פעולות במקרה של הפרה - Port Security Violation
FastEthernet 0/1 במצב access (או trunk, לא להשאיר dynamic) מפעילים port security ובוחרים violation, למשל restrict. בסוף חשוב לשמור את ההגדרות ב-startup config.show port-security מציג את הפורט המוגן, המספר המקסימלי של כתובות והכתובות שנלמדו. בהרצת הדוגמה נראו 5 הפרות במצב restrict, ובמצב protect המונה נשאר על 0.no shutdown. ב-Packet Tracer זה לא עבד בהדגמה, והדובר אמר שזו בעיה של הסימולטור, בניגוד לכלים כמו GNS3 ו-Unit Lab שמריצים מערכת הפעלה אמיתית.פרקי ההרצאה: פעולות במקרה של הפרה - Port Security Violation
תמלול ההרצאה: פעולות במקרה של הפרה - Port Security Violation
הטקסט המלא של הדקות הראשונות בהרצאה «פעולות במקרה של הפרה - Port Security Violation» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
יש לנו שלושה מצבים, פרוטקט זה אומר פשוט לא לתת למאק לא נכון לעבור אבל אתה לא מעדכן אף אחד אתה לא שולח, אלרט אם אתה לא מעדכן מונים יש לו מונים פנימיים כמה הפרות היו אתה לא מעדכן כלום אתה רק לא נותן למאק הלא נכון לעבור וזה ברירת מחדל, רסטריקט אתה משאיר את הפורט דלוק כמו בפרוטקט פרוטקט ורסטריקט אותו דבר רק מה תתריע על זה שיש פה הפרה תתריע דרך סיסלוג, תתריע דרך מונים שיעלו
אצלך, כמה הפרות היו. אבל למאקים הנכונים אתה ממשיך לתת לעבור, למאקים הלא נכונים אתה חוסם אותם. אבל בגדול הרשת עובדת. שאט דאון, אתה מכבה לגמרי את הפורט הזה עד שלא מגיע מנהל רשת ומדליק אותו ידנית.
אוקיי? כאילו יש פה הפרה שאני רוצה להיות על ה-safe side. בואו נעשה לדוגמה עכשיו, by default זה פרוטקט, כן?
בואו נעשה רסטריקט, סתם נראה איך זה, איך המונים האלו עולים למעלה. יפה, ולא לשכוח תמיד בסוף להפעיל את ה-port security. אוקיי, do show running config, ואנחנו רואים שיש לנו על 0,1 access, אמרנו או access או trunk, אבל לא להשאיר את זה dynamic, לא להשאיר את זה ברירת מחדל.
port security זה אומר שזה מופעל, ו-lation restrict אומר שזו התגובה שלו. למה מקסימום הוא לא תפס לי? מקסימום 1, טוב, לא יודע מה... טוב, בואו נראה שהוא תופס או לא תופס.
עכשיו, איך אנחנו בודקים שהוא תופס או לא תופס? אנחנו לוקחים, ובואו נעשה פשוט, נחליף לו פינג, עובד.
IP config slash all, אני רואה הכתובת שלו בסוף בייס. אני בא לזה, מחליף לו בתוך הכרטיס רשת כתובת. נעשה לו במקום בייס 1111.
תם, החלפתי לו כתובת Mac. יש גם תוכנות שעושות את זה. התוכנה אומרת לכרטיס רשת, אל תשתמש ב-Mac שצרוב אצלך, אני אתן לך Mac שצריך להשתמש בו.
כמו אוברייד כזה. אוקיי בואו נראה עכשיו הנה המאק שלי השתנה ל-111 בזה ואני עושה פינג ל-1002 ושימו לב פינג לא עובר לי דרך אגב אם אני מחזיר חזרה טוב אתם רואים שהוא לא עובר כן אם אני מחזיר פה חזרה בקונפיגר הולך ומחזיר חזרה את זה לבייס חזרה מחזיר כאילו זה מחשב אחר היה כן כאילו זה היה מחשב של האקר ועכשיו זה חזר להיות המחשב התקני איפה היינו היינו פה בדסק טופ בואו נראה שזה רק השתנה זה השתנה לבייס
רואים, השתנה לבייס, ועכשיו הפינק כן עובד. אם אנחנו, בואו נעשה כל מיני doים. do show, נניח port security, או אני לא זוכר איך כותבים את זה, show port security, שימו לב, יש לנו ככה, cr זה אומר enter, בואו נראה קודם כל enter, שיש לנו port security מופעל רק על port 1, סך הכל היה mac 1,
כן, secured addresses, 1 מופעל והיו 5 הפרות, לא יודע איך הוא יהיה ל-5, אבל זה מה שהוא היה. עכשיו אם היינו משאירים את זה במצב פרוטקט הסקיוריטי וליאשן היה נשאר על 0.
סקיוריטי וליאשן היה נשאר על 0. בואו ננסה לעשות עכשיו שאט דאון. קונפטי, אה דרך אגב לפני השאט דאון יש לנו פה גם אדרסס איזה כתובות הוא למד. אתם רואים בגלל שעשינו לו מאק אדרס סטטי היא נכנסה פה לטבלה הזאת.
זאת הכתובת שהוא למד דרך אגב בגלל זה הוא לא למד את הכתובת השנייה כי היא לא נכנסה לשם. בואו נפעיל עכשיו גם על הפורט השני. טוב, עזבו עכשיו להפעיל את זה על הפורט השני, אבל הבנתם את הרעיון.
זו הטבלה של המאקים שהוא לומד. הלאה. מה אנחנו רוצים הלאה? לראות שאט-דאון. קונפטי, אינטרפייס, פסט אינטרנט 01. אנחנו צריכים סוויץ' פורט, פורט סקיוריטי, ו-relation, שאט-דאון.
זה אומר, אם יש הפרה, אתה עושה שאט-דאון. בואו נראה גם כן, show port security על אינטרפייס מסוים, אינטרפייס פסט אינטרנט 0.1. אתם גם רואים פה שפורט סיקיוריטי אינבלד.
מה המצב שלו כרגע הוא נותן לעבור. אם תהיה הפרה היא תהיה שאט דאון. אייג'ינג, אייג'ינג זה אומר אם יש לי כתובות מאק שהוא למד ופתאום אני יודע מה אחרי שנה החלפנו כתובת מאק למחשב.
עכשיו אם לא היינו עושים אייג'ינג כמו בי דיפולט אין אייג'ינג הוא היה נחסם כי הוא היה חושב שזה האקר אתם מבינים? עד שמישהו שמבין בסיסקו לא היה מגיע ואומר לו תקשיב תשחרר לו את הכתובת מה כזאת.
אנחנו לא רוצים לעשות את זה, לפעמים רוצים לפעמים לא רוצים. אנחנו יכולים להגיד לו תקשיב אם כתובת לא פעילה נניח לא יודע מה יומיים או חמש דקות תלוי במדיניות שלכם תשכח אותה זאת אומרת לשכוח כתובות שהן לא פעילות.
הרי המטרה שלנו למנוע הצפה אם אנחנו נשאיר את זה ככה כמו שזה הכתובות שהוא למד במצב של סטיקי או סטטיק הוא לא ישכח אותם אף פעם.