Überblick über Portsicherheit

Junos OS wird durch die Trennung von Steuerungsweiterleitungs- und Dienstebenen gehärtet, wobei jede Funktion im geschützten Speicher ausgeführt wird. Die Control-Plane-CPU wird durch Begrenzung der Übertragungsrate, Routing-Richtlinien und Firewall-Filter geschützt, um auch bei schwerwiegenden Angriffen die Switch-Verfügbarkeit zu gewährleisten.

Junos OS bietet Funktionen zur Sicherung von Ports auf einem Gerät. Ports können entweder als vertrauenswürdig oder nicht vertrauenswürdig eingestuft werden. Sie wenden für jede Kategorie angemessene Richtlinien an, um Ports vor verschiedenen Arten von Angriffen zu schützen.

Sicherheitsfunktionen für den Zugriffsport wie dynamische ARP-Prüfung (Address Resolution Protocol), DHCP-Snooping und MAC-Begrenzung werden über einen einzigen Junos OS CLI-Befehl gesteuert. Grundlegende Portsicherheitsfunktionen sind in der Standardkonfiguration des Geräts aktiviert. Sie können zusätzliche Funktionen mit minimalen Konfigurationsschritten konfigurieren. Abhängig von der jeweiligen Funktion können Sie die Funktion entweder auf VLANs oder Bridge-Domänenschnittstellen konfigurieren.

Ab Junos OS Version 18.4R1 erfolgt DHCP-Snooping auf vertrauenswürdigen Ports für die folgenden Switches der Juniper-Serie, EX2300, EX4600 und QFX5K. Vor Junos OS Version 18.4R1 war dies für diese Geräte nur für DHCPv6-Snooping der Fall. Darüber hinaus erfolgt DHCP-Snooping auf vertrauenswürdigen Ports für Switches der EX9200-Serie und Fusion Enterprises, die Junos OS Version 19.1R1 und höher ausführen.

Die Ethernet-Switches der EX-Serie von Juniper Networks bieten die folgenden Hardware- und Softwaresicherheitsfunktionen:

Console Port— Ermöglicht die Verwendung des Konsolenports zur Verbindung mit der Routing-Engine über ein RJ-45-Kabel. Sie verwenden dann die Befehlszeilenschnittstelle (CLI), um den Switch zu konfigurieren.

Out-of-Band Management— Ein dedizierter Management-Ethernet-Port auf der Rückseite ermöglicht die Out-of-Band-Verwaltung.

Software Images— Alle Junos OS-Bilder werden von der Juniper Networks Certificate Authority (CA) mit Public Key Infrastructure (PKI) signiert.

User Authentication, Authorization, and Accounting (AAA)— Zu den Funktionen gehören:

• Benutzer- und Gruppenkonten mit Kennwortverschlüsselung und Authentifizierung.

• Konfigurierbare Zugriffsberechtigungsebenen für Anmeldeklassen und Benutzervorlagen.

• RADIUS-Authentifizierung, TACACS+-Authentifizierung oder beides für die Authentifizierung von Benutzern, die versuchen, auf den Switch zuzugreifen.

• Überwachung von Konfigurationsänderungen durch Systemprotokollierung oder RADIUS/TACACS+.

802.1X Authentication— Bietet Netzwerkzugangskontrolle. Supplicants (Hosts) werden authentifiziert, wenn sie sich zunächst mit einem LAN verbinden. Die Authentifizierung von Supplicants, bevor sie eine IP-Adresse von einem DHCP-Server erhalten, verhindert, dass unbefugte Supplicants Zugriff auf das LAN erhalten. Die Switches der EX-Serie unterstützen EAP-Methoden (Extensible Authentication Protocol), einschließlich EAP-MD5, EAP-TLS, EAP-TTLS und EAP-PEAP.

