MỤC LỤC :
Ở Lab lần trước mình đã hướng dẫn các câu lệnh và cấu hình cơ bản của Router và SW. Và trong LAB này muốn sẽ tìm hiểu và hướng dẫn LAB về STP và Port Security nhé.
- Trong mạng doanh nghiệp, bảo vệ sự ổn định và an ninh của hệ thống là một ưu tiên hàng đầu. Spanning Tree Protocol (STP) và Port Security là hai kỹ thuật quan trọng giúp đảm bảo rằng mạng hoạt động một cách ổn định và an toàn, tránh các sự cố như vòng lặp mạng hoặc các cuộc tấn công dựa trên MAC address. Bài viết này sẽ hướng dẫn bạn cách cấu hình bảo vệ STP và Port Security trên các thiết bị mạng như Switch.
Cho bài LAB như sau :
1. Cấu hình tính năng Port-Security:
2. BPDU Guard:
3. Root Guard:
- Bảo vệ mạng khỏi các sự cố và tấn công là một phần không thể thiếu trong quản lý mạng doanh nghiệp. Các cơ chế bảo vệ STP như BPDU Guard, Root Guard, Loop Guard, và UDLD giúp ngăn chặn các vòng lặp và duy trì tính ổn định của hệ thống. Trong khi đó, Port Security bảo vệ mạng khỏi các cuộc tấn công liên quan đến MAC address, giúp kiểm soát và giới hạn truy cập vào mạng một cách hiệu quả. Việc hiểu và áp dụng đúng các cơ chế này sẽ giúp bạn xây dựng một hệ thống mạng an toàn và ổn định.
Ở Lab lần trước mình đã hướng dẫn các câu lệnh và cấu hình cơ bản của Router và SW. Và trong LAB này muốn sẽ tìm hiểu và hướng dẫn LAB về STP và Port Security nhé.
I. Giới Thiệu.
- Trong mạng doanh nghiệp, bảo vệ sự ổn định và an ninh của hệ thống là một ưu tiên hàng đầu. Spanning Tree Protocol (STP) và Port Security là hai kỹ thuật quan trọng giúp đảm bảo rằng mạng hoạt động một cách ổn định và an toàn, tránh các sự cố như vòng lặp mạng hoặc các cuộc tấn công dựa trên MAC address. Bài viết này sẽ hướng dẫn bạn cách cấu hình bảo vệ STP và Port Security trên các thiết bị mạng như Switch.
II.Bảo Vệ Spanning Tree Protocol (STP).
1. Các Cơ Chế Bảo Vệ STP
a. BPDU Guard
- Mục đích: BPDU Guard được sử dụng để bảo vệ các cổng edge (cổng kết nối trực tiếp đến các thiết bị đầu cuối như máy tính) khỏi việc nhận các BPDU không mong muốn. Khi BPDU Guard phát hiện một BPDU trên cổng edge, nó sẽ vô hiệu hóa cổng đó ngay lập tức để ngăn chặn việc hình thành các vòng lặp không mong muốn.
- Cấu hình BPDU Guard:
b. Root Guard
- Mục đích: Root Guard bảo vệ cây spanning hiện tại bằng cách ngăn cản các switch khác trở thành root bridge thông qua việc vô hiệu hóa các cổng nhận được BPDU có khả năng thay đổi root bridge hiện tại.
- Cấu hình Root Guard:
c. Loop Guard
- Mục đích: Loop Guard ngăn chặn các vòng lặp trong mạng do mất BPDU bằng cách đưa các cổng vào trạng thái blocking nếu BPDU không được nhận trong khoảng thời gian quy định.
- Cấu hình Loop Guard:
d. UDLD (Unidirectional Link Detection)
- Mục đích: UDLD giúp phát hiện và vô hiệu hóa các liên kết một chiều (unidirectional links), tránh việc hình thành các vòng lặp STP không mong muốn.
- Cấu hình UDLD:
III. Port Security.
- Port Security là một tính năng bảo mật trên Switch giúp ngăn chặn các cuộc tấn công dựa trên MAC address, chẳng hạn như MAC address spoofing và MAC address flooding. Tính năng này giới hạn số lượng MAC address hợp lệ có thể học trên một cổng, từ đó ngăn chặn các hành vi tấn công tiềm ẩn.
- Cấu Hình Port Security
1. Kích Hoạt Port Security
2. Thiết Lập Hành Động Khi Vi Phạm
- Có ba tùy chọn:
+ Shutdown: Cổng sẽ bị vô hiệu hóa.
+ Restrict: Ghi lại sự kiện vi phạm và giới hạn traffic từ MAC address vi phạm, nhưng không vô hiệu hóa cổng.
+ Protect: Giới hạn traffic từ MAC address vi phạm mà không ghi lại sự kiện và không vô hiệu hóa cổng.
3. Cấu Hình Địa Chỉ MAC
- Học động các MAC address: Switch sẽ tự động học và ghi nhớ các MAC address.
- Cấu hình địa chỉ MAC tĩnh (thủ công): Bạn cũng có thể cấu hình địa chỉ MAC cụ thể trên một cổng.
4. Kiểm Tra Cấu Hình
- Sau khi cấu hình, bạn có thể kiểm tra lại trạng thái của Port Security.
5. Xử Lý Khi Cổng Bị Vô Hiệu Hóa
- Nếu cổng bị vô hiệu hóa do vi phạm Port Security, bạn cần kích hoạt lại cổng.
IV. LAB Thực Hành.
Cho bài LAB như sau :
1. Cấu hình tính năng Port-Security:
* SW1: E0/1: Cấu hình tĩnh cho phép chỉ 1 địa chỉ MAC được truy cập, phương thức xử lý vi phạm là shutdown.
* SW2: E0/1: Cấu hình cho phép chỉ 1 địc chỉ MAC được truy cập và địa chỉ này được SW học tự động sticky;
phương thức xử lý vi phạm là Restrict.
* Các user thuộc VLAN 10 không được phép kết nối các thiết bị có phát ra BPDU vào các Access-Port thuộc Vlan 10.
* Cấu hình thêm để nếu sự vi phạm không còn diễn ra --> Port vi phạm sẽ được tự động mở lại sau 2 phút
* Các user thuộc VLAN 20 được phép kết nối thiết bị tập trung có phát ra BPDU vào các cổng cảu VLAN 20;
tuy nhiên các thiết bị này không được phép chiếm quyền Root Switch của sơ đồ hiện hành.
V. Kết luận.
- Bảo vệ mạng khỏi các sự cố và tấn công là một phần không thể thiếu trong quản lý mạng doanh nghiệp. Các cơ chế bảo vệ STP như BPDU Guard, Root Guard, Loop Guard, và UDLD giúp ngăn chặn các vòng lặp và duy trì tính ổn định của hệ thống. Trong khi đó, Port Security bảo vệ mạng khỏi các cuộc tấn công liên quan đến MAC address, giúp kiểm soát và giới hạn truy cập vào mạng một cách hiệu quả. Việc hiểu và áp dụng đúng các cơ chế này sẽ giúp bạn xây dựng một hệ thống mạng an toàn và ổn định.
Last edited:
