局域网交换机安全
- 《局域网交换机安全》是2010年7月1日人民邮电出版社出版的图书，作者是维恩克(Ericvyncke)。
-
选择特殊符号
选择搜索类型
请输入搜索
作者：（美国）维恩克（Eric vyncke） （美国）培根（Christopher paggen） 译者：孙余强 孙剑
维恩克（Eric Vymcke），获得比利时列日大学计算机科学工程系硕士学位后在该校任助理研究员。随后进入比利时网络研究院，出任研发部门的领导。之后加盟西门子出任多个安全项目（包括-个代理防火墙项目）的项目经理。自1997年起，他被Cisco公司委以杰出咨询工程师一职，担当公司欧洲地区的安全技术顾问。20年来，Eric从事的专业领域一直在从第二层到应用层的网络安全方面。Eric还是几所比利时大学安全研讨班的客座教授，经常参加各种安全活动.（如Cisco Live的Networkers、RSA大会）并发言。
培根（Christopher Paggen），于1996年加入Cisco，一直从事以局域网交换和安全方面为主的工作。之后，转而负责公司当前和未来高端防火墙的产品需求定义。Christopher持有几项美国专利，其中一项与动态ARP检测（Dynamic ARP Inspection，DAI）有关。除CCIE证书（CCIE#2659）外，Christopher还曾获得HEMES大学（比利时）计算机科学学士学位，并继续在I.IMS大学（比利时）学习了两年经济学。
第1部分 安全隐患和缓解技术
第1章 安全导论 3
1.1 安全三要素（Security Triad） 3
1.1.1 保密性（Confidentiality） 4
1.1.2 完整性（Integrity） 5
1.1.3 可用性（Availability） 5
1.1.4 逆向安全三要素（Reverse Security Triad） 5
1.2 风险管理（Risk Management） 6
1.2.1 风险分析 6
1.2.2 风险控制 7
1.3 访问控制和身份管理 7
1.4 密码学（Cryptography） 9
1.4.1 对称加密系统 10
1.4.2 非对称加密系统 12
1.4.3 针对加密系统的攻击 15
1.5 总结 16
1.6 参考资料 17
第2章 挫败学习型网桥的转发进程 19
2.1 基础回顾：以太网交换101 19
2.1.1 以太网帧格式 19
2.1.2 学习型网桥 21
2.1.3 过量泛洪（Excessive Flooding）的后果 22
2.2 利用桥接表的MAC地址泛洪攻击 23
2.2.1 强制产生一个过量泛洪的条件 23
2.2.2 macof工具简介 26
2.3 MAC欺骗（MAC Spoofing）攻击：MAC泛洪的变异 30
2.4 预防MAC地址泛洪及欺骗攻击 32
2.4.1 探测MAC Activity 32
2.4.2 port security（端口安全） 32
2.4.3 未知单播泛洪的保护 35
2.5 总结 36
2.6 参考资料 37
第3章 攻击生成树协议 39
3.1 生成树协议入门 39
3.1.1 STP的类型 41
3.1.2 STP操作的更多细节 42
3.2 开始攻击游戏 48
3.2.1 攻击1：接管根网桥 50
3.2.2 攻击2：利用配置BPDU泛洪的DoS 55
3.2.3 攻击3：利用配置BPDU泛洪的DoS 58
3.2.4 攻击4：模拟一台双宿主（Dual-Homed）交换机 58
3.3 总结 59
3.4 参考资料 59
第4章 VLAN安全吗 61
4.1 IEEE 802.1Q概览 61
4.1.1 帧的归类（Classification） 62
4.1.2 “入乡随俗”（go native） 63
4.1.3 802.1Q标记栈（802.1Q Tag Stack）攻击 65
4.2 理解Cisco动态Trunk协议（Dynamic Trunking Protocol） 69
4.2.1 手动发起一个DTP攻击 70
4.2.2 DTP攻击的反制措施 73
4.3 理解Cisco VTP 74
4.4 总结 75
4.5 参考资料 75
第5章 利用DHCP缺陷的攻击 77
5.1 DHCP概览 77
5.2 攻击DHCP 80
5.2.1 耗尽DHCP的范围：针对DHCP的DoS攻击 81
5.2.2 利用DHCP无赖服务器劫持流量 83
5.3 DHCP（范围）耗尽攻击的对策 84
5.3.1 Port Security（端口安全） 85
5.3.2 介绍DHCP snooping 87
5.4 针对IP/MAC欺骗攻击的DHCP snooping 91
5.5 总结 94
5.6 参考资料 95
第6章 利用IPv4 ARP的攻击 97
6.1 ARP基础回顾 97
6.1.1 正常的ARP行为 97
6.1.2 免费ARP 99
6.2 ARP的风险分析 100
6.3 ARP欺骗（ARP spoofing）攻击 100
6.3.1 ARP欺骗攻击诸要素 100
6.3.2 发起一次ARP欺骗攻击 102
6.4 缓解ARP欺骗攻击 103
6.4.1 动态ARP检测 104
6.4.2 保护主机 107
6.4.3 入侵检测 107
6.5 缓解其他的ARP缺陷（vulnerability） 108
6.6 总结 109
6.7 参考资料 109
第7章 利用IPv6邻居发现和路由器通告协议的攻击 111
7.1 IPv6简介 111
7.1.1 IPv6的动机 111
7.1.2 IPv6改变了什么 112
7.1.3 邻居发现 116
7.1.4 路由器通告的无状态配置 117
7.2 ND和无状态配置的风险分析 119
7.3 缓解ND和RA攻击 120
7.3.1 针对主机 120
7.3.2 针对交换机 120
7.4 安全的ND 120
7.5 总结 122
7.6 参考资料 123
第8章 以太网上的供电呢 125
8.1 PoE简介 125
8.1.1 PoE的工作原理 126
8.1.2 检测机制 126
8.1.3 供电机制 128
8.2 PoE的风险分析 129
8.3 缓解攻击 130
8.3.1 防御偷电行为 130
8.3.2 防御改变功率攻击 131
8.3.3 防御关闭攻击 131
8.3.4 防御烧毁攻击 131
8.4 总结 132
8.5 参考资料 132
第9章 HSRP适应力强吗 135
9.1 HSRP的工作原理 135
9.2 攻击HSRP 138
9.2.1 DoS攻击 139
9.2.2 中间人攻击 140
9.2.3 信息泄露 140
9.3 缓解HSRP攻击 140
9.3.1 使用强认证 141
9.3.2 依靠网络基础设施 143
9.4 总结 144
9.5 参考资料 144
第10章 能打败VRRP吗 147
10.1 探索VRRP 147
10.2 VRRP的风险分析 150
10.3 缓解VRRP攻击 151
10.3.1 使用强认证 151
10.3.2 依靠网络基础设施 152
10.4 总结 152
10.5 参考资料 152
第11章 Cisco辅助协议与信息泄露 155
11.1 Cisco发现协议 155
11.1.1 深入研究CDP 155
11.1.2 CDP的风险分析 157
11.1.3 缓解CDP的风险 159
11.2 IEEE链路层发现协议 159
11.3 VLAN Trunking协议 160
11.3.1 VTP风险分析 161
11.3.2 VTP风险分析 162
11.4 链路聚合协议 163
11.4.1 风险分析 165
11.4.2 风险缓解 166
11.5 总结 166
11.6 参考资料 167
第2部分 交换机如何抵抗拒绝服务攻击
第12章 拒绝服务攻击简介 171
12.1 DoS攻击和DDoS攻击的区别 171
