques STP
• Vérifier la configuration de sécurité du commutateur
Qu'est-ce que j'ai appris dans ce module?

• Tous les ports (interfaces) du commutateur doivent être sécurisés avant que le commutateur ne soit
déployé pour une utilisation en production.
• Par défaut, les ports de commutateur de couche 2 sont réglés sur l'auto dynamique (trunking activée).
• La méthode la plus simple et la plus efficace pour empêcher les attaques par débordement de la table
d'adresses MAC consiste à activer la sécurité des ports.
• Le commutateur peut être configuré pour connaître les adresses MAC sur un port sécurisé de trois
manières: configuré manuellement, appris dynamiquement et appris dynamiquement - collant.
• Si l'adresse MAC d'un périphérique connecté au port diffère de la liste des adresses sécurisées, une
violation de port se produit. Par défaut, le port entre l’état error-disabled. Lorsqu'un port est placé dans
l'état désactivé par erreur, aucun trafic n'est envoyé ou reçu sur ce port.
• Atténuez les attaques par sauts de VLAN en désactivant les négociations DTP, en désactivant les ports
inutilisés, en définissant manuellement la jonction si nécessaire et en utilisant un VLAN natif autre que
VLAN 1.
Module pratique et quiz
Qu'est-ce que j'ai appris dans ce module? (Suite)

• L'objectif d'une attaque par insuffisance de resources DHCP est de créer un déni de service (DoS) pour
connecter les clients. Les attaques par usurpation DHCP peuvent être contrecarrées au moyen de
fonctions de surveillance DHCP sur les ports de confiance.
• La surveillance DHCP détermine si les messages DHCP proviennent d'une source approuvée ou non
approuvée configurée par l'administrateur. Il filtre ensuite les messages DHCP et limite le débit du trafic
DHCP provenant de sources non fiables.
• L'inspection ARP dynamique (DAI) nécessite la surveillance DHCP et aide à prévenir les attaques ARP en
vérifiant le trafic ARP.
• Implémentez l'inspection ARP dynamique pour atténuer l'usurpation d'identité ARP et l'empoisonnement
ARP.
• Pour atténuer les attaques de manipulation du protocole Spanning Tree (STP), utilisez PortFast et Bridge
Protocol Data Unit (BPDU) Guard.

CA Module 10 Part3

Transféré par

Droits d'auteur :

Formats disponibles

CA Module 10 Part3

Transféré par

Informations du document

Description originale:

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

CA Module 10 Part3

Transféré par

Droits d'auteur :

Formats disponibles

Module 10 : Configuration de la

Titre du rubrique Objectif du rubrique

Ports inutilisés sécurisés

Switch(config)# interface range type module/first-number – last-number

Atténuer les attaques de table d'adresses MAC

Activer la sécurité des ports

Remarque: la sécurité des ports trunc dépasse le cadre de ce cours.

Activer la sécurité des ports (Suite)

Remarque: si un port actif est configuré avec la

Activer la sécurité des ports (Suite)

Limiter et apprendre les adresses MAC

• La valeur de sécurité du port par défaut est 1.

Limiter et apprendre les adresses MAC (Suite)

3. Apprentissage dynamique - Sticky: l'administrateur peut activer le commutateur pour

Limiter et apprendre les adresses MAC(Suite)

Obsolescence de la sécurité des ports (suite)

Obsolescence de la sécurité des ports (suite)

La commande show port-security

Modes de violation de la sécurité des ports

Modes de violation de la sécurité des ports (suite)

L'exemple montre un administrateur

La sortie de la commande show port-

Ports en état désactivé par erreur

Ports en état désactivé par erreur (suite)

Vérifier la sécurité des ports

• L'exemple indique que les 24 interfaces sont

Vérifier la sécurité des ports(suite)

Utilisez la commande show port-security

Vérifier la sécurité des ports(suite)

Pour vérifier que les adresses MAC «collent»

Pour afficher toutes les adresses

Packet Tracer – Mettre en œuvre la sécurité des ports

Dans ce Packet Tracer, vous atteindrez les objectifs suivants:

Revue des attaques VLAN

Étapes pour atténuer les attaques de saut de VLAN

Revue d'attaque DHCP

Étapes pour implémenter la surveillance DHCP

Exemple de configuration de surveillance DHCP

• La surveillance DHCP est d'abord activé sur S1.

Exemple de configuration de surveillance DHCP

Remarque:La surveillance DHCP

Inspection ARP dynamique

Directives d'implémentation DAI

Exemple de configuration DAI

• La surveillance DHCP est activée car DAI

Exemple de configuration DAI (suite)

Exemple de configuration DAI (suite)

PortFast et BPDU Guard

PortFast peut être activé:

Configurer PortFast (suite)

La commande spanning-tree interface type/number detail peut également être utilisée pour la

Configurer BPDU Guard

BPDU Guard peut être activé:

Packet Tracer - Configuration de la Sécurité de Commutateur

Travail pratique – Configuration de la sécurité du commutateur

Qu'est-ce que j'ai appris dans ce module?

Qu'est-ce que j'ai appris dans ce module? (Suite)

Vous aimerez peut-être aussi