Содержание:

Если вы когда-нибудь приглашали на вечеринку соседа, который начал громко играть музыку и мешать всем, то поймете — сети тоже любят порядок! А Port Security — это как строгий швейцар на входе в ваш сетевой клуб. Он решает, кто может пройти, а кто — нет.

В этой статье мы разберем, что такое Port Security, зачем она нужна, как работает с разными типами MAC-адресов и почему важно настроить ее правильно на коммутаторах Cisco. Приготовьтесь: будет и теория, и практические советы, и даже таблицы, чтобы легче было усвоить материал. А еще расскажем, как реагировать, если кто-то вдруг решит обмануть наш сетевой швейцар!

Что такое Port Security и зачем она нужна?

Port Security — это функция на коммутаторах Cisco, которая помогает контролировать, какие устройства могут подключаться к конкретным портам. Представьте, что порт — это дверь в ваш офис, а Port Security — это пропускной режим, где определяют, чьи MAC-адреса разрешены.

Зачем это нужно? Сети уязвимы к разным атакам, например, злоумышленник может попытаться переполнить таблицу MAC-адресов коммутатора — это как переполнить список гостей на вечеринке, после чего дверь открывается всем подряд. Тогда коммутатор начинает рассылать пакеты всем, и злоумышленник получает возможность перехватывать трафик.

Основные задачи Port Security:

  • Ограничить количество MAC-адресов, которые могут появляться на одном порту.
  • Разрешить только известные MAC-адреса (или ограничить список).
  • Реагировать на попытки несанкционированного подключения.

Типы MAC-адресов в Port Security: статические, динамические и sticky

MAC-адрес — уникальный идентификатор сетевого устройства. В Port Security мы можем управлять MAC-адресами на портах несколькими способами:

Тип MAC-адреса Описание Где хранится Особенности
Статические Введены вручную администратором с помощью команды Конфигурация коммутатора, сохраняется после перезагрузки Надежно, но требует ручного управления
Динамические Автоматически изучаются коммутатором, когда устройство подключается В оперативной памяти, исчезают после перезагрузки Удобно, но адреса теряются после перезагрузки
Sticky (липкие) Комбинация динамических и статических: изучаются динамически и записываются в конфиг В конфигурации коммутатора, сохраняются после перезагрузки Автоматическое запоминание, но с сохранением

Sticky MAC-адреса — это как хорошие знакомые, которые сами себя записали в ваш список гостей, чтобы вас не беспокоить. Они изучаются динамически, а потом "прилипают" к порту, сохраняясь в конфигурации.

Режимы реагирования на нарушение безопасности: Protect, Restrict и Shutdown

Что происходит, если кто-то пытается подключиться с MAC-адресом, который не разрешен, или количество MAC-адресов превысило установленный лимит? Тут Port Security предлагает три режима реакции:

Режим Передача трафика с неизвестных MAC Уведомления (syslog/SNMP) Отображение ошибки Увеличение счетчика нарушений Выключение порта
Protect Нет Нет Нет Нет Нет
Restrict Нет Да Нет Да Нет
Shutdown Нет Да Да Да Да
  • Protect — тихо блокирует пакеты от посторонних MAC-адресов, порт работает дальше, но администратор может и не заметить нарушения.
  • Restrict — кроме блокировки, посылает уведомления, чтобы админ был в курсе, но порт остается активным.
  • Shutdown — самый строгий режим: порт немедленно выключается, светодиод гаснет, и чтобы вернуть порт в строй, нужно вручную выполнить команды shutdown и no shutdown.

Как настроить Port Security на Cisco коммутаторе?

Чтобы включить Port Security, достаточно перейти в режим конфигурации интерфейса и ввести несколько команд. Рассмотрим классический пример:

Switch# configure terminal
Switch(config)# interface FastEthernet0/1
Switch(config-if)# switchport mode access            # Задаем режим доступа
Switch(config-if)# switchport port-security           # Включаем Port Security
Switch(config-if)# switchport port-security maximum 2 # Максимум 2 MAC-адреса
Switch(config-if)# switchport port-security violation restrict # Режим реакции на нарушение

В этом примере порт настроен так, что он принимает максимум два MAC-адреса и при нарушении блокирует пакеты от лишних, уведомляя администратора.

Если не указывать параметры, то по умолчанию:

  • Максимум 1 MAC-адрес.
  • Динамическое изучение (без sticky).
  • Режим реакции — Shutdown.

Настройка sticky MAC-адресов: автоматическая «липучка»

Sticky MAC-адреса — отличный способ сохранить изученные адреса и после перезагрузки коммутатора. Их настройка тоже несложная:

Switch(config-if)# switchport port-security mac-address sticky

При этом коммутатор запомнит все динамически изученные MAC-адреса как sticky, добавит их в конфигурацию и после перезагрузки не придется переучивать.

Можно и вручную добавить sticky адрес:

Switch(config-if)# switchport port-security mac-address sticky 00E0.F75B.C101

Таким образом, команда объединяет удобство динамического изучения с надежностью статической записи.

Что происходит при нарушении безопасности на порту?

Нарушение безопасности — это ситуация, когда:

  • Количество MAC-адресов на порту превышает установленный максимум.
  • На одном VLAN одинаковый MAC-адрес появляется на разных портах (конфликт).

В зависимости от выбранного режима Port Security:

  • Protect просто игнорирует пакеты.
  • Restrict игнорирует и уведомляет.
  • Shutdown отключает порт, чтобы избежать угрозы.

Если порт выключился, его можно вернуть в работу так:

Switch# configure terminal
Switch(config)# interface FastEthernet0/1
Switch(config-if)# shutdown
Switch(config-if)# no shutdown

Проверка и мониторинг Port Security

Для контроля параметров Port Security на интерфейсе используются команды:

Команда Описание
show port-security Общая информация по Port Security на всех портах
show port-security interface [номер] Параметры Port Security на конкретном порту
show port-security address Все защищенные MAC-адреса
show mac address-table interface [номер] Таблица MAC-адресов на порту

Эти команды помогают понять, какие MAC-адреса разрешены, сколько нарушений было, и как работает функция на разных интерфейсах.

Поддержка нескольких устройств на одном порту: пример IP-телефон + ПК

В больших организациях часто к одному порту подключается сразу несколько устройств, например, IP-телефон и компьютер. При этом для каждого устройства свой MAC-адрес. Чтобы Port Security не мешал работе, настраивают максимум MAC-адресов равным количеству устройств, например:

switchport port-security maximum 2

Также настраивают VLAN для телефонии и данных отдельно:

switchport access vlan 10
switchport voice vlan 2

Так Port Security работает с двумя адресами и не блокирует порт.

Что такое переполнение таблицы MAC-адресов и почему это опасно?

Коммутатор хранит MAC-адреса в таблице коммутации, чтобы знать, куда отправлять пакеты. Если злоумышленник с помощью специального ПО запустит множество фреймов с поддельными MAC-адресами, таблица переполнится.

В результате коммутатор не сможет понять, куда отправлять данные, и начнет слать пакеты на все порты, превращаясь в хаб. Тогда злоумышленник сможет просматривать весь трафик — настоящая беда для безопасности!

Port Security предотвращает это, ограничивая количество MAC-адресов и блокируя лишних.

Сводная таблица основных команд и настроек Port Security

Команда Описание
switchport port-security Включить Port Security на интерфейсе
switchport port-security maximum [число] Максимальное количество MAC-адресов на порту
switchport port-security violation [mode] Режим реакции на нарушение (protect/restrict/shutdown)
switchport port-security mac-address [MAC] Статический ввод MAC-адреса
switchport port-security mac-address sticky Включить sticky режим
no switchport port-security mac-address sticky Отключить sticky режим

Советы и рекомендации для настройки Port Security

  • Если не уверены, начните с режима restrict — он информирует об ошибках, но не выключает порт.
  • Используйте sticky MAC-адреса для удобства и сохранения настроек после перезагрузки.
  • Настраивайте максимальное количество MAC-адресов с учетом подключаемых устройств (например, 2 для телефон+ПК).
  • Регулярно проверяйте состояние портов и нарушения с помощью show port-security.
  • При отключении порта из-за нарушения не забывайте вручную восстанавливать его командой shutdown + no shutdown.
  • Помните, что Port Security работает только на access-портах, не рекомендуется использовать на trunk-портах.

FAQ: Часто задаваемые вопросы

Можно ли применить Port Security на trunk-портах?
Официально рекомендуется использовать Port Security на access-портах, так как trunk-порты обычно проходят трафик множества VLAN и MAC-адресов. Если использовать, настройте аккуратно.

Что делать, если к одному порту подключены несколько устройств?
Увеличьте максимальное количество MAC-адресов (maximum) на порту под нужное число устройств.

Как сбросить изученные MAC-адреса?
Можно отключить Port Security или удалить конкретные MAC-адреса вручную, либо использовать команды очистки таблицы.

Что такое violation counter?
Это счетчик нарушений безопасности на порту. Он увеличивается при каждом несанкционированном подключении.

Чек-лист настройки Port Security

  • [ ] Переключиться в конфигурацию интерфейса (interface Fa0/1)
  • [ ] Включить Port Security (switchport port-security)
  • [ ] Задать максимальное количество MAC-адресов (switchport port-security maximum N)
  • [ ] Выбрать режим реакции при нарушении (switchport port-security violation [mode])
  • [ ] Опционально включить sticky MAC-адреса (switchport port-security mac-address sticky)
  • [ ] Проверить настройки (show port-security interface Fa0/1)
  • [ ] При необходимости прописать статические MAC-адреса (switchport port-security mac-address [MAC])
  • [ ] Настроить VLAN и режим порта (access/voice vlan) для мультиустройств

Port Security — это надежный охранник, который оберегает вашу сеть от нежеланных гостей и атак. Не дайте своим портам превратиться в открытую дверь для злоумышленников! Настройте и контролируйте Port Security — и ваша сеть скажет вам спасибо.