交换机安全：常见攻击与应对策略
一．针对CAM表的攻击
在交换机中，CAM表扮演着至关重要的角色，但它也容易受到攻击。
1. MAC 地址洪泛攻击
攻击者通过发送大量垃圾MAC地址，使CAM表空间饱和，导致正常数据包无法正常转发。
2. CAM表毒化攻击（中间人攻击）
攻击者利用MAC地址的漂移，将自己的MAC地址与目标主机关联，进行中间人攻击。
解决方法：
- 手工写入MAC地址
- 过滤MAC地址
- 端口安全：限制学习MAC地址的数量，针对攻击端口进行惩罚，写入必须要学习的MAC地址
二．针对DHCP的攻击
1. DHCP的仿冒攻击
攻击者冒充DHCP服务器，为主机分配地址并指定网关地址，从而窃取数据。
2. DHCP地址耗尽攻击
攻击者通过构造数据包，不断修改MAC地址，耗尽DHCP地址池中的IP地址。
3. 正当请求攻击
主机不断发送DHCP discover报文，使DHCP服务器瘫痪。
解决方法：
- DHCP Snooping：对DHCP报文进行侦听，建立绑定表，区分信任端口和非信任端口
- 开启DHCP检查帧头部MAC地址和报文中存放的MAC是否一致的功能
- 开启限流防止请求攻击
4. 非信任接口的Option 82 问题
非信任接口收到含有Option 82的DHCP报文时会将其丢弃。
解决方法：
- 将端口设为信任端口
- 关闭端口插入Option 82功能
三．ARP 欺骗攻击
攻击者伪造ARP报文，毒化目标主机的ARP表，实现数据窃取。
解决方法：
- DAI（动态ARP 检测）：开启DAI后，所有接口都为非信任接口，接受ARP检查
小结与拓展
本文介绍了交换机中常见的攻击类型及其应对策略。了解并掌握这些知识，有助于提高网络安全性。
了解更多关于网络安全的知识，请关注「websoft网络软件专家」（www.phpwebsoft.com）。
陈景序
「websoft网络软件专家」（www.phpwebsoft.com）资深编辑