Laboratoriya ishi № 12-13.
CISCO PACKET TRACER DASTURI YORDAMIDA PORTLAR
XAVFSIZLIGINI TA’MINLASHNI O‘RGANISH
1. Ishning maqsadi
Ushbu laboratoriya ishidan maqsad:
- Port security protokolini sozlash bo'yicha ko'nikmalarga ega bo'lish.
2. Qisqa nazariy ma’lumotlar
Port Security – bu tarmoq ulanishining MAC manzilini ruxsatsiz
o'zgarishlarni oldini olish uchun mo'ljallangan kanal darajasi funktsiyasi.
Shuningdek, ushbu funktsiya kommutatorni MAC manzillar jadvalini to'ldirib
tashlashga yo'naltirilishi mumkin bo'lgan hujumlardan himoya qiladi.
Port Security-dan foydalanib, siz interfeysdagi ulanishlar sonini (MAC
adreslar) cheklashingiz (kanal darajasida), shuningdek kerak bo'lganda xavfsiz
MAC manzillarini (statik MAC manzillari) qo'lda kiritishingiz mumkin.
Port Security funksiyasi:
- «switchport port-security» bu interfeysda Port Security yoqilganligini
anglatadi;
- «switchport port-security maximum N» shuni ko'rsatadiki, MAC
manzillarining faqat N tasi bir vaqtning o'zida interfeysda "yonib turishi" mumkin;
- «switchport port-security violation restrict» qoidabuzarlikka reaktsiya
qilish rejimini bildiradi. Shunday qilib, agar uchinchi (noma'lum) MAC-manzil bir
vaqtning o'zida ushbu interfeysda "yonib-o'chsa", unda ushbu manzildan barcha
paketlar o'chiriladi va ogohlantirish yuboriladi - syslog, SNMP trap,
qoidabuzarliklar hisoblagichi ortadi (violetion counter).
Xavfsizlik bo’yicha qoidabuzarlikka reaktsiya qilish rejimi. Xavfsizlik
bo’yicha qoidabuzarlikka reaktsiya qilishning uchta usuli mavjud:
- «switchport port-security violation restrict»;
- «switchport port-security violation shutdown»;
- «switchport port-security violation protect».
«switchport port-security violation restrict» buyrug’i yo’qorida ta’riflangan.
Ikkinchi buyruq — «switchport port-security violation shutdown» agar
buzilishlar aniqlansa, u interfeysni error-disabled holatga o'tkazadi va uni o'chiradi.
Bunda SNMP trap xabarnomasi, syslog xabari yuboradi va qoidabuzarliklar
hisoblagichi (violation counter) qiymati oshiradi. Aytgancha, agar interfeys errordisabled holatida bo'lsa, uni blokirovka qilishning eng oson usuli bu interfeysni
o'chirish va yoqishdir (interfeys sozlamalarida “shutdown”, buyrug'ini kiriting,
so'ng “no shundown”).
Agar interfeysga “switchport port-security violation protect” buyrug'i
kiritilgan bo'lsa, buzilish holatlarida noma'lum MAC manzilidan paketlar olib
tashlanadi, ammo xato haqida xabarlar shakllantirilmaydi.
Aynan qanday usulni tanlash har kimning o’zini ishi, ammo "switchport
port-security violation restrict" aksariyat holatlar uchun maqbuldir.
MAC manzil. Port Security dan foydalanishda MAC manzillarning
quyidagi tuurlari mavjud:
- Dinamik;
- Statik;
- Sticky MAC manzil.
Dinamik MAC manzillar kommutatsiya jadvalida saqlanadi, ammo “aging
time” tugaganda yoki kommutator qayta ishka tushirilganda o’chadi.
Statik manzillar MAC manzillar jadvalida saqlanadi va kommutator
xotirasida yoziadi. “aging time” tugaganda yoki kommutator qayta ishka
tushirilganda ular o'chirilmaydi.
Sticky MAC manzillari kommutatsiya jadvaliga statik (qo'lda) yoki dinamik
kiritilishi mumkin. Ular kommutatsiya jadvalida va kommutator xotirasida
saqlanadi. “aging time” tugaganda yoki kommutator qayta ishka tushirilganda ular
o'chirilmaydi.
