Port Security a Sticky MAC: Základné nástroje pre bezpečnú LAN

Switchovaná LAN sieť je rýchla a efektívna, ale ak nie je zabezpečená, stáva sa zraniteľnou voči útokom ako MAC flooding či DHCP spoofing. Cisco prepínače poskytujú jednoduché, ale účinné nástroje ochrany ako Port Security a Sticky MAC. Tento článok vám ukáže, ako ich správne nakonfigurovať, monitorovať a doplniť o ďalšie bezpečnostné opatrenia.

1. Prehľad hlavných hrozieb v switchovanej sieti

MAC flooding – útočník zaplaví prepínač falošnými MAC adresami, čo spôsobí preťaženie MAC tabuľky a prepnutie do broadcast režimu. Výsledok: útočník môže zachytiť sieťovú komunikáciu.
DHCP spoofing – útočník sa vydáva za DHCP server a priraďuje falošné IP adresy, čím presmeruje prevádzku cez seba.
Neautorizovaný prístup – neznáme alebo nepovolené zariadenia sa pripájajú k sieti bez vedomia administrátora.

2. Nastavenie Port Security na Cisco prepínači

Port Security umožňuje obmedziť počet povolených MAC adries na konkrétnom porte a definovať, čo sa má stať pri porušení pravidiel. Príklad základnej konfigurácie:

interface FastEthernet0/1
 switchport mode access
 switchport port-security
 switchport port-security maximum 1
 switchport port-security violation shutdown
 switchport port-security mac-address 0011.2233.4455

Popis príkazov:

maximum – maximálny počet MAC adries na porte
violation – reakcia pri porušení (shutdown, restrict, protect)
mac-address – pevne nastavená MAC adresa, ktorá má prístup

3. Sticky MAC adresy: Automatizácia zabezpečenia portov

Namiesto manuálneho zadávania MAC adries môžete použiť režim sticky MAC, v ktorom si prepínač sám zapamätá prvú pripojenú MAC adresu a uloží ju do bežiacej konfigurácie:

interface FastEthernet0/1
 switchport mode access
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky

Tieto adresy je možné uložiť do startup konfigurácie pomocou write memory.

Networking Vás výzýva!

Chcete zažiariť? Za 5 dní nadobudnete skvelé základy administrácie TCP/IP sietí, ktoré vám dajú networking skills na celý život. Stačí konať a prijať Networking výzvu a rezervovať si tento kurz

Prvá hodina zadarmo!

Ovládnite VLANy a Switche

Počítač môžete využiť aj inak ako na hry a zábavu. Poďte zarábať ako králi. Iba týždeň Vám stačí a máš skvelé základy TCP/IP networkingu nato, aby ste si napr. našli job ako jr. Networking engineer. Stačí prijať Networking výzvu

Prvá hodina zadarmo!

4. Monitorovanie a logovanie bezpečnostných udalostí

Stav Port Security môžete sledovať príkazmi:

show port-security interface fa0/1
show port-security address
show port-security violation

Pri bezpečnostnom incidente sa v logu prepínača objaví záznam ako napríklad:

%PORT_SECURITY-2-PSECURE_VIOLATION: Security violation occurred

5. Ďalšie bezpečnostné opatrenia na vrstve prístupu

DHCP Snooping – ochrana pred falošnými DHCP servermi
Dynamic ARP Inspection (DAI) – ochrana proti ARP spoofingu
802.1X – autentifikácia používateľov pred prístupom do siete
ACL – prístupové zoznamy, ktoré riadia, kto a čo môže komunikovať

Chcete sa naučiť sieť zabezpečiť ako profesionál?

Vyskúšajte kurz NA2 – Prepínanie v sieťach, VLAN a konfigurácia prepínačov Cisco, kde si na praktických cvičeniach osvojíte konfiguráciu Port Security, sticky MAC, DHCP snoopingu, VLAN a ďalších sieťových nástrojov pod vedením skúseného lektora.

Kurz NA0 - Administrácia LAN/WAN a návrh TCP/IP sietí - základné koncepty