4-6STP操纵攻击与缓解.pptxVIP

项目4局域网安全技术

STP操纵攻击与缓解06.

STP的恶意操纵攻击攻击主机广播STP桥协议数据单元（BPDU），其中包含配置和拓扑更改，这些更改将强制生成树重新计算，如左图所示。攻击主机发送BPDU宣布较低的网桥优先级，以尝试被选作根网桥。如果成功，攻击主机将成为根网桥，如右图所示，这种情况下攻击主机就可以捕获原本无法访问的各种帧。另外，攻击者也可能尝试使用劣质交换机作为根网桥，严重影响网络的性能。

STP攻击的缓解措施在实际应用中，为了提高端口状态变迁速度，达到提升网络中生成树的弹性目的，可以在交换机接口配置模式和全局配置模式下启用PortFast功能。将交换机上的接口设置为PortFast接口后，如果这个接口连接到其他交换机上，就可能造成环路问题或者原有根交换机失去根交换机地位的问题。为了避免这种情况发生，可以在网络中的交换机上配置BPDUGuard和RootGuard。

缓解STP攻击实践如图所示的网络拓扑中，在网络里加入一台非法交换机S4，优先级比S1还要小，原有根交换机S1就会失去根交换机地位，造成链路动荡不稳定。为了避免STP攻击问题带来的安全风险发生，可以采取PortFast、根防护和BPDU防护来缓解。

缓解STP攻击实践（1）查看根交换机。分别在S1、S2、S3上执行showspanning-tree命令，确认哪一台交换机是根交换机。（2）接入非法交换机S4。1）查看S4的优先级状态，执行showspanning-tree命令。其优先级是32768，目前角色不是根交换机。2）修改非法桥优先级为0，使其成为根交换机。执行spanning-treevlan1priority0命令，然后执行showspanning-tree命令，发现S4交换机成为根交换机，这会对网络造成很大危害。

缓解STP攻击实践（3）保护原有根网桥地位。1）激活端口PortFast特性。在交换机S1的fa0/4接口配置模式下，执行spanning-treeportfast命令，激活该接口的PortFast特性。2）启用根防护功能。保护现有根网桥的地位，以防被其他交换机取代。配置了根防护的端口，只能成为指定端口，将无法成为根端口（根交换机上没有根端口）。在接口配置模式下，配置根防护：Switch(config)#interfacefastEthernet0/4Switch(config-if)#spanning-treeguardroot可以立刻发现S1提示端口fa0/4进入到根不一致状态。

缓解STP攻击实践将S4交换机的优先级改为比S1高的数值，必须是4096的倍数且最大为61440，即：S4(config)#spanning-treevlan1priority61440由于S1没有收到比它更优的BPDU，一段时间后端口就会取消阻塞依次进入STP状态过渡，最终进入转发模式。执行showspanning-tree命令分别查看S1和S4角色，发现根交换机从S4变成了S1，根防护成功。

缓解STP攻击实践（4）BPDU防护。配置PortFast端口不应收到BPDU，以免产生环路。如果启用BPDU防护的端口收到BPDU，则端口进入错误禁用状态。进入到S1的fa0/4接口并为它配置BPDU防护：Switch(config)#interfacefastEthernet0/4Switch(config-if)#spanning-treebpduguardenable由于S1的fa0/4接口收到BPDU，所以该端口直接进入错误禁用状态，直到管理员手动打开端口或者设置超时时间让端口再次打开。如果这时候仍能收到BPDU，那么此接口将会再次关闭。

谢谢！