Port Security— Die auf Switching-Geräten unterstützten Zugriffs-Portsicherheitsfunktionen sind:

• DHCP-Snooping: Filtert und blockiert eingehende DHCP-Servernachrichten (Dynamic Host Configuration Protocol) auf nicht vertrauenswürdigen Ports und erstellt und verwaltet eine Datenbank mit DHCP-Leasinginformationen, die als DHCP-Snooping-Datenbank bezeichnet wird.

  Hinweis:

  DHCP-Snooping ist in der Standardkonfiguration des Switching-Geräts nicht aktiviert. DHCP-Snooping ist in einer VLAN- oder Bridge-Domäne aktiviert. Die Details zur Aktivierung von DHCP-Snooping hängen vom jeweiligen Gerät ab.

• Vertrauenswürdiger DHCP-Server: Die Konfiguration des DHCP-Servers auf einem vertrauenswürdigen Port schützt vor unbefugten DHCP-Servern, die Leases senden. Sie aktivieren diese Funktion an einer Schnittstelle (Port). Zugriffsports sind standardmäßig nicht vertrauenswürdig, und Trunk-Ports werden vertrauenswürdig. (Zugriffsports sind die Switch-Ports, die mit Ethernet-Endgeräten wie Benutzer-PCs und Laptops, Servern und Druckern verbunden sind. Trunk-Ports sind die Switch-Ports, die einen Ethernet-Switch mit anderen Switches oder Routern verbinden.)

• DHCPv6-Snooping – DHCP-Snooping für IPv6.

• DHCP-Option 82– Auch bekannt als DHCP-Relay-Agent-Informationen. Diese DHCPv4-Funktion schützt das Switching-Gerät vor Angriffen wie Spoofing von IP-Adressen und MAC-Adressen und DHCP-IP-Adressen. Option 82 stellt Informationen zum Netzwerkstandort eines DHCP-Clients bereit, und der DHCP-Server verwendet diese Informationen zur Implementierung von IP-Adressen oder anderen Parametern für den Client.

• DHCPv6 Option 37– Option 37 ist die Remote-ID-Option für DHCPv6 und wird zum Einfügen von Informationen über den Netzwerkstandort des Remotehosts in DHCPv6-Pakete verwendet. Sie aktivieren Option 37 auf einem VLAN.

  Hinweis:

  DHCPv6-Snooping mit Option 37 wird auf der MX-Serie nicht unterstützt.

• DHCPv6 Option 18– Option 18 ist die Circuit ID-Option für DHCPv6 und wird zum Einfügen von Informationen über den Client-Port in DHCPv6-Pakete verwendet. Diese Option enthält weitere Details, die optional konfiguriert werden können, wie das Präfix und die Schnittstellenbeschreibung.

• DHCPv6 Option 16– Option 16 ist die Anbieter-ID-Option für DHCPv6 und wird zum Einfügen von Informationen über den Anbieter der Client-Hardware in DHCPv6-Pakete verwendet.

• Dynamic ARP Inspection (DAI) – Verhindert ARP-Spoofing-Angriffe (Address Resolution Protocol). ARP-Anfragen und Antworten werden mit Einträgen in der DHCP-Snooping-Datenbank verglichen, und Filterentscheidungen werden anhand der Ergebnisse dieser Vergleiche getroffen. Sie aktivieren DAI in einem VLAN.

• IPv6 Neighbor Discovery Inspection – Verhindert IPv6-Adressen-Spoofing-Angriffe. Neighbor Discovery-Anfragen und Antworten werden mit Einträgen in der DHCPv6-Snooping-Datenbank verglichen, und Filterentscheidungen werden auf der Grundlage der Ergebnisse dieser Vergleiche getroffen. Sie aktivieren die Neighbor Discovery Inspection in einem VLAN.

