Коммутаторы — это устройства, используемые для соединения нескольких устройств в одной сети. В правильно спроектированной сети коммутаторы локальной сети отвечают за направление потока данных и управление им на уровне доступа к сетевым ресурсам.
После включения коммутатор Cisco проходит следующие стадии загрузки:
1. Во-первых, коммутатор загружает программу самотестирования при включении питания (POST), хранящуюся в ПЗУ. POST проверяет ЦП подсистемы. Программа тестирует ЦП, оперативную динамическую память (DRAM) и часть флеш-устройств, составляющих файловую систему флеш-памяти.
2. После этого на коммутаторе запускается программное обеспечение начального загрузчика. Начальный загрузчик — это небольшая программа, которая хранится в ПЗУ и запускается сразу после успешного завершения проверки POST.
3. Начальный загрузчик выполняет низкоуровневую инициализацию ЦП. Он инициализирует регистры ЦП, которые контролируют физическую память, количество памяти и скорость.
4. Затем программа запускает файловую систему флеш-памяти на материнской плате.
5. Наконец, начальный загрузчик находит и загружает образ операционной системы IOS по умолчанию и передает ей управление коммутатором.
Начальный загрузчик находит образ Cisco IOS на коммутаторе следующим образом: коммутатор пытается загрузиться автоматически с помощью информации из переменной среды BOOT. Если переменная не настроена, коммутатор пытается загрузить и выполнить первый исполняемый файл, выполнив рекурсивный поиск в глубину по всей файловой системе флеш-памяти. При поиске в глубину по каталогу перед поиском в исходном каталоге выполняется поиск в каждом подкаталоге. На коммутаторах серии Catalyst 2960 файл образа обычно содержится в каталоге, который назван так же, как и файл образа (кроме файлов с расширением .bin).
Затем операционная система IOS инициализирует интерфейсы, используя команды Cisco IOS из файла загрузочной конфигурации, который хранится в энергонезависимом ОЗУ (NVRAM).
На рисунке переменная среды BOOT настроена с помощью команды режима глобальной конфигурации boot system. Обратите внимание, что IOS находится в отдельной папке, и путь к папке указан. Используйтекоманду show boot, чтобы узнать, как настроен файл текущей загрузки IOS.
Начальный загрузчик обеспечивает доступ к коммутатору, если ОС нельзя использовать из-за недостающих или поврежденных системных файлов. В начальном загрузчике есть командная строка, обеспечивающая доступ к файлам, которые хранятся во флеш-памяти.
Доступ в начальный загрузчик можно получить через консольное подключение, выполнив следующие действия:
Шаг 1. Подсоедините ПК с помощью консольного кабеля к консольному порту коммутатора. Настройте программу эмуляции терминала для подключения к коммутатору.
Шаг 2. Отсоедините кабель питания коммутатора.
Шаг 3. Заново подключите провод питания к коммутатору и по истечении 15 секунд нажмите и удерживайте кнопку Mode, пока системный индикатор мигает зеленым светом.
Шаг 4. Удерживайте кнопку Mode, пока системный индикатор не мигнет желтым, а затем загорится зеленым. После этого отпустите кнопку Mode.
Шаг 5. В программе эмуляции терминала появится командная строка начального загрузчика switch:.
Командная строка начального загрузчика поддерживает команды для форматирования файловой флеш-системы, переустановки операционной системы и восстановления утерянного или забытого пароля. Например, команду dirможно использовать для просмотра списка файлов в указанном каталоге, как показано на рисунке.
Примечание. Обратите внимание, что в этом примере IOS находится в корне папки флеш-памяти.
Чтобы настроить на коммутаторе возможность для удаленного управления, на коммутаторе нужно настроить IP-адрес и маску подсети. Помните, что для управления коммутатором из удаленной сети для него необходимо настроить шлюз по умолчанию. Подобная настройка мало чем отличается от настройки информации об IP-адресах на физических узлах. На данном рисунке IP-адрес следует назначить интерфейсу SVI коммутатора S1. SVI — это виртуальный интерфейс, а не физический порт коммутатора.
