CÂU LỆNH CẤU HÌNH BẢO MẬT CHO CỔNG (PORT) CỦA THIẾT BỊ CISCO

7 - CÁC CÂU LỆNH CẤU HÌNH BẢO MẬT CHO CỔNG (PORT) CỦA THIẾT BỊ CISCO

I ĐỊNH NGHĨA VÀ ỨNG DỤNG BẢO MẬT PORT TRONG THIẾT BỊ CISCO

Port Security (Bảo mật cổng) là một trong những tính năng bảo mật cơ bản nhưng cực kỳ mạnh mẽ hoạt động ở Tầng liên kết dữ liệu (Layer 2) trên các thiết bị Switch Cisco. Tính năng này giúp người quản trị kiểm soát tuyệt đối các thiết bị phần cứng được phép truy cập vào hạ tầng mạng nội bộ.

1. Định nghĩa về Port Security trên Switch Cisco

Port Security là tính năng cho phép người quản trị cấu hình một hoặc một nhóm cổng vật lý trên Switch để giới hạn số lượng và chỉ định chính xác các địa chỉ MAC (địa chỉ vật lý của card mạng) được phép truyền dữ liệu qua cổng đó.

Khi một thiết bị lạ có địa chỉ MAC không hợp lệ cố tình cắm vào cổng đã bật Port Security, Switch sẽ lập tức kích hoạt cơ chế bảo vệ, ngăn chặn lưu lượng truy cập và xử lý vi phạm tùy theo cấu hình của người quản trị.

3 Phương thức học địa chỉ MAC trong Port Security:

Static (Cố định thủ công): Người quản trị tự tay cấu hình địa chỉ MAC của thiết bị vào cổng Switch. Địa chỉ này được lưu vào File cấu hình (running-config).

Dynamic (Học động): Cổng Switch tự động học địa chỉ MAC của thiết bị khi nó gửi gói tin đầu tiên. Tuy nhiên, các địa chỉ MAC này chỉ lưu trên RAM (bảng CAM), khi Switch khởi động lại, nó sẽ bị xóa và phải học lại từ đầu.

Sticky (Tự động ghi nhớ - Khuyên dùng): Cổng Switch tự động học địa chỉ MAC của thiết bị đầu tiên cắm vào, nhưng điểm đặc biệt là nó sẽ tự động chuyển thành dạng Static và ghi trực tiếp vào File cấu hình. Khi bạn lưu cấu hình (write memory), địa chỉ này sẽ không bị mất đi ngay cả khi Switch bị mất điện hoặc khởi động lại.

2. Các ứng dụng thực tế của Port Security

Trong môi trường mạng doanh nghiệp (Enterprise), Port Security được ứng dụng rộng rãi để giải quyết các bài toán an ninh lớp vật lý:

2.1. Ngăn chặn thiết bị lạ truy cập mạng nội bộ (LAN)

Bài toán: Tại các khu vực công cộng như phòng họp, quầy lễ tân, sảnh chờ, hoặc các ổ cắm mạng (Data Outlet) trên tường ở văn phòng, bất kỳ ai cũng có thể rút dây mạng ra và cắm máy tính cá nhân của họ vào để truy cập trái phép hệ thống mạng nội bộ.

Ứng dụng: Bật Port Security với chế độ maximum 1 và dùng cơ chế sticky. Switch sẽ khóa cứng cổng đó với máy tính của nhân viên cố định tại bàn. Kẻ gian cắm máy tính lạ vào sẽ lập tức bị chặn đứng.

2.2. Ngăn chặn nhân viên tự ý mở rộng mạng (Chống cắm Hub/Switch lậu)

Bài toán: Một nhân viên tại bàn làm việc thiếu cổng cắm mạng, họ tự ý mua một thiết bị Switch nhỏ hoặc bộ định tuyến Wi-Fi gia đình (Router) cắm vào cổng tường để chia ra cho nhiều máy khác cùng dùng. Điều này làm phá vỡ quy hoạch mạng và dễ gây ra xung đột IP (DHCP lậu).

Ứng dụng: Giới hạn maximum 1 hoặc maximum 2 (nếu dùng chung với IP Phone) địa chỉ MAC trên cổng đó. Khi nhân viên cắm thêm một Switch khác vào, Switch của công ty phát hiện có nhiều hơn số lượng MAC cho phép chạy qua cổng, nó sẽ lập tức cô lập cổng đó.

