端口安全概述

Junos OS 通过控制转发和服务平面的分离得到了强化，每个功能都在受保护的内存中运行。控制平面 CPU 受到速率限制、路由策略和防火墙过滤器的保护，即使在遭受严重攻击的情况下也能确保交换机正常运行。

Junos OS 提供的功能有助于保护设备上的端口。端口可分为受信任或不受信任。您可以应用适用于每个类别的策略，以保护端口免受各种类型的攻击。

动态地址解析协议 （ARP） 检测、DHCP 侦听和 MAC 限制等访问端口安全功能通过单个 Junos OS CLI 命令进行控制。基本端口安全功能在设备的默认配置中启用。您可以使用最少的配置步骤配置其他功能。根据特定功能，您可以在 VLAN 或桥接域接口上配置该功能。

从 Junos OS 18.4R1 版开始，以下瞻博网络系列交换机（EX2300、EX4600 和 QFX5K）的可信端口上会发生 DHCP 侦听。在 Junos OS 18.4R1 版之前，对于这些设备，仅对 DHCPv6 侦听适用。此外，运行 Junos OS 19.1R1 及更高版本的 EX9200 系列交换机和 Fusion Enterprise 的可信端口上会发生 DHCP 侦听。

瞻博网络 EX 系列以太网交换机提供以下硬件和软件安全功能：

Console Port— 允许使用控制台端口通过 RJ-45 电缆连接到路由引擎。然后，使用命令行界面 （CLI） 配置交换机。

Out-of-Band Management—后面板上的专用管理以太网端口可实现带外管理。

Software Images—所有 Junos OS 映像均由瞻博网络证书颁发机构 （CA） 使用公钥基础架构 （PKI） 进行签名。

User Authentication, Authorization, and Accounting (AAA)—功能包括：

• 具有密码加密和身份验证功能的用户帐户和组帐户。

• 可为登录类和用户模板配置访问权限级别。

• RADIUS 身份验证和/或 TACACS+ 身份验证，用于对尝试访问交换机的用户进行身份验证。

• 通过系统日志记录或 RADIUS/TACACS+ 审核配置更改。

802.1X Authentication— 提供网络访问控制。请求方（主机）在最初连接到 LAN 时进行身份验证。在请求方从 DHCP 服务器接收 IP 地址之前对其进行身份验证可防止未经授权的请求方访问 LAN。EX 系列交换机支持可扩展身份验证协议 （EAP） 方法，包括 EAP-MD5、EAP-TLS、EAP-TTLS 和 EAP-PEAP。

Port Security—交换设备支持的接入端口安全功能包括：

• DHCP 侦听 — 过滤和阻止不受信任端口上的入口动态主机配置协议 （DHCP） 服务器消息，并构建和维护 DHCP 租用信息数据库，该数据库称为 DHCP 侦听数据库。

  注意：

  在交换设备的默认配置中未启用 DHCP 侦听。在 VLAN 或网桥域上启用了 DHCP 侦听。启用 DHCP 侦听的详细信息取决于特定设备。

• 可信 DHCP 服务器 — 在可信端口上配置 DHCP 服务器可防止恶意 DHCP 服务器发送租约。您可以在接口（端口）上启用此功能。默认情况下，接入端口不受信任，中继端口受信任。（接入端口是连接到以太网端点（如用户 PC 和笔记本电脑、服务器和打印机）的交换机端口。中继端口是将以太网交换机连接到其他交换机或路由器的交换机端口。）

• DHCPv6 侦听 — 适用于 IPv6 的 DHCP 侦听。

• DHCP 选项 82 — 也称为“DHCP 中继代理信息”选项。此 DHCPv4 功能有助于保护交换设备免受攻击，例如 IP 地址和 MAC 地址欺骗以及 DHCP IP 地址资源不足。Option 82 提供有关 DHCP 客户端网络位置的信息，DHCP 服务器使用此信息为客户端实现 IP 地址或其他参数。