12.2 发起DDoS攻击 172
12.2.1 僵尸行动（Zombie） 172
12.2.2 Botnet（僵尸群） 173
12.3 DoS和DDoS攻击 174
12.3.1 攻击基础设施 174
12.3.2 遏制针对服务的攻击 175
12.4 利用DoS和DDoS攻击LAN交换机 175
12.4.1 交换机的内部结构 175
12.4.2 三种平面 176
12.4.3 攻击交换机 177
12.5 总结 180
12.6 参考资料 181
第13章 控制平面的监管 183
第14章 屏蔽控制平面协议 209
第15章 利用交换机发现数据平面拒绝服务攻击（DoS） 223
第3部分 用交换机来增强网络安全
第16章 线速访问控制列表 243
第17章 基于身份的网络服务与802.1X 255
第4部分 网络安全的下一步
第18章 IEEE 802.1AE
附录
《局域网交换机安全》是迄今为止国内引进的第一本专门介绍第二层交换环境安全技术的图书。作者在书中通过一个个鲜活的第二层攻击场景，以及针对这些攻击的化解之策，来强调第二层安全的重要性。这些针对第二层协议的攻击场景，囊括了读者所知的任何一种第二层协议(STP、VRRP/HSRP、LACP/PagP、ARP等)。书中给出了针对上述攻击的各种反制措施。
除了攻击与对抗攻击之外，作者还高屋建瓴般地展望了未来以及正在流行的第二层安全体系结构及技术，这包括线速的ACL、IEEE802.1AE、CiscoINBS以及结合IPSec与L2TPv3的安全伪线。读完《局域网交换机安全》之后，读者将会加深对网络整体安全性的理解：网络安全并不能只靠防火墙、入侵检测系统甚至是内容过滤设备。如果没有上述这些设备，在网络的第二层利用交换机同样可以实施网络安全。
《局域网交换机安全》适合从事计算机网络设计、管理和运维工作的工程技术人员阅读，可以帮助网络(安全)工程师、网络管理员快速、高效地掌握各种第二层网络安全技术。《局域网交换机安全》同样可以作为高校计算机和通信专业本科生或研究生学习网络安全的参考资料。
是的，就是光纤交换机 光纤交换机是一种高速的网络传输中继设备，它较普通交换机而言采用了光纤电缆作为传输介质。光纤传输的优点是速度快、抗干扰能力强。 ...
通常将网络中直接面向用户连接或访问网络的部分称为接入层，将位于接入层和核心层之间的部分称为分布层或汇聚层，接入层目的是允许终端用户连接到网络，因此接入层交换机具有低成本和高端口密度特性；汇聚层交换层是...
局域网交换机安全管理分析
局域网交换机安全管理分析
随着信息技术的迅猛发展,如何加强信息资源的完整性和保密性已经成为人们普遍关注的问题。传统意义上的防火墙对于截断外网的计算机对内网的恶意攻击已经不再能起到保证网络安全的作用了。因而处于整个网络核心位置的交换机无可替代地担负了网络安全的重要责任。本文就此探讨了当前局域网交换机安全管理的基本策略。
详细讲解局域网交换机的工作原理
详细讲解局域网交换机的工作原理
中国建筑一局集团装饰公司 赵朝军 局域网交换机是构建网络平台的“基石”， 局域网交换机需要更少的配置， 更小 的空间，更少的布线，价格更便宜，并能提供更高更可靠的性能，企业级交换机 都是机架式，部门级交换机可以是机架式。 举个例子来说：我们发出了一批专门发给某个人的数据包， 如果是在使用普 通集线器的网络环境中， 则每个人都能看到这个数据包。 而在使用了交换机的网 络环境中，交换机将分析这个数据包是发送给谁的， 之后将其进行打包加密， 此 时只有数据包的接收 人才能收到。 从广义上来看， 交换机分为两种： 广域网交换机和局域网交换机。 广域网交 换机主要应用于电信领域， 提供通信用的基础平台。 而局域网交换机则应用于局 域网络，用于连接终端设备，如 PC机及网络打印机等。 从传输介质和传输速度上可分为以太网交换机、 快速以太网交换机、 千兆以 太网交换机、 FDDI交换机、ATM交换机和令