۱۰ نکته در خصوص امکانات امنیتی سوئیچ های سیسکو - قسمت پنجم

۵ - پیکربندی سوئیچ جهت امن سازی پروسه Spanning-tree

Spanning-tree Security

یکی از موارد تهدید کننده شبکه های سوئیچ ، امکان ایجاد اختلال(DOS attack) در شبکه از طریق ارسال بسته های جعلی BPDU و یا تلاش در جهت ایجاد اختلال در عملکرد Root Bridge می باشد. هکرها از طریق این حمله می توانند باعث تغییر مسیر ترافیک اطلاعات ، تغییر Root Bridge و یا مسدود شدن مسیر اصلی ترافیک اطلاعات در شبکه گردند. برای مهار این تهدید و حفاظت از پروسه Spanning-tree ، پیکربندی امنی به نام guard root تعبیه شده که از طریق اعمال تنظیمات زیر بر روی پورت های Access سوئیچ های مدیریتی Cisco پیاده سازی می شود:

(config-if)# spanning-tree guard root

با اعمال این تنظیم در صورتیکه هکر با هدف ایجاد اختلال در شبکه ، سوئیچ خود را به یک پورت از سوئیچ لایه Access شبکه تحت کنترل شما متصل نماید، پورت سوئیچ شبکه شما بصورت خودکار به وضعیت Blocking خواهد رفت.

همچنین به منظور جلوگیری از ارسال بسته های BPDU بر روی پورت های Access دستورات زیر را بر روی اینترفیس های مورد نظر وارد کنید:

(config-if)# spanning-tree bpduguard enable
(config-if)# spanning-tree portfast

همین تنظیمات با اعمال دستور زیر در مود Global Configuration بر روی تمام پورت های Access سوئیچ که در وضعیت Portfast قرار داشته باشند نیز اجرا خواهد شد:

(config) spanning-tree portfast bpduguard default