Понятие SVI относится к сетям VLAN. Сети VLAN — это пронумерованные логические группы, которым можно присвоить физические порты. Конфигурации и настройки, которые применены к VLAN, также применяются ко всем портам, назначенным для этой VLAN.
По умолчанию коммутатор настроен для управления через VLAN 1. По умолчанию все порты ассоциируются с VLAN 1. В целях безопасности не рекомендуется использовать сеть VLAN 1 в качестве сети управления VLAN.
Обратите внимание, что эти параметры IP применимы только для доступа к удаленному управлению коммутатором; параметры IP не позволяют коммутатору маршрутизировать пакеты на 3-м уровне.
Шаг 1. Настройка интерфейса управления
IPv4-адрес и маска подсети настроены на SVI управления коммутатора из режима интерфейсной настройки VLAN. Как показано на рис. 1, для входа в режим конфигурации интерфейса используется команда interface vlan 99. Для настройки IPv4-адреса используется команда ip address. Команда no shutdown активирует интерфейс. В данном примере сеть VLAN 99 настроена с IPv4-адресом 172.17.99.11.
Интерфейс SVI для сети VLAN 99 не будет отображаться как up/up, пока не будет создана VLAN 99 и не появится устройство, подключенное к порту коммутатора, связанному с VLAN 99. Для того чтобы создать сеть VLAN с идентификатором 99 и привязать ее к интерфейсу, используйте следующие команды:
S1(config)# vlan vlan_id
S1(config-vlan)# name vlan_name
S1(config-vlan)# exit
S1(config)# interface interface_id
S1(config-if)# switchport access vlan vlan_id
Шаг 2. Настройка шлюза по умолчанию
Если требуется удаленное управление коммутатором из сетей без прямого подключения, на коммутаторе следует настроить шлюз по умолчанию. Шлюз по умолчанию — это маршрутизатор, к которому подключен коммутатор. Коммутатор пересылает IP-пакеты с IP-адресами назначения за пределы локальной сети на шлюз по умолчанию. Как показано на рис. 2, маршрутизатор R1 является шлюзом по умолчанию для коммутатора S1. Интерфейс маршрутизатора R1, подключенный к коммутатору, имеет IPv4-адрес 172.17.99.1. Указанный адрес является адресом шлюза по умолчанию для коммутатора S1.
Для того чтобы настроить шлюз по умолчанию для коммутатора, используйте команду ip default-gateway. Введите IPv4-адрес шлюза по умолчанию. Шлюз по умолчанию — это IPv4-адрес интерфейса маршрутизатора, к которому подключен коммутатор. Используйте команду copy running-config startup-config для создания резервной копии этой конфигурации.
Шаг 3. Проверка конфигурации
Как показано на рис. 3, команду show ip interface brief следует использовать при определении состояния как физических, так и виртуальных интерфейсов. Приведенные выходные данные подтверждают, что интерфейс VLAN 99 настроен с IPv4-адресом и маской подсети.
Дуплексный режим и скорость
Порты коммутаторов можно настроить вручную с определенными параметрами скорости и дуплексного режима. Используйте команду режима конфигурации интерфейса duplex, чтобы вручную установить дуплексный режим для порта коммутатора. Используйте команду режима конфигурации интерфейса speed, чтобы вручную задать скорость для порта коммутатора. На рис. 1 порт F0/1 на коммутаторах S1 и S2 настраивается вручную с помощью ключевого слова full для команды duplex и ключевого слова 100 для командыspeed.
