+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Чип переключателя — безопасность порта

Чип переключателя — безопасность порта, RouterOS

_saik0

Guest

22.07.2014 22:34:00

RB2011UAS-2HnD с последней версией ОС/прошивки. Можно ли назначить статический MAC-адрес для определённого порта коммутатора так, чтобы другие устройства/MAC не были разрешены — что-то вроде порт-секьюрити? Похоже, что нельзя задать правило на отбрасывание любого MAC-адреса через /interface ethernet switch host. Если добавить запись для отбрасывания MAC 00:00:00:00:00:00, это не работает, потому что при подключении нового устройства автоматически добавляется новая динамическая запись, и таким образом новичку разрешается доступ. Должна же быть такая простая опция?

Janevski Guest	#2 0 09.11.2017 00:57:00 Тот же вопрос, что и у автора темы. Как настроить на коммутаторе MikroTik портовую безопасность, похожую на Cisco? То есть чтобы на одном порту разрешался только один MAC-адрес.

becs Guest	#3 0 09.11.2017 11:07:00 Привет, коммутаторы серии CRS1xx/2xx поддерживают такую функцию: https://wiki.mikrotik.com/wiki/Manual:CRS_examples#Limited_MAC_Access_per_Port

TomjNorthIdaho

Guest

09.11.2017 23:44:00

re: Cisco-подобная безопасность портов

Для информации, я не хочу никого пугать или разглашать то, что мы знаем — но... Мы обнаружили некоторые дыры в сетевой безопасности на коммутаторах Cisco. В зависимости от конфигурации вашего Cisco-коммутатора, если мы находимся у IP-телефона, мы можем:

- вывести из строя всю сеть IP-телефонов;
- взломать любой VLAN на Cisco-коммутаторе;
- вывести из строя любую VLAN-сеть или любое устройство в любой VLAN.

Даже с базовой защитой по MAC-адресу, ограничивающей подключение одним MAC-адресом, мы всё равно можем попасть в любую сеть и подключить к ней несколько компьютеров.

Мы можем:

- внедрить собственный DHCP-сервер и захватить DHCP-сервисы;
- назначить свой шлюз в любой VLAN;
- перенаправлять устройства из других VLAN использовать наш шлюз и мониторить весь трафик;
- находить и сканировать уязвимости серверов в любых VLAN.

Я не хочу пугать — хочу лишь сказать, что безопасность сети часто игнорируется или не проверяется. Почти во всех сетях повсюду есть огромные "дырущие" дыры, через которые злоумышленники могут проникнуть.

Когда речь идёт о «безопасности портов», нужно действительно мыслить нестандартно и понимать, сколько способов и методов может использовать NSA, чтобы проникнуть в вашу сеть.

Ещё одна информация для размышления — подозреваю, что следующими большими уязвимостями в мировой сетевой безопасности станут микрокод CPU и скрытый Minix-код CPU...
(Вот так вот: вы знали, что в ваших процессорах есть встроенный скрытый CPU с собственной операционной системой и веб-браузером?)

Tom Jones

Janevski Guest	#5 0 10.11.2017 02:25:00 Спасибо! Не хотите ли рассказать подробнее? Это случайно не связано с VTP? Статические VLAN тоже затронуты? Вы проверяли то же самое на MikroTik? Как прошло?

TomjNorthIdaho Guest	#6 0 10.11.2017 03:11:00 Re: Хотели бы вы рассказать поподробнее? Пока особо нечего. Я всё ещё ищу другие уязвимости на Cisco-коммутаторах, которые подключены к VoIP-телефонам. Для справки — это не столько проблема Cisco, сколько связанная, но не обязательно с VoIP, а с тем, как всё настроено. Re: Возможно, это связано с VTP? Затрагивает ли это статические VLAN? Отчасти (не связано с VTP-доменом), но связано с VLAN. Re: Пробовали ли вы то же самое на MikroTik? Как прошло? Я использовал Cisco-коммутатор, ПК и что-то от MikroTik — у нас у всех есть доступ к этому, да и, возможно, это у нас уже есть. North Idaho Tom Jones

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры