Quản trị static mac entry trên cisco switch

[ThanhQuyen]

[CCNP ENCOR] KỸ THUẬT QUẢN LÝ BẢNG ĐỊA CHỈ MAC QUAN TRỌNG TRÊN TRÊN CISCO SWITCH (STATIC MAC ENTRY)


Trong kiến trúc mạng Chuyển mạch Lớp 2 (Layer 2 Switched Campus), bảo mật tầng biên tại các cổng Switch là yếu tố quyết định tính toàn vẹn của dữ liệu nội bộ. Cơ chế hoạt động mặc định của Switch dựa trên tiến trình học địa chỉ MAC động (Dynamic Learning). Tuy nhiên, tính chất tự động này tiềm ẩn những lỗ hổng lớn trước các kỹ thuật tấn công giả mạo. Việc áp dụng các cấu hình địa chỉ MAC tĩnh (Static MAC Address Entry) là giải pháp quản trị chuyên sâu giúp cố định hóa sơ đồ định tuyến Lớp 2 và ngăn chặn triệt để các nguy cơ an ninh mạng. 1. Rủi ro hệ thống từ cơ chế học động địa chỉ MAC


Một Switch tiêu chuẩn xây dựng bảng tương thích CAM (Content Addressable Memory) thông qua việc phân tích trường địa chỉ MAC nguồn (Source MAC) của các khung dữ liệu (Frame) đi vào cổng vật lý. Khi nhận được một gói tin có địa chỉ MAC nguồn mới, Switch tự động cập nhật hoặc ghi đè bản ghi cũ để liên kết địa chỉ đó với cổng interface hiện tại.
Kẻ tấn công có thể lợi dụng lỗ hổng này thông qua hình thức Tấn công giả mạo địa chỉ MAC (MAC Address Spoofing). Bằng cách phát tán liên tục các Frame mang địa chỉ mạng giả mạo của một thiết bị trọng yếu trong hệ thống (chẳng hạn như Gateway hoặc Server), kẻ tấn công ép buộc Switch liên tục cập nhật và chuyển hướng luồng dữ liệu của thiết bị hợp pháp sang cổng vật lý của chúng. Điều này trực tiếp dẫn đến hiện tượng rò rỉ dữ liệu hoặc nghẽn mạch cục bộ. 2. Cơ chế thực thi của giải pháp Static MAC Entry


Giải pháp Static MAC Entry cho phép kỹ sư quản trị can thiệp thủ công để cố định hóa mối quan hệ giữa một địa chỉ phần cứng cụ thể, phân vùng mạng ảo (VLAN) và cổng giao tiếp vật lý. Quy tắc phủ quyết hệ thống (Overrule System):


Trong hệ điều hành Cisco IOS, một bản ghi địa chỉ MAC cấu hình tĩnh (Static) luôn sở hữu mức độ ưu tiên tuyệt đối so với các bản ghi cấu hình động (Dynamic). Khi một Static Entry được thiết lập, Switch sẽ khóa chặt tuyến đường Lớp 2 này tại tầng phần cứng. Mọi nỗ lực gửi Frame giả mạo từ các cổng vật lý khác nhằm thay đổi ánh xạ của địa chỉ MAC đó đều bị hệ thống phớt lờ, bảo vệ an toàn cho lộ trình di chuyển của dòng dữ liệu. Các bản ghi tĩnh này tồn tại vĩnh viễn trong bộ nhớ và không chịu ảnh hưởng bởi thời gian lão hóa (Aging Time) của bảng CAM. Cơ chế hủy bỏ lưu lượng nâng cao (Drop MAC Entry):


Bên cạnh việc định tuyến cố định, kỹ thuật Static MAC còn hỗ trợ tính năng loại bỏ gói tin (Drop). Khi phát hiện một địa chỉ MAC độc hại hoặc một thiết bị vi phạm chính sách an ninh, quản trị viên có thể cấu hình Switch tự động hủy bỏ (Drop/Discard) tất cả các Frame có nguồn hoặc đích từ địa chỉ MAC này ngay khi chúng tiếp cận phần cứng Switch, cô lập hoàn toàn thiết bị đó khỏi mạng nội bộ. 3. Triển khai cấu hình và xác thực hệ thống trên Cisco IOS


Tiến trình cấu hình được thực thi trực tiếp tại chế độ toàn cục (Global Configuration Mode) của Cisco Switch. Địa chỉ MAC được chuẩn hóa theo định dạng đặc trưng của Cisco (bao gồm ba nhóm, mỗi nhóm bốn ký tự hexa phân cách bằng dấu chấm). 3.1. Cấu hình gán địa chỉ MAC tĩnh vào một cổng cụ thể


Để liên kết vĩnh viễn địa chỉ MAC của một thiết bị cốt lõi (ví dụ: aaaa.bbbb.cccc) vào cổng interface FastEthernet 0/1 thuộc phân vùng mạng VLAN 1, câu lệnh thực hiện như sau:
Plaintext
Switch(config)# mac address-table static aaaa.bbbb.cccc vlan 1 interface fastEthernet 0/1 3.2. Cấu hình cô lập và hủy bỏ lưu lượng (Drop MAC)


Để thiết lập cơ chế lọc bỏ toàn bộ lưu lượng liên quan đến một thiết bị mang địa chỉ phần cứng độc hại (ví dụ: xxxx.yyyy.zzzz), câu lệnh áp dụng:
Plaintext
Switch(config)# mac address-table static xxxx.yyyy.zzzz vlan 1 drop 3.3. Giám sát và kiểm chứng trạng thái vận hành


Để xác thực độ chính xác của các chính sách bảo mật đã thiết lập trên bảng CAM, kỹ sư sử dụng câu lệnh quản trị chuyên dụng:
Plaintext
Switch# show mac address-table static

Hệ thống sẽ kết xuất trạng thái cấu trúc dữ liệu tường minh:
Plaintext
Mac Address Table
-------------------------------------------

Vlan Mac Address Type Ports
---- ----------- ---- -----
1 aaaa.bbbb.cccc STATIC Fa0/1
1 xxxx.yyyy.zzzz STATIC Drop

• Tại cột Type, trạng thái được ghi nhận là STATIC (thay vì DYNAMIC), minh chứng bản ghi đã được bảo vệ nâng cao.

• Tại cột Ports, hệ thống chỉ định rõ cổng đích xử lý Fa0/1 đối với cấu hình chuyển tiếp, hoặc nhãn Drop đối với cấu hình loại bỏ lưu lượng độc hại.

LÀM CHỦ CÁC GIẢI PHÁP BẢO MẬT HẠ TẦNG CHUYỂN MẠCH TẠI VNPRO
Kỹ thuật quản trị bảng CAM, cấu hình Static MAC Entry cùng các giải pháp phòng chống tấn công Lớp 2 nâng cao (như Port Security, DHCP Snooping, Dynamic ARP Inspection) là học phần thực hành chuyên sâu cốt lõi thuộc chương trình đào tạo kỹ sư mạng CCNA và CCNP Enterprise. Để trực tiếp tối ưu hóa và xây dựng các rào chắn bảo mật hạ tầng mạng Switch Campus trên hệ thống Lab thiết bị thật Cisco chính hãng, quý học viên có thể tham khảo lộ trình đào tạo bài bản tại VnPro.

• Hotline/Zalo hỗ trợ tư vấn: 093 3427 079

• Website: vnpro.vn