По умолчанию на коммутаторах Cisco Catalyst 2960 и 3560 настройки дуплексного режима и скорости выставлены в режим Auto. Порты 10/100/1000 функционируют в полудуплексном либо в полнодуплексном режиме, если установлена скорость 10 или 100 Мбит/с, и только в полнодуплексном, если задана скорость 1000 Мбит/с. Автосогласование полезно, когда настройки скорости и дуплекса для устройства, подключенного к порту, неизвестны или могут меняться. При подключении к известным устройствам, таким как серверы, выделенные рабочие станции или сетевые устройства, рекомендуется вручную задавать параметры скорости и дуплекса.
При поиске и устранении проблем с портом коммутатора необходимо проверить настройки дуплексной связи и скорости.
Примечание. Несовпадения в настройках дуплексного режима и скорости портов коммутаторов могут вызвать проблемы с подключением. Ошибка при автосогласовании приводит к несовпадениям в настройках.
Все порты оптоволоконных кабелей, например порты 1000BASE-SX, работают только на предустановленной скорости и всегда в полнодуплексном режиме.
Используйте инструмент проверки синтаксиса на рис. 2, чтобы настроить порт F0/1 коммутатора S1.
Войдите в режим конфигурации и настройте параметры дуплексного режима FastEthernet0/1 на полнодуплексную передачу и скорость 100.
S1# configure terminalEnter configuration commands, one per line. End with CNTL/Z.S1(config)# interface FastEthernet0/1S1(config-if)# duplex fullS1(config-if)# speed 100Выйдите из режима конфигурации и сохраните конфигурацию в NVRAM.
S1(config-if)# endS1#%SYS-5-CONFIG_I: Configured from console by consoleS1# copy running-config startup-configВы успешно настроили дуплексный режим порта коммутатора и настройки скорости.
На рис. 1 представлены некоторые из параметров команды show, которые будут полезны при проверке основных настраиваемых функций коммутатора.
На рис. 2 показан пример сокращенных выходных данных команды show running-config. Используйте эту команду, чтобы проверить, правильно ли настроен коммутатор. В данных вывода для коммутатора S1 содержатся некоторые важные сведения:
Команда show interfaces является еще одной распространенной командой, которая выводит данные о состоянии и статистике сетевых интерфейсов коммутатора. Команда show interfaces часто используется при настройке и мониторинге сетевых устройств.
На рис. 3 показаны выходные данные команды show interfaces fastEthernet 0/18. Первая строка на рисунке указывает, что интерфейс FastEthernet 0/18 находится в состоянии up/up, т. е. в рабочем состоянии. Следующие данные вывода показывают, что включен полнодуплексный режим и установлена скорость 100 Мбит/с.
Результат команды show interface можно использовать для обнаружения типичных проблем среды передачи данных. Важнейшие составляющие этих выходных данных отображают состояние протокола уровня линии и протокола канального уровня. На рис. 1 показана итоговая строка для проверки состояния интерфейса.
Первый параметр (FastEthernet0/1 is up) относится к аппаратному уровню. Он указывает, получает ли интерфейс сигнал обнаружения несущей. Второй параметр (line protocol is up) относится к уровню линии. Он указывает, принимаются ли сообщения keepalive протокола уровня линии.
Используя результат команды show interfaces, можно устранить возможные проблемы следующим образом:
На рис. 2 показан пример результатов командыshow interfaces. В примере показаны счетчики и статистика интерфейса FastEthernet0/1.
В некоторых случаях ошибки среды передачи данных не проявляются в достаточной мере, чтобы привести к выходу из строя соединения, но ухудшают производительность сети. На рис. 3 объясняются некоторые из этих распространенных ошибок, которые можно обнаружить с помощью команды show interfaces.
«Ошибки ввода» — это сумма всех ошибок в датаграммах, которые были получены при анализе интерфейса. Они включают в себя карликовые (runts) и гигантские (giants) кадры, ошибки CRC, отсутствие буфера, кадр, переполнение и проигнорированные пакеты. К ошибкам ввода, которые можно обнаружить с помощью командыshow interfaces, относятся следующие:
«Ошибки вывода» — это сумма всех ошибок, которые препятствовали окончательной передаче датаграмм из проверяемого интерфейса. К ошибкам вывода, которые можно обнаружить с помощью командыshow interfaces, относятся следующие:
Большинство проблем коммутируемой сети возникает при первоначальном внедрении. Теоретически после установки сеть должна работать без проблем. Однако со временем повреждаются кабели, меняется конфигурация, к коммутатору подключают новые устройства, которые требуют изменения его конфигурации. Именно поэтому требуется постоянное техническое обслуживание сетевой инфраструктуры, включающее в себя регулярный поиск и устранение возникающих неполадок.
