wiki:site:cisco:ccnp:switch:17
Differences
This shows you the differences between two versions of the page.
| Both sides previous revision Previous revision Next revision | Previous revision | ||
|
wiki:site:cisco:ccnp:switch:17 [2018/01/23 09:45] root |
— (current) | ||
|---|---|---|---|
| Line 1: | Line 1: | ||
| - | |||
| - | ====== Securing VLAN Trunks ====== | ||
| - | ===== Switch Spoofing ===== | ||
| - | * Jsou-li porty v defaultním nastavení (DTP auto), útočník může se switchem vyjednat trunk a tím má přístup do všech VLAN. | ||
| - | {{: | ||
| - | |||
| - | Doporučuje se všechny end-user porty nastavit natvrdo jako access: | ||
| - | * Switch(config)# | ||
| - | * Switch(config-if)# | ||
| - | * Switch(config-if)# | ||
| - | Nevyužité porty => shutdown | ||
| - | |||
| - | ===== VLAN Hopping ===== | ||
| - | Útočník může pomocí dvojitě tagovaného rámce poslat tento rámec mimo svou VLAN bez použití routeru. | ||
| - | |||
| - | Podmínky útoku: | ||
| - | * Útočník je připojen k access portu | ||
| - | * Na switchi je alespoň jeden 802.1Q trunk | ||
| - | * Útočníkův port je ve VLANě, která se trunkem přenáší jako nativní | ||
| - | {{: | ||
| - | |||
| - | Prevence: | ||
| - | * Nastavit na trunku nevyužitou (falešnou) VLAN jako nativní | ||
| - | * Tuto nativní VLAN na trunku zakázat | ||
| - | < | ||
| - | Switch(config)# | ||
| - | Switch(config-vlan)# | ||
| - | Switch(config-vlan)# | ||
| - | Switch(config)# | ||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | Switch(config-if)# | ||
| - | </ | ||
| - | CDP, PAgP, DTP - i přes to, že je nativní VLAN zakázána, tyto protokoly fungují dále | ||
| - | * Další variantou je tagovat i nativní VLAN: | ||
| - | < | ||
wiki/site/cisco/ccnp/switch/17.1516697110.txt.gz · Last modified: 2018/01/23 09:45 by root
Page Tools
