华为交换机MSTP安全特性

1. Edged-port 边缘端口

边缘端口是指不直接或网络间接与任何交换机连接的端口，它只连接用户终端。它可以直接由阻塞状态变为转发状态，而无需等待延迟时间。在交换机没有开启BPDU保护的情况下，如果被设置为边缘端口的端口上收到来自其它端口的BPDU 报文，则该端口会重新变为非边缘端口。建议启动BPDU 保护功能，这样既能够使该端口快速迁移到转发状态，也可以保证网络的安全。

启用边缘端口：

interface Ethernet0/2

stp edged-port enable

or

stp interface Ethernet0/2edged-port enable

2. BPDU 保护功能

交换机上启动了BPDU 保护功能以后，如果边缘端口收到了BPDU，系统将这些端口关闭，被关闭的边缘端口只能手动恢复。

启用BPDU 保护功能：

stp bpdu-protectio

3. Root 保护功能

对于设置了Root 保护功能的端口，其在所有实例上的端口角色只能保持为指定端口。

一旦这种端口上收到了优先级高的配置消息，这些端口的状态将被设置为Discarding 状态，不再转发报文。当在足够长的时间内没有收到更优的配置消息时，端口恢复原来的正常状态。对指定端口生效。

启用Root 保护功能：

interface GigabitEthernet1/0/1

stp root-protection

4. 环路保护功能

启动了环路保护功能后，如果发生链路拥塞或者单向链路故障，则根端口的角色变为指定端口，端口的状态为Discarding 状态；阻塞端口同样也变为指定端口，端口状态为Discarding 状态，不转发报文，从而不会在网络中形成环路。

启用环路保护功能

interface GigabitEthernet1/0/1

stp loop-protection

注：在对一个端口进行配置的时候，在环路保护功能、Root 保护功能或者边缘端口设置三个配置中，同一时刻只能有一个配置生效。

5. 防止TC-BPDU报文攻击功能

开启防止TC-BPDU 报文攻击功能后，交换机会在收到TC-BPDU 报文后，进行一次删除MAC 地址表和ARP 表项的操作，并同时启动周期为10 秒的定时器。在此周期时间内，如果交换机再次收到TC-BPDU 报文，则交换机最多可以进行6 次删除MAC 地址表项和ARP 表项的操作。从而避免频繁的删除MAC 地址表和ARP 表项，给交换机进行STP 计算以及网络稳定性带来恶劣的影响。

启用TC-BPDU 报文攻击功能：

stp tc-protection enable

stp tc-protection threshold 6

6. BPDU报文拦截功能

为了避免这个问题的发生，用户可以在交换机的以太网端口上配置BPDU 报文拦截功能。

在开启了BPDU报文拦截功能的端口，将不再接收和转发任何BPDU 报文，从而防止交换机受到BPDU报文攻击，保证STP 计算的正确性。

启用BPDU报文拦截功能：

interface GigabitEthernet1/0/1

bpdu-drop any

其它安全特性：

DHCP Snooping DHCP探测

DHCP探测定义两种端口Untrusted ports不信任端口和Trusted ports信任端口，连接不信任端口的客户端只能产生DHCP请求，如果其产生DHCP回复，端口将被禁用，不需要显式配置。信任端口指向DHCP服务器，可以接受DHCP回应，需要显式配置。利用Trusted 接口接收到的DHCP Reply 报文生成DHCP Snooping绑定表，从Untrusted 接口接收到的IP、ARP 报文只有与绑定表匹配时，才被转发。该绑定表包括MAC地址、IP地址、租约时间、绑定类型、VLAN ID、接口信息。

攻击类型与DHCP Snooping工作模式对应表：

DHCP Server 仿冒者攻击：

当用户网络中存在DHCP Server 仿冒者时，DHCP Server 仿冒者回应给DHCP Client 仿冒信息，如错误的网关地址、错误的DNS 服务器、错误的IP 地址等，从而使DHCP Client 无法访问网络。

在交换机上配置DHCP Snooping功能，把连接用户的接口配置为Untrusted，把指向DHCP 服务器的接口配置为Trusted，凡是从Untrusted 接口收到的DHCP Reply报文全部被丢弃，只转发从Trusted接口接收到的DHCP Reply报文。