3.Vazifa
Ushbu laboratoriya ishida quyidagilarni bajarish zarur:
1.
Tarmoqni sxema bo'yicha yarating.
2.
Statik MAC manzillari uchun Port security funktsiyasini sozlang.
3.
Sticky MAC manzillari uchun Port security funktsiyasini sozlang.
1-rasm. Ishlatilayatgan tarmoq topologiyasi
3.1
1-rasm bo’yicha sxemani tuzing. MAC manzillarini sozlang.
3.2 Statik MAC manzillari uchun Port security funktsiyasini sozlash
uchun quyidagi sozlamalarni bajaring:
1-rasmda biz yirik tashkilotlarda umumiy qurilmalar ulanishini ko'ramiz.
Qoidaga ko'ra, portga ikkita qurilma ulanadi: IP telefon va foydalanuvchining
kompyuteri. Port Security yordamida kommutatsiya interfeysini sozlashga misol:
interface FastEthernet0/1
switchport access vlan 10
switchport mode access
switchport voice vlan 2
switchport port-security
switchport port-security maximum 2
switchport port-security violation restrict
Agar kerak bo'lsa, siz MAC manzillarini statik ravishda kiritishingiz
mumkin, keyin konfiguratsiya quyidagicha bo'ladi:
interface FastEthernet0/1
switchport access vlan 10
switchport mode access
switchport voice vlan 2
switchport port-security
switchport port-security maximum 2
switchport port-security violation restrict
switchport port-security mac-address 0005.5E80.22A3
switchport port-security mac-address 00E0.F75B.C101
3.3
Sticky MAC manzillari uchun Port Security funksiyasini sozlash
uchun quyidagi sozlamalarni bajaring:
Switch#conf t
Switch(config)#
Switch(config)#interface fa0/1
Switch(config-if)#
Switch(config-if)#switchport mode access
Switch(config-if)#switchport access vlan 10
Switch(config-if)#switchport voice vlan 2
Switch(config-if)#switchport port-security
Switch(config-if)#switchport port-security maximum 2
Switch(config-if)#switchport port-security mac-address 0005.5E80.22A3
Switch(config-if)#switchport port-security mac-address sticky
Switch(config-if)#switchport port-security violation restrict
Yuqoridagi misolda bitta MAC manzili statik ravishda konfiguratsiya
qilingan ("switchport port-security mac-address 0005.5E80.22A3") va boshqa
barcha MAC manzillar (bizning holatlarimizda, yana bitta) dinamik olinadi, ammo
kommutator xotirasiga yozib qo'yiladi ("switchport port-security mac-address
sticky"). Agar imtiyozli rejimda "show run int fa0/1" buyrug'ini kiritsak, biz buni
ko'ramiz:
interface FastEthernet0/1
switchport access vlan 10
switchport mode access
switchport voice vlan 2
switchport port-security
switchport port-security maximum 2
switchport port-security mac-address sticky
switchport port-security violation restrict
switchport port-security mac-address 0005.5E80.22A3
switchport port-security mac-address sticky 00E0.F75B.C101
Shunday qilib, telefonning MAC manzili (0005.5E80.22A3) statik ravishda
kiritildi va kompyuter manzili (00E0.F75B.C101) kommutator tomonidan o'zo'zidan olinadi va kommutatsiya konfiguratsiyasiga kiritildi.
4. Hisobot tarkibi
Hisobotda quyidagilar keltirilishi lozim:
- Ishning nomi va maqsadi.
- Ishni bajarilganligini ko’rsatuvchi “screen shot” lar.
- Ishning natijasi.
- Nazorat savollariga qisqacha javoblar.
5. Nazorat savollari
1. МАС manzil nima?
2. Port security ni funksiyasi nimalardan iborat?
3. Port security funktsiyasining asosiy atributlarini aytib bering.
4. O'rnatish paytida qanday buyruqlar ishlatiladi?
5. Ish natijalarini tekshirish qanday amalga oshiriladi?