Для поиска и устранения неполадок при отсутствии или плохом качестве соединения коммутатора с другим устройством следуйте данному алгоритму действий:
Используйте для проверки состояния интерфейса команду show interfaces.
В случае если интерфейс не работает:
В случае если интерфейс работает, но остались проблемы с соединением:
Протокол Secure shell (SSH) — это протокол, который обеспечивает безопасное (зашифрованное) соединение для управления удаленным устройством. Для безопасного управления удаленными подключениями Cisco рекомендует заменить протокол Telnet протоколом SSH. Telnet является более ранним протоколом, использующим небезопасную незашифрованную передачу как данных, так и идентификационной информации (имя пользователя и пароль) между взаимодействующими устройствами. SSH обеспечивает защиту удаленных соединений, предоставляя надежное шифрование данных аутентификации устройства (имя пользователя и пароль), а также данных, передаваемых между устройствами. SSH использует TCP-порт 22. Telnet использует TCP-порт 23.
На рис. 1 злоумышленник имеет возможность просматривать пакеты с помощью программы Wireshark. На потоке Telnet могут быть захвачены имя пользователя и пароль.
На рис. 2 злоумышленник может захватить имя и пароль администратора из незашифрованного сеанса Telnet.
На рис. 3 показан просмотр сеанса SSH программой Wireshark. Злоумышленник может отслеживать сеанс с помощью IP-адреса устройства администратора.
Однако, как видно на рис. 4, имя пользователя и пароль зашифрованы.
Для функционирования протокола SSH на коммутаторе Catalyst 2960 коммутатор должен использовать версию ПО IOS с криптографическими функциями и возможностями (шифрованием). Используйте команду show version на коммутаторе, чтобы узнать, на какой версии IOS работает в данный момент коммутатор (см. рис. 5). Если имя файла IOS включает в себя сочетание k9, то данная версия IOS поддерживает криптографические функции и возможности (шифрование).
Перед настройкой протокола SSH на коммутаторе нужно настроить уникальное имя узла и соответствующие параметры сетевого подключения.
Шаг 1. Проверка поддержки протокола SSH.
Чтобы проверить, поддерживается ли протокол SSH, используйте команду show ip ssh. Если на коммутаторе работает IOS, не поддерживающая криптографические функции, данная команда не будет распознана.
Шаг 2. Настройка домена IP.
Настройте имя домена IP для сети с помощью команды режима глобальной настройки ip domain-name domain-name. На рис. 1 значение доменного имени — cisco.com.
Шаг 3. Создание пар ключей RSA.
Не во всех версиях IOS по умолчанию используется версия 2 протокола SSH, а версия 1 SSH содержит ряд известных уязвимостей. Для настройки SSH версии 2 выполните команду режима глобальной конфигурации ip ssh version 2. Создание пары ключей RSA автоматически включает протокол SSH. Используйте команду режима глобальной конфигурации crypto key generate rsa, чтобы включить сервер SSH на коммутаторе и сгенерировать пару ключей RSA. При создании ключей RSA администратору требуется ввести длину модуля. В примере конфигурации на рис. 1 используется размер модуля 1024 бита. Более длинный модуль безопаснее, но его создание и использование требует больше времени.
Примечание. Для удаления пары ключей RSA используйте команду режима глобальной конфигурации crypto key zeroize rsa. После удаления пары ключей RSA SSH-сервер автоматически отключается.
Шаг 4. Настройка аутентификации пользователя.
SSH-сервер может аутентифицировать пользователей локально или с помощью сервера аутентификации. Для использования метода локальной аутентификации создайте имя пользователя и пароль с помощью команды режима глобальной настройки username имя пользователяsecret пароль. В этом примере для пользователяadmin назначен пароль ccna.
Шаг 5. Настройка линий vty.
Включите протокол SSH на линиях vty с помощью команды режима конфигурации линии transport input ssh. Диапазон линий vty коммутатора Catalyst 2960 составляет от 0 до 15. Данная конфигурация предотвращает подключения по протоколам кроме SSH (например Telnet) и разрешает коммутатору принимать подключения только по протоколу SSH. Используйте команду режима глобальной конфигурации line vty, а затем команду режима конфигурации линии login local, чтобы при подключениях SSH требовалась локальная аутентификация из локальной базы данных имен.
Шаг 6. Включите SSH версии 2.
По умолчанию SSH поддерживает обе версии (1 и 2). Если поддерживаются обе версии, результат команды show ip ssh сообщает о поддержке версии 1.99. У версии 1 есть ряд известных уязвимостей. По этой причине рекомендуется включать только версию 2. Включите эту версию SSH, используя команду режима глобальной конфигурации ip ssh version 2.
Для настройки протокола SSH на коммутаторе S1 используйте инструмент проверки синтаксиса (см. рис. 2).
Задайте домену имя cisco.com и создайте ключ RSA-кодирования 1024 бит.
S1(config)# ip domain-name cisco.comS1(config)# crypto key generate rsaThe name for the keys will be: S1.cisco.com Choose the size of the key modulus in the range of 360 to 4096 for your General Purpose Keys. Choosing a key modulus greater than 512 may take a few minutes. How many bits in the modulus [512]: 1024% Generating 1024 bit RSA keys, keys will be non-exportable... [OK] (elapsed time was 4 seconds) S1(config)# *Mar 1 02:20:18.529: %SSH-5-ENABLED: SSH 1.99 has been enabled Создайте локального пользователя по имени «admin» с паролем «ccna». Настройте все каналы vty для использования SSH и локальный вход для удаленных подключений. Выйдите из режима глобальной настройки.
S1(config)# username admin secret ccnaS1(config)# line vty 0 15S1(config-line)# transport input sshS1(config-line)# login localS1(config-line)# endS1#%SYS-5-CONFIG_I: Configured from console by consoleНастройте S1 для использования SSH 2.0.
S1(config)# ip ssh version 2S1(config)#Вы успешно настроили SSH на всех каналах VTY.
Для подключения к серверу SSH на ПК используется SSH-клиент, например PuTTY. Для примеров на рисунках 1-3 были настроены следующие параметры:
На рис. 1 ПК инициирует SSH-подключение по IPv4-адресу VLAN SVI коммутатора S1.
На рис. 2 пользователь получил запрос на ввод имени пользователя и пароля. При использовании конфигурации из предыдущего примера введены имя пользователя admin и пароль ccna. После ввода правильной комбинации пользователь подключается к интерфейсу командной строки коммутатора Catalyst 2960 через протокол SSH.
Для отображения используемой версии и конфигурации для протокола SSH на устройстве, который вы настроили в качестве сервера SSH, используйте команду show ip ssh. В этом примере используется протокол SSH версии 2. Для проверки SSH-подключений к устройству используйте команду show ssh (см. рисунок 3).
Отключение неиспользуемых портов
Отключение неиспользуемых портов — это простой способ защиты сети от несанкционированного доступа, используемый многими администраторами. К примеру, если коммутатор Catalyst 2960 имеет 24 порта и при этом используются три подключения Fast Ethernet, рекомендуется отключить 21 неиспользуемый порт. Перейдите к каждому неиспользуемому порту и введите команду Cisco IOSshutdown. Если позднее порт потребуется активировать повторно, это можно сделать с помощью команды no shutdown. На рисунке отображены частичные выходные данные для этой конфигурации.