• DHCPv6 选项 37 — 选项 37 是 DHCPv6 的远程 ID 选项，用于将有关远程主机网络位置的信息插入到 DHCPv6 数据包中。您可以在 VLAN 上启用选项 37。

  注意：

  MX 系列不支持使用选项 37 进行 DHCPv6 侦听。

• DHCPv6 选项 18 — 选项 18 是 DHCPv6 的电路 ID 选项，用于将有关客户端端口的信息插入 DHCPv6 数据包中。此选项包括可以选择配置的其他详细信息，例如前缀和接口说明。

• DHCPv6 选项 16 — 选项 16 是 DHCPv6 的供应商 ID 选项，用于将有关客户端硬件供应商的信息插入 DHCPv6 数据包中。

• 动态 ARP 检查 （DAI） — 防止地址解析协议 （ARP） 欺骗攻击。将 ARP 请求和回复与 DHCP 侦听数据库中的条目进行比较，并根据这些比较结果做出过滤决策。您可以在 VLAN 上启用 DAI。

• IPv6 邻居发现检查 — 防止 IPv6 地址欺骗攻击。将邻居发现请求和回复与 DHCPv6 侦听数据库中的条目进行比较，并根据这些比较结果做出过滤决策。您可以在 VLAN 上启用邻居发现检查。

• IP 源保护 — 减轻 IP 地址欺骗攻击对以太网 LAN 的影响。启用 IP 源保护后，将根据 DHCP 侦听数据库验证从不受信任的访问接口发送的数据包中的源 IP 地址。如果无法验证数据包，则会将其丢弃。您可以在 VLAN 或网桥域上启用 IP 源保护。

• IPv6 源保护 — IPv6 的 IP 源保护。

• MAC 限制 — 防止以太网交换表（也称为 MAC 转发表或第 2 层转发表）泛洪。您可以在接口上启用 MAC 限制。

• MAC 移动限制 — 跟踪 MAC 移动并检测接入端口上的 MAC 欺骗。您可以在 VLAN 或网桥域上启用此功能。

• 持久 MAC 学习 — 也称为粘性 MAC。持久 MAC 学习使接口能够在交换机重新启动时保留动态学习的 MAC 地址。您可以在接口上启用此功能。

• 无限制代理 ARP — 交换机使用自己的 MAC 地址响应所有 ARP 消息。连接到交换机接口的主机无法直接与其他主机通信。相反，主机之间的所有通信都通过交换机。

• 受限代理 ARP — 如果 ARP 请求的源和目标的物理网络相同，交换机不会响应 ARP 请求。目标主机的 IP 地址与传入接口相同，还是具有不同的（远程）IP 地址，这并不重要。对广播地址的 ARP 请求不会引发任何回复。

Device Security— 风暴控制允许交换机监控未知单播和广播流量，并在超过指定流量级别时丢弃数据包、关闭或暂时禁用接口，从而防止数据包扩散和降级 LAN。您可以在接入接口或中继接口上启用风暴控制。

Encryption Standards—支持的标准包括：

• 128 位、192 位和 256 位高级加密标准 （AES）

• 56 位数据加密标准 （DES） 和 168 位 3DES

• 缓解以太网交换表溢出攻击
• 缓解恶意 DHCP 服务器攻击
• 防范 ARP 欺骗攻击（不适用于 QFX10000 系列交换机）
• 防范 DHCP 侦听数据库变更攻击（不适用于 QFX10000 系列交换机）
• 针对 DHCP 资源不足攻击的防护

您可以在交换机的不可信端口上配置 DHCP 侦听、动态 ARP 检测 （DAI）、MAC 限制、持久 MAC 学习和 MAC 移动限制，以保护交换机和以太网 LAN 免受地址欺骗和第 2 层拒绝服务 （DoS） 攻击。您还可以为交换机接口配置可信的 DHCP 服务器和特定（允许的）MAC 地址。

此示例介绍如何在交换机上配置基本端口安全功能：