启用防DHCP Server仿冒者攻击功能：

system-view

dhcp snooping enable

vlan 10

dhcp snooping trusted interfaceGigabitEthernet1/0/1

#

中间人与IP/MAC Spoofing 攻击：

为了避免受到中间人或IP/MAC 欺骗攻击，可以在交换机上配置DHCP Snooping功能，

只有接收到的报文的信息和绑定表中的内容一致才会被转发，否则报文将被丢弃。若用户使用静态IP 地址接入网络，则用户报文中的MAC 地址、IP 地址、VLAN 号必须静态绑定并接收该报文的接口信息匹配，用户报文才能被转发，否则用户报文将被丢弃。

启用防中间人与IP/MAC Spoofing 攻击功能：

system-view

dhcp snooping enable

#

interfaceEthernet1/0/1

undo dhcpsnoopingtrusted

dhcp snooping check arp enable alarm arp enable threshold

dhcp snooping check ip enable alarm ip enable threshold

dhcp snooping check dhcp-chaddr enable alarm dhcp-chaddr enablethreshold dhcp snooping check dhcp-request enable alarm dhcp-request enablethreshold dhcp snooping check dhcp-rate enable rate alarm dhcp-rate enable threshold

#

dhcpsnoopingbind-tablestatic ip-address1.1.1.1mac-address0100.0022.0010 interfaceEthernet1/0/1

DHCP饿死攻击:

攻击者不断变换MAC 地址，尝试申请一个DHCP 域中所有的IP 地址，直到耗尽DHCPServer 地址池中的IP 地址，导致其他正常用户无法获得IP地址。通过MAC 地址限制方法，可以防止饿死攻击，即限制接口上允许学习到的最多MAC地址数目，防止用户通过变换MAC地址，大量发送DHCP请求。

启用防DHCP饿死攻击功能:

system-view

mac-address restrict

mac-table limit interfaceEthernet1/0/1 10

interfaceEthernet1/0/1

port-security enable

CHADDR 值的DoS 攻击:

若攻击者改变的不是数据帧头部的源MAC地址，而是改变DHCP报文中的CHADDR

（Client Hardware Address）值来不断申请IP 地址。如果S-switch 仅根据数据帧头部的源MAC 地址来判断该报文是否合法，那么启用防DHCP饿死攻击功能不能起作用，这样的攻击报文还是可以被正常转发。配置DHCP Snooping功能，检查DHCP Request报文中CHADDR字段。如果该字段跟数据帧头部的源MAC地址相匹配，便转发报文；否则丢弃报文。

启用CHADDR 值的DoS 攻击:

system-view

dhcp snooping enable

#

interfaceEthernet1/0/1

undo dhcpsnoopingtrusted

dhcp snooping check dhcp-chaddr enable alarm dhcp-chaddr enablethreshold

DHCP续租报文攻击：

攻击者通过不断发送DHCP Request 报文来冒充用户续租IP地址，这样一方面会导致

一些到期的IP 地址无法正常回收，另外也不是用户的真实意图。

在交换机上上配置DHCP Snooping功能，检查DHCP Request报文的源IP地址和源MAC地址：如果在DHCP Snooping绑定表中找不到与源IP地址匹配的表项，则DHCP Request报文被正常转发。如果在DHCP Snooping绑定表中找到与源IP地址匹配的表项，但源MAC地址不匹配，则DHCP Request报文被丢弃。

启用防DHCP续租报文攻击功能：

system-view

dhcp snooping enable

#

interfaceEthernet1/0/1

undo dhcpsnoopingtrusted

dhcp snooping check dhcp-request enable alarm dhcp-request enablethreshold

#

备份DHCP Snooping 绑定表：

如果备份了绑定表，系统将每隔24 小时在指定的备份路径下备份DHCP Snooping绑定表。若没有备份绑定表，在交换机重启后，DHCP Snooping动态绑定表将丢失，造成从DHCP Server动态获取IP地址的用户无法正常通信。

启用DHCP Snooping 绑定表备份：

dhcp snooping bind-table autosave file-name