Изменение конфигурации на нескольких портах коммутатора одновременно не представляет сложности. Для того чтобы настроить диапазон портов, используйте команду interface range.
Switch(config)# interface range введите модуль/первый номер — последний номер
Процесс включения и выключения портов может занять много времени, но он повышает безопасность сети и стоит потраченных усилий.
Защита портов
Перед введением коммутатора в эксплуатацию необходимо обеспечить безопасность всех портов (интерфейсов) коммутатора. Один из способов защиты портов — использование функции безопасности портов (функция Port Security). Данная функция ограничивает количество допустимых МАС-адресов на один порт, а также разрешает доступ для МАС-адресов санкционированных устройств и запрещает доступ для остальных МАС-адресов.
Для того чтобы разрешить доступ одному или нескольким МАС-адресам, необходимо настроить функцию безопасности портов. В случае если количество разрешенных МАС-адресов на порте ограничено до одного, к этому порту может подключиться только устройство с этим конкретным МАС-адресом.
Если порт настроен как защищенный и достигнуто максимальное количество МАС-адресов, любые дополнительные попытки подключения с неизвестных адресов приведут к нарушению безопасности. На рис. 1 подведены итоги вышеизложенных сведений.
Виды защиты МАС-адресов
Существует множество способов настроить функцию безопасности порта. В зависимости от конфигурации различают следующие типы защищенных адресов:
Защита МАС-адреса на основе привязки
Для того чтобы настроить интерфейс для преобразования динамически полученных МАС-адресов в прикрепленные защищенные МАС-адреса и добавить их в текущую конфигурацию, необходимо включить функцию sticky learning (распознавание прикрепленных адресов). Функция sticky learning включается на интерфейсе с помощью команды режима конфигурации интерфейса switchport port-security mac-address sticky.
После ввода этой команды коммутатор преобразует все динамически полученные МАС-адреса, в том числе полученные до включения этой функции, в прикрепленные безопасные МАС-адреса. Все прикрепленные защищенные МАС-адреса добавляются в таблицу адресов и в текущую конфигурацию.
Также прикрепленные защищенные МАС-адреса можно задать вручную. Когда прикрепленные безопасные MAC-адреса настраиваются при помощи команды режима интерфейсной настройкиswitchport port-security mac-address sticky MAC-адрес, все указанные адреса добавляются в таблицу адресов и в текущую конфигурацию.
Если прикрепленные защищенные МАС-адреса сохраняются в файле загрузочной конфигурации, то после перезагрузки коммутатора или отключения интерфейса не требуется повторное получение адресов. Если же прикрепленные защищенные адреса не сохраняются, они будут потеряны.
При отключении режима sticky learning с помощью команды режима конфигурации интерфейса no switchport port-security mac-address sticky прикрепленные защищенные МАС-адреса остаются в таблице адресов, но удаляются из текущей конфигурации.
На рис. 2 показаны характеристики прикрепленных защищенных МАС-адресов.
Примечание. Функция безопасности портов не работает до тех пор, пока она не будет включена для интерфейса командой switchport port-security.
Интерфейс можно настроить на один из трех режимов реагирования на нарушение безопасности, который определяет действия, предпринимаемые в случае нарушения. На рисунке представлено, какие типы трафика пересылаются, когда на порте настроен один из следующих режимов реагирования на нарушение безопасности.
Чтобы изменить реакцию на нарушение безопасности на коммутационном порте, используйте команду режима интерфейсной настройки switchport port-security violation {protect |restrict | shutdown}.
На рис. 1 подытожены настройки по умолчанию для функции безопасности порта на коммутаторе Cisco Catalyst.
На рис. 2 показаны команды интерфейса командной строки Cisco IOS, необходимые для настройки функции безопасности порта на порте Fast Ethernet F0/18 коммутатора S1. Обратите внимание, что в приведенном примере не указывается режим реагирования на нарушение безопасности. В этом примере режим реагирования на нарушения безопасности настроен на выключение (режим по умолчанию).
