端口安全概述

Junos OS 通过控制转发和服务平面的分离得到强化，每个功能都在受保护的内存中运行。控制平面 CPU 受速率限制、路由策略和防火墙过滤器的保护，以确保交换机即使在遭受严重攻击时的正常运行时间。

Junos OS 提供的功能可帮助保护设备上的端口。端口可分类为可信或不可信。您可应用适合各个类别的策略，以保护端口免遭各种类型的攻击。

接入端口安全功能（如动态地址解析协议 （ARP） 检测、DHCP 侦听和 MAC 限制）通过单个 Junos OS CLI 命令进行控制。设备默认配置中启用了基本端口安全功能。您可以使用最少的配置步骤配置其他功能。根据特定功能，您可以在 VLAN 或桥接域接口上配置此功能。

从 Junos OS 18.4R1 版开始，DHCP 侦听发生在以下瞻博网络系列交换机、EX2300、EX4600 和 QFX5K 的可信端口上。对于这些设备，在 Junos OS 18.4R1 版之前，这仅适用于 DHCPv6 侦听。此外，运行 Junos OS 版本 19.1R1 和更高版本的 EX9200 系列交换机和 Fusion Enterprise 的可信端口上还存在 DHCP 侦听。

瞻博网络 EX 系列以太网交换机提供以下硬件和软件安全功能：

Console Port— 允许使用控制台端口通过 RJ-45 电缆连接到路由引擎。然后，您可以使用命令行界面 （CLI） 来配置交换机。

Out-of-Band Management— 后面板上的专用管理以太网端口允许带外管理。

Software Images— 所有 Junos OS 映像均由瞻博网络证书授权机构 （CA） 与公钥基础架构 （PKI） 签署。

User Authentication, Authorization, and Accounting (AAA)— 功能包括：

• 具有密码加密和身份验证的用户和组帐户。

• 可为登录类和用户模板配置的访问权限级别。

• RADIUS 身份验证、TACACS+ 身份验证或两者同时用于验证尝试访问交换机的用户。

• 通过系统日志记录或 RADIUS/TACACS+审核配置更改。

802.1X Authentication—提供网络接入控制。请求方（主机）最初连接到 LAN 时会经过身份验证。在请求者从 DHCP 服务器接收 IP 地址之前进行身份验证可防止未经授权的请求者访问 LAN。EX 系列交换机支持可扩展身份验证协议 （EAP） 方法，包括 EAP-MD5、EAP-TLS、EAP-TTLS 和 EAP-PEAP。

Port Security— 交换设备上支持的接入端口安全功能包括：

• DHCP 侦听 — 在不受信任的端口上过滤并阻止入口动态主机配置协议 （DHCP） 服务器消息，并构建和维护 DHCP 租赁信息数据库，该数据库称为 DHCP 侦听数据库。

  注意：

  交换设备的默认配置中未启用 DHCP 侦听。DHCP 侦听在 VLAN 或桥接域上启用。启用 DHCP 侦听的详细信息取决于特定设备。

• 可信 DHCP 服务器 — 在可信端口上配置 DHCP 服务器可防止恶意 DHCP 服务器发送租赁。您可在接口（端口）上启用此功能。默认情况下，接入端口不受信任，中继端口可信。（接入端口是连接到以太网端点（例如用户 PC 和笔记本电脑、服务器和打印机）的交换机端口。中继端口是将以太网交换机连接到其他交换机或路由器的交换机端口。）

• DHCPv6 侦听 — 面向 IPv6 的 DHCP 侦听。

• DHCP option 82 — 又称为 DHCP 中继代理信息选项。此 DHCPv4 功能有助于保护交换设备免遭诸如欺骗 IP 地址、MAC 地址和 DHCP IP 地址缺乏等攻击。Option 82 提供有关 DHCP 客户端网络位置的信息，而 DHCP 服务器则使用此信息为客户端实施 IP 地址或其他参数。

• DHCPv6 选项 37 — Option 37 是 DHCPv6 的远程 ID 选项，用于将有关远程主机网络位置的信息插入 DHCPv6 数据包中。您可在 VLAN 上启用 option 37。

  注意：

  MX 系列不支持使用 option 37 进行 DHCPv6 侦听。

• DHCPv6 选项 18 — Option 18 是 DHCPv6 的电路 ID 选项，用于将有关客户端端口的信息插入 DHCPv6 数据包中。此选项包括可选择配置的其他详细信息，例如前缀和接口说明。

• DHCPv6 选项 16 — Option 16 是 DHCPv6 的供应商 ID 选项，用于将有关客户端硬件供应商的信息插入 DHCPv6 数据包中。

• 动态 ARP 检测 （DAI）— 防止地址解析协议 （ARP） 欺骗攻击。将 ARP 请求和回复与 DHCP 侦听数据库中的条目进行比较，并根据这些比较的结果做出过滤决策。您可在 VLAN 上启用 DAI。

• IPv6 邻居发现检测 — 防止 IPv6 地址欺骗攻击。邻接方发现请求和回复与 DHCPv6 侦听数据库中的条目进行比较，并根据这些比较的结果做出过滤决策。您可在 VLAN 上启用邻接方发现检测。

• IP 源保护 — 缓解 IP 地址欺骗攻击对以太网 LAN 的影响。启用 IP 源保护后，从不可信访问接口发送的数据包中的源 IP 地址将根据 DHCP 侦听数据库进行验证。如果数据包无法验证，则数据包将被丢弃。您可在 VLAN 或桥接域上启用 IP 源保护。

• IPv6 源保护 — IPv6 的 IP 源保护。

• MAC 限制 — 防止以太网交换表泛滥（也称为 MAC 转发表或第 2 层转发表）。您可以在接口上启用 MAC 限制。

• MAC 移动限制 — 跟踪 MAC 移动并检测接入端口上的 MAC 欺骗。您可在 VLAN 或桥接域上启用此功能。

• 持久 MAC 学习 — 又称为粘性 MAC。持续的 MAC 学习使接口能够跨交换机重新启动保留动态学习的 MAC 地址。您可在接口上启用此功能。

• 不受限制的代理 ARP — 交换机使用自己的 MAC 地址响应所有 ARP 消息。连接到交换机接口的主机无法与其他主机直接通信。相反，主机之间的所有通信都通过交换机。

• 受限代理 ARP — 如果 ARP 请求的源和目标的物理网络相同，交换机将不响应 ARP 请求。无论目标主机的 IP 地址是否与传入接口相同，还是具有不同的（远程）IP 地址，都无关紧要。对于广播地址的 ARP 请求不会引起回复。

Device Security— 风暴控制允许交换机监控未知单播和广播流量，丢弃数据包，或在超出指定流量级别时关闭或暂时禁用接口，从而防止数据包扩散和降级 LAN。您可以在接入接口或中继接口上启用风暴控制。

Encryption Standards— 支持的标准包括：

• 128 位、192 位和 256 位高级加密标准 （AES）

• 56 位数据加密标准 （DES） 和 168 位 3DES

• 缓解以太网交换表溢出攻击
• 缓解恶意 DHCP 服务器攻击
• 防止 ARP 欺骗攻击（不适用于 QFX10000 系列交换机）
• 抵御 DHCP 侦听数据库更改攻击（不适用于 QFX10000 系列交换机）
• 防范 DHCP 饥饿攻击

您可以在不受信任的交换机端口上配置 DHCP 侦听、动态 ARP 检查 （DAI）、MAC 限制、持久 MAC 学习和 MAC 移动限制，以保护交换机和以太网 LAN 免受地址欺骗和第 2 层拒绝服务 （DoS） 攻击。您也可为交换机接口配置可信的 DHCP 服务器和特定（允许）MAC 地址。

此示例介绍如何在交换机上配置基本端口安全功能：