سیستم Port Security با جلوگیری از ارسال بسته های دستگاه های ناشناخته به امنیت شبکه کمک می کند. وقتی یک لینک خراب می شود ، تمام آدرس های قفل شده به صورت پویا آزاد می شوند. Port Security یکی از خصوصیت های آن کنترل ترافیک لایه 2 در سوئیچهای سیسکو می باشد و دلیل استفاده از Port Security به شما این امکان را میدهد که به تعداد خاصی از آدرس های mac مبدا اجازه ورود به پورت داده شود.و یکی از مواردی که زیاد کاربرد دارد زمانی است که کاربران با استفاده از سوئیچ های غیر مجاز بصورت غیر قانونی به شبکه وصل میشوند به عنوان مثال دو یا سه کاربر می توانند از طریق یک پورت access از شبکه استفاده کنند . استفاده از port security مزایای زیر را ارائه می دهد:
- می توانید تعداد آدرسهای MAC موجود در یک پورت را محدود کنید. بسته هایی که بسته های امن با آدرس MAC منطبق دارند ، ارسال می شوند و تمام بسته های دیگر (بسته های ناامن) محدود شده اند
- می توانید port security را بر اساس هر پورت فعال کنید
Port security از دو روش برای فیلتر کردن ترافیک استفاده می کند: Dynamic locking و Static locking که می توان همزمان از هر دو استفاده کرد.
- Dynamic Locking
می توانید حداکثر تعداد آدرس های MAC را که می توان در یک پورت تعریف کرد ، تعیین کنید. حداکثر تعداد آدرسهای MAC به بستر بستگی دارد و در نرم افزار Release Notes آورده شده است. بعد از رسیدن به حد مجاز آدرسهای مک اضافی آموخته نمی شوند و فقط فریم هایی با آدرس MAC منبع مجاز ارسال می شوند که در این حالت با پیغام خطای “port security violation” روبروخواهید شد .
اگر می خواهید یک آدرس MAC خاص برای یک port تنظیم کنید ، ورودی های متغیررا روی 0 تنظیم کنید ، سپس فقط بسته های دارای آدرس MAC را که با آدرس MAC مطابقت دارد در لیست ایستای(static) مجاز بگذارید.
آدرس های قفل شده پویا(dynamic) می توانند به آدرس های قفل شده ایستا (static) تبدیل شوند. آدرسهای MAC قفل شده به صورت پویا در صورتی که بسته دیگری با آن آدرس در مدت زمان معین مشاهده نشود ، کنسل می شوند .همچنین شما می توانید مقدار زمان پایان را تعیین کنید.
آدرس های MAC قفل شده به صورت پویا واجد شرایط یادگیری توسط پورت دیگری هستند. آدرس MAC استاتیک واجد شرایط مدت زمان معین نیستند.
Port security از حملات زیر جلوگیری می کند:
- Mac flooding Attack
- Mac address spoofing
- Dhcp starvation
پیکربندی پیش فرض در Port security
درجدول زیر پیکربندی امنیتی پیش فرض پورت رابط را نشان می دهد.
دستورالعمل ها و محدودیت های امنیتی
در زمان پیکربندی امنیتی پورت ها به این دستورالعمل ها توجه داشته باشید :
- پورت امن نمی تواند trunk باشد
- پورت امن نمی تواند یک پورت مقصد برای آنالیز پورت سوئیچ باشد(SPAN)
- یک پورت امن نمی تواند به یک پورت EtherChannel تعلق داشته باشد
- پورت امن و پیکربندی آدرس MAC ثابت از یکدیگر جدا هستند