На рис. 3 показано, как включить закрепленные защищенные МАС-адреса для функции безопасности порта на порте 0/19 Fast Ethernet коммутатора S1. Как указано выше, максимальное количество защищенных МАС-адресов можно настроить вручную. В этом примере синтаксис команды Cisco IOS используется для настройки максимального количества МАС-адресов для порта 0/19 на значение 10. Режим реагирования на нарушение безопасности по умолчанию настроен на выключение.
Проверка функции безопасности портов
После настройки функции безопасности портов на коммутаторе проверьте каждый интерфейс, чтобы убедиться в правильности настройки этой функции и статических МАС-адресов.
Проверка параметров безопасности портов
Для отображения параметров безопасности портов для коммутатора или заданного интерфейса воспользуйтесь командой show port-security interface [идентификатор_интерфейса]. Выходные данные для динамической настройки безопасности портов показаны на рис. 1. По умолчанию на этом порте разрешен только один MAC-адрес.
Выходные данные, представленные на рис. 2, показывают значения для параметров функции безопасности прикрепленных портов. В соответствии с конфигурацией максимальное количество адресов установлено на значение 10.
Примечание. MAC-адрес определен в качестве прикрепленного MAC-адреса.
Прикрепленные МАС-адреса добавляются в таблицу МАС-адресов и в текущую конфигурацию. Как показано на рис. 3, прикрепленный MAC-адрес для компьютера PC2 был добавлен в текущую конфигурацию для коммутатора S1.
Проверка защищенных MAC-адресов
Для отображения всех безопасных МАС-адресов, настроенных на всех интерфейсах коммутатора или на указанном интерфейсе с информацией старения для каждого интерфейса, используйте команду show port-security address. Как показано на рис. 4, безопасные МАС-адреса перечислены вместе с типами MAC-адресов.
Когда настроена функция безопасности порта, нарушение безопасности может привести к отключению порта в результате ошибки. В случае если порт выключен в результате ошибки, он не функционирует и не может отправлять или получать трафик. На консоли отображаются серии сообщений, связанных с функцией безопасности порта (рис. 1).
Примечание. Протокол порта и состояние канала изменяются на down.
Индикатор порта будет выключен. Команда show interface показывает состояние порта как «выключен в результате ошибки» (err-disabled) (рис. 2). Теперь выходные данные команды show port-security interface отображают состояние порта как secure-shutdown. Поскольку режим реагирования на нарушение безопасности порта настроен на выключение, в случае нарушения безопасности порт переходит в выключенное состояние в результате ошибки.
Перед повторным включением порта администратор должен выявить источник нарушения безопасности. Если к защищенному порту подключено несанкционированное устройство, порт нельзя включать, пока не устранена угроза безопасности. Для повторного включения порта используйте команду режима конфигурации интерфейсаshutdown (рис. 3). Затем, чтобы порт начал функционировать, используйте команду конфигурации интерфейса no shutdown.
Одним из преимуществ коммутатора является поддержка полнодуплексной связи между устройствами, что вдвое повышает скорость передачи данных. Несмотря на то что можно задать скорость и режим дуплексной связи интерфейса коммутатора, рекомендуется разрешить для коммутатора автоматическую настройку этих параметров для предотвращения появления ошибок.
Порты коммутатора следует настраивать таким образом, чтобы доступ был разрешен только для кадров с конкретными МАС-адресами источника. Кадры от неизвестных МАС-адресов источника должны быть запрещены и вызывать отключение порта для предотвращения дальнейших атак.
Функция безопасности портов — это единственное средство защиты от снижения производительности сети. Для обеспечения защиты сети предлагаем обратиться к следующим 10 практическим рекомендациям:
Вышеупомянутые рекомендации являются основами управления безопасностью. Организации должны обеспечивать непрерывную защиту от постоянно развивающихся технологий взлома.