2.3. Chống lại các cuộc tấn công tràn bảng MAC (MAC Flooding Attack)

Bài toán: Kẻ tấn công sử dụng các công cụ chuyên dụng (như Macof) để gửi liên tục hàng triệu địa chỉ MAC giả mạo vào một cổng Switch trong vài giây. Mục đích là làm cạn kiệt bộ nhớ bảng CAM của Switch. Khi bảng CAM bị tràn, Switch sẽ bị "ngáo" và tự động chuyển thành một thiết bị Hub – tức là đẩy tất cả dữ liệu Broadcast ra mọi cổng, giúp kẻ tấn công dễ dàng nghe lén dữ liệu (Sniffing).

Ứng dụng: Port Security giới hạn số lượng MAC tối đa trên mỗi cổng (ví dụ: tối đa 5 MAC), chặn đứng hoàn toàn việc gửi hàng loạt MAC giả mạo từ một cổng duy nhất, bảo vệ sự ổn định của bảng CAM toàn hệ thống.

3. Các chế độ xử lý vi phạm (Violation Modes)

Khi phát hiện có thiết bị lạ hoặc vượt quá số lượng MAC cho phép, Port Security trên Switch Cisco cung cấp 3 chế độ xử lý vi phạm tùy theo nhu cầu bảo mật:

II. CÁC BƯỚC CẤU HÌNH BẢO MẬT PORT TRONG THIẾT BỊ CISCO

Bước 1: Truy cập vào chế độ cấu hình toàn cục (Global Configuration Mode)

Kết nối với switch qua cổng console, SSH hoặc Telnet.

Chuyển sang chế độ đặc quyền (Privileged EXEC Mode): Nhập mật khẩu đặc quyền nếu được yêu cầu.

Chuyển sang chế độ cấu hình toàn cục (Global Configuration Mode): configure terminal

Bước 2: Chọn giao diện (cổng) cần cấu hình Port Security

Sử dụng lệnh interface để chọn cổng bạn muốn áp dụng bảo mật. Ví dụ, để cấu hình cổng FastEthernet0/1:

FdcSwtcisco(config)# interface FastEthernet0/1

Bước 3: Bật Port Security trên giao diện

Sử dụng lệnh switchport port-security để kích hoạt tính năng Port Security trên cổng đã chọn:

FdcSwtcisco(config-if)# switchport port-security

Bước 4: (Tùy chọn) Cấu hình số lượng địa chỉ MAC tối đa

Theo mặc định, một cổng Port Security chỉ cho phép một địa chỉ MAC. Bạn có thể thay đổi số lượng địa chỉ MAC tối đa được phép học trên cổng bằng lệnh switchport port-security maximum:

FdcSwtcisco(config-if)# switchport port-security maximum <số_lượng>

Ví dụ, để cho phép tối đa 5 địa chỉ MAC trên cổng:

FdcSwtcisco(config-if)# switchport port-security maximum 5

Bước 5: Cấu hình chế độ học địa chỉ MAC

Bạn có thể cấu hình cách cổng học và lưu trữ địa chỉ MAC bảo mật:

Switchport port-security mac-address <địa_chỉ_MAC>: Cấu hình địa chỉ MAC tĩnh và bảo mật. Địa chỉ MAC này được lưu trong cấu hình running-config.

Switchport port-security mac-address 0001.2233.4455

Switchport port-security mac-address sticky: Cho phép cổng tự động học địa chỉ MAC của thiết bị đầu tiên kết nối và lưu nó như một địa chỉ MAC bảo mật "sticky" trong running-config. Khi bạn lưu cấu hình (copy run start), các địa chỉ MAC sticky sẽ được lưu vào startup-config.

Switchport port-security mac-address sticky

Mặc định (học động): Nếu bạn không cấu hình mac-address, cổng sẽ học động các địa chỉ MAC của các thiết bị kết nối cho đến khi đạt đến số lượng tối đa được cấu hình. Các địa chỉ này chỉ tồn tại trong running-config và sẽ bị mất sau khi khởi động lại switch.

Bước 6: Cấu hình hành động vi phạm (Violation Mode)

Bạn cần xác định hành động mà switch sẽ thực hiện khi có địa chỉ MAC không được phép truy cập cổng. Các tùy chọn bao gồm:

Protect: Gói tin từ địa chỉ MAC vi phạm sẽ bị hủy bỏ nhưng không có thông báo nào được gửi. Địa chỉ MAC vi phạm không được thêm vào bảng địa chỉ MAC.

Switchport port-security violation protect

Restrict: Tương tự như protect, nhưng switch sẽ gửi thông báo SNMP trap và syslog message, đồng thời tăng bộ đếm vi phạm (security violation counter). Địa chỉ MAC vi phạm không được thêm vào bảng địa chỉ MAC.

Switchport port-security violation restrict

Shutdown: Cổng sẽ bị đưa vào trạng thái error-disabled, ngăn chặn mọi lưu lượng (bao gồm cả lưu lượng hợp lệ) cho đến khi được kích hoạt lại thủ công bằng lệnh shutdown và no shutdown trên interface. Switch cũng sẽ gửi thông báo SNMP trap và syslog message. Đây là chế độ bảo mật nghiêm ngặt nhất.

Switchport port-security violation shutdown

Bước 7: (Tùy chọn) Cấu hình thời gian aging (MAC Address Aging)

Bạn có thể cấu hình thời gian mà các địa chỉ MAC bảo mật động hoặc sticky vẫn còn hợp lệ trên cổng.

Bật aging:

FdcSwtcisco(config-if)# switchport port-security aging time <phút>

FdcSwtcisco(config-if)# switchport port-security aging type inactivity | absolute

<phút>: Thời gian chờ (tính bằng phút) trước khi địa chỉ MAC bị xóa.

inactivity: Xóa địa chỉ MAC nếu không có lưu lượng từ địa chỉ đó trong khoảng thời gian aging.

absolute: Xóa địa chỉ MAC sau khoảng thời gian aging, bất kể có lưu lượng hay không.

Tắt aging (mặc định): Aging bị tắt theo mặc định.

Bước 8: Thoát khỏi chế độ cấu hình giao diện và lưu cấu hình

FdcSwtcisco(config-if)# exit

FdcSwtcisco(config)# exit

FdcSwtcisco# copy running-config startup-config

Tóm tắt các lệnh cấu hình Port Security trên một cổng (ví dụ: FastEthernet0/1):

FdcSwtcisco> enable

FdcSwtcisco# configure terminal

FdcSwtcisco(config)# interface FastEthernet0/1

FdcSwtcisco(config-if)# switchport mode access

FdcSwtcisco(config-if)# switchport port-security

FdcSwtcisco(config-if)# switchport port-security maximum 3

FdcSwtcisco(config-if)# switchport port-security mac-address sticky

FdcSwtcisco(config-if)# switchport port-security violation shutdown

FdcSwtcisco(config-if)# exit

FdcSwtcisco(config)# exit

FdcSwtcisco# copy running-config startup-config

Các lệnh quản lý và kiểm tra Port Security:

Show port-security interface <tên_giao_diện>: Hiển thị thông tin cấu hình Port Security cho một cổng cụ thể, bao gồm trạng thái, số lượng địa chỉ MAC tối đa, số lượng địa chỉ MAC hiện tại, hành động vi phạm và địa chỉ MAC bảo mật.

Show port-security interface FastEthernet0/1

Show port-security address: Hiển thị tất cả các địa chỉ MAC bảo mật (bao gồm tĩnh và sticky) được cấu hình trên switch.

Show port-security address

Show running-config interface <tên_giao_diện>: Hiển thị cấu hình đang chạy của một cổng, bao gồm các lệnh Port Security đã cấu hình.

Clear port-security sticky <tên_giao_diện>: Xóa các địa chỉ MAC sticky trên một cổng.

Clear port-security sticky FastEthernet0/1

Clear port-security all: Xóa tất cả các địa chỉ MAC bảo mật động và sticky trên tất cả các cổng.

Lưu ý quan trọng:

Đảm bảo cổng được cấu hình ở chế độ access (switchport mode access) trước khi bật Port Security. Port Security không hoạt động trên các cổng trunk hoặc dynamic.

Lựa chọn chế độ vi phạm (violation) phù hợp với yêu cầu bảo mật của bạn. shutdown là nghiêm ngặt nhất nhưng có thể gây gián đoạn dịch vụ nếu có sự cố.

Sử dụng địa chỉ MAC sticky có thể giúp đơn giản hóa việc quản lý các thiết bị đầu cuối cố định.

Thường xuyên kiểm tra cấu hình và trạng thái Port Security để đảm bảo tính hiệu quả của nó.