[na]交换机原理/macof

交换机的工作原理

• 简单来说,就是根据源mac学习-->形成cam表,根据cam表转发. 正常情况下先arp广播,sw收到后发到本vlan所有出口,所有机器学习更新arp缓存. 目标机返回单播arp reply送给这个机器. 然后传输数据(单播). 也一定程度上避免了流量的胡窜,保证了安全.

sw的端口转发(安全)也依赖于交换矩阵
参考

cam表每个条目的寿命默认5min.

Implementing Cisco IP Switched Networks (SWITCH) Foundation Learning Guide: Network Design Fundamentals

• 关键是这个cam表容量是有限的.

• 如果交换机的cam表学习满了, 在收到单播包,则从所有接口发出,这就偏离了交换机口的安全

macof工具伪造源目mac+源目ip,大量一些ip包.

填充满交换机的cam表, 导致交换机对未知单播包进行广播发送. 失去了安全性.

参考: MAC泛洪攻击: 抓取未知单播的流量:分析ftp密码

解决策略:
限制sw每个口能学到的mac地址数,(开启端口安全)

dhcp防耗尽攻击也用的这个策略防御.

[Core_Sw]dis mac-address 
-------------------------------------------------------------------------------
MAC Address    VLAN/VSI                          Learned-From        Type      
-------------------------------------------------------------------------------
000b-2f7f-ebb5 11/-                              GE0/0/7             dynamic   
000c-295b-268d 11/-                              GE0/0/1             dynamic   
0026-735a-e641 11/-                              GE0/0/7             dynamic   
0026-73a7-2061 11/-                              GE0/0/7             dynamic   
0026-73b5-df41 11/-                              GE0/0/5             dynamic   
0026-73b7-d330 11/-                              GE0/0/2             dynamic