• IP Source Guard: Mildert die Auswirkungen von IP-Adressen-Spoofing-Angriffen auf das Ethernet-LAN. Bei aktiviertem IP Source Guard wird die Quell-IP-Adresse im Paket, das von einer nicht vertrauenswürdigen Zugriffsschnittstelle gesendet wird, mit der DHCP-Snooping-Datenbank validiert. Wenn das Paket nicht validiert werden kann, wird es verworfen. Sie aktivieren IP Source Guard in einer VLAN- oder Bridge-Domäne.

• IPv6 Source Guard – IP Source Guard für IPv6.

• MAC-Begrenzung: Schützt vor Überflutung der Ethernet-Switching-Tabelle (auch bekannt als MAC-Weiterleitungstabelle oder Layer 2-Weiterleitungstabelle). Sie können die MAC-Begrenzung auf einer Schnittstelle aktivieren.

• BEGRENZUNG DER MAC-Bewegung: Überwacht die MAC-Bewegung und erkennt MAC-Spoofing an Zugriffsports. Sie aktivieren diese Funktion in einer VLAN- oder Bridge-Domäne.

• Persistent MAC Learning – auch bekannt als Sticky MAC. Durch persistentes MAC-Lernen können Schnittstellen dynamisch erlernte MAC-Adressen über Switch-Neustarts hinweg beibehalten. Sie aktivieren diese Funktion auf einer Schnittstelle.

• Unbeschränkter Proxy-ARP: Der Switch reagiert mit seiner eigenen MAC-Adresse auf alle ARP-Nachrichten. Hosts, die mit den Schnittstellen des Switches verbunden sind, können nicht direkt mit anderen Hosts kommunizieren. Stattdessen laufen alle Kommunikationen zwischen Hosts über den Switch.

• Eingeschränktes Proxy-ARP: Der Switch reagiert nicht auf eine ARP-Anforderung, wenn die physischen Netzwerke von Quelle und Ziel der ARP-Anforderung identisch sind. Dabei spielt es keine Rolle, ob der Zielhost die gleiche IP-Adresse wie die eingehende Schnittstelle oder eine andere (Remote-) IP-Adresse hat. Eine ARP-Anfrage für eine Broadcast-Adresse gibt keine Antwort.

Device Security– Storm Control ermöglicht es dem Switch, unbekannten Unicast- und Broadcast-Datenverkehr zu überwachen und Pakete zu löschen, die Schnittstelle herunterzufahren oder vorübergehend zu deaktivieren, wenn ein bestimmtes Datenverkehrsniveau überschritten wird, wodurch verhindert wird, dass Pakete sich weiter verbreiten und das LAN beeinträchtigen. Sie können Sturmkontrolle an Zugriffsschnittstellen oder Trunkschnittstellen aktivieren.

Encryption Standards— Zu den unterstützten Standards gehören:

• Advanced Encryption Standard (AES) mit 128, 192 und 256 Bit

• 56-Bit Data Encryption Standard (DES) und 168-Bit 3DES

• Abwehr von Ethernet-Switching-Tabellenüberlaufangriffen
• Abwehr rogueer DHCP-Serverangriffe
• Schutz vor ARP-Spoofing-Angriffen (Gilt nicht für Switches der QFX10000-Serie)
• Schutz vor DHCP-Snooping-Datenbankänderungsangriffen (gilt nicht für Switches der QFX10000-Serie)
• Schutz vor DHCP-Hungerangriffen

Sie können DHCP-Snooping, dynamic ARP Inspection (DAI), MAC-Begrenzung, persistentes MAC-Lernen und MAC Move Limiting auf den nicht vertrauenswürdigen Switches-Ports konfigurieren, um die Switches und das Ethernet LAN vor Address Spoofing und Layer 2-Denial-of-Service-Angriffen (DoS) zu schützen. Sie können auch einen vertrauenswürdigen DHCP-Server und bestimmte (zulässige) MAC-Adressen für die Switch-Schnittstellen konfigurieren.

In diesem Beispiel wird beschrieben, wie grundlegende Portsicherheitsfunktionen auf einem Switch konfiguriert werden: