ZyXEL Ethernet Switch Security Switching in Layer 2+ und Layer 3+

Transkript

1 ZyXEL Ethernet Switch Security Switching in Layer 2+ und Layer 3+ Ulrich Eska ZyXEL Deutschland GmbH Oranienburg, 11. Oktober 2006

2 ZyXEL im Überblick Gegründet: August 1989 von Dr. Shun-I Chu Mitarbeiter: 2100 Angestellte weltweit (Dez. 2005) Firmensitz: Hsinchu Science Park, Taiwan

3 ZyXEL Produktbereiche Telco/ISP Businesses Homes >> Multi-Service IP DSLAM >> VDSL Switch >> Edge Switch >> ADSL/G.SHDSL/VDSL CPE >> VoIP CPE >> Video/Multimedia CPE >> Multimedia Auto Provisioning Solution >> Central Mgmt Software >> L2/L3 Switch >> Network Security Appliance >> Security Alert Platform >> Business WLAN Solution >> Hot Spot WLAN Solution >> Central Mgmt Software/Appliance >> Product & Service platform >> Broadband Router >> WLAN AP/Clients >> Desktop Switch >> VoIP Device

4 Agenda Layer 2 Switching Standard VLAN Layer 2+ Switching Security Port Mirroring Link Aggregation IGMP Multicast Layer 3+ Switching Redundanz mit OSPF und VRRP

5 Layer 2 Switching Security im L2 Ethernet Switch Wozu benötigen wir dies? Abgrenzung verschiedener Abteilungen durch VLAN

6 Layer 2 Switching

7 Layer 2 Switching VLAN

8 Layer 2 Switching VLAN

9 Layer 2+ Switching Erweiterte Security im L2+ Ethernet Switch - static MAC Forwarding; So wird mein Server für den Angreifer unerreichbar - limited Number of learned MAC; Grenzen Sie die Useranzahl auf dem Switch ein - Port Security; Legen Sie fest, wer Daten an den Switch senden darf - dedizierte MAC Adressen; Grenzen Sie den Nutzer genau ein x; Bleiben Sie flexibel durch den Radius Login - Port Mirroring; Wodurch wird der Traffic verursacht?

10 Static MAC Forwarding MAC 00:a0:c5:00:00:01 VID 10 Port 1 Wird weitergeleitet zu Port Dest. 00:a0:c5:00:00:01 VID:10 00:a0:c5:00:00:01

11 Static MAC Forwarding

12 Limit Number of Learned MAC MAC 00:a0:c5:00:00:01 00:a0:c5:00:00:03 VID Port 3 3 Die MAC Adresse des PC1 und PC3 wurde durch den Switch erlernt Limit MAC Number = Die MAC Adresse kann nicht vom Switch erlernt werden Der Traffic von PC 2 kann weiterhin zu allen Ports geleitet werden PC 1 PC 2 PC 3 00:a0:c5:00:00:01 00:a0:c5:00:00:02 00:a0:c5:00:00:03

13 Port Security MAC 00:a0:c5:00:00:01 VID 10 Port Wird verworfen da kein 00:a0:c5:00:00:02 Eintrag im MAC table Src. 00:a0:c5:00:00:01 Src. 00:a0:c5:00:00:02 pc1 pc2

14 Port Security

15 Port Security mit Static MAC MAC 00:a0:c5:00:00:01 00:a0:c5:00:00:03 VID Port 3 3 Port Security = Enable Address Learning = disable Die MAC Adresse des PC 1 und PC 3 sind durch den Admin erfasst. Die Adress-Learning Funktion des Port 3 ist ausgeschaltet, dadurch kann die MAC Adresse des PC2 nicht erlernt werden. Der Traffic von PC2 wird geblockt, da der PC nicht in der MAC Tabelle erfasst wurde PC 1 PC 2 PC 3 00:a0:c5:00:00:01 00:a0:c5:00:00:02 00:a0:c5:00:00:03

16 802.1X Port Authentication Wird geblockt, falls der Client keine Authentfizierung bekommt Radius Server 802.1x Client PC x Client PC2

17 Port Mirroring Monitor the traffic on other ports Mirror Port: Copied frames Source Destination Monitor PC

18 Port Mirroring

19 Layer 2+ Switching Erweiterte Funktionen im L2+ Ethernet Switch - Link Aggregation; Bündeln Sie die Bandbreite - IGMP Snooping; Nutzen Sie die Inetlligenz des Netzes um Bandbreiten zu schonen

20 Link Aggregation PC Die Verteilung des Traffic ist basierend Auf der Quell- und Ziel- MAC Adresse des Ethernet frames. Der Traffic von mehreren Clients wird über eine Trunk Group Verbindung geleitet. Link Aggregation Ports PC 1

21 IGMP / Multicast Quelle Ziel Unicast Eine Ein Broadcast Eine Alle Multicast Eine Gruppe

22 Ohne IGMP Snooping Video server Multicast Traffic IGMP Router Switch ohne IGMP Snooping Empfänger Emfänger Empfänger Kein Empfänger

23 Mit IGMP Snooping Video server Multicast Traffic IGMP Router Switch w/ IGMP Snooping Emfänger Emfänger Emfänger Kein Emfänger

24 Layer 3+ Switching Q: Warum L3 Switching? A: Redundanz

25 OSPF Open Shortest Path First x Bereich 1 Bereich 2 Backbone Bereich 3

26 VRRP Virtual Router Redundancy Protocol x VR Master x Virtual router VR Backup Ohne VRRP Mit VRRP

27 VRRP / Backup Uplink Gateway Virtual Router VRID1 unavailable Master VRID1 Backup Master VRID1: PC1 Gateway: PC2 Gateway:

28 VRRP / Load Sharing Uplink Gateway Virtual Router 1 Virtual Router 2 VRID1 Unavailable Master VRID1 Backup Master VRID2 Backup VRID2 Master VRID1: VRID2: PC1 Gateway: PC2 Gateway:

29 Exceed the Limits Enrich the Service