La sécu Cisco au niveau port

par **glmrenard** » 22 Sep 2003 16:25

Bonjour, Voilà, je dispose de Catalyst 3500 (Cisco) auxquels j'aimerais faire faire la chose suivante : Sur tous les ports FE (Fast Ethernet), il faut 'apprendre' UNE adresse MAC (et une seule) et interdire la connexion d'une autre adresse sur ce port, de même, interdire une adresse MAC identique sur plusieurs ports. J'ai entendu parler de : witchport port-security violation restrict switchport port-security mac-address sticky Mais puis-je avior plus de détails... Merci d'avance Guillaume

par **stardust** » 22 Sep 2003 17:04

Peut être " port security" : <a href="http://www.cisco.com/univercd/cc/td/doc/product/lan/c2900xl/29_35xp/scg/kiconfig.htm#26669" target="_blank">http://www.cisco.com/univercd/cc/td/doc/product/lan/c2900xl/29_35xp/scg/kiconfig.htm#26669</a> <IMG SRC="images/smiles/icon_wink.gif">

par **tomtom** » 22 Sep 2003 17:29

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-09-22 16:25, glmrenard a écrit: Bonjour, Voilà, je dispose de Catalyst 3500 (Cisco) auxquels j'aimerais faire faire la chose suivante : Sur tous les ports FE (Fast Ethernet), il faut 'apprendre' UNE adresse MAC (et une seule) et interdire la connexion d'une autre adresse sur ce port, de même, interdire une adresse MAC identique sur plusieurs ports. J'ai entendu parler de : witchport port-security violation restrict switchport port-security mac-address sticky Mais puis-je avior plus de détails... Merci d'avance Guillaume </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Je pige pas trop ton besoin. Pour empecher chaque port d'apprendre plus d'une addresse, tu dois dans chaque interface taper la commande suivante : switch(config-if)#port security max-mac-count 1 Cette commande empeche d'avoir plus d'une entrée dans la table des addresses mac pour cette interface. Ici, si une deuxième station envoie une trame, le switch essaye de mettre son adresse dans sa table et ceci est refusé par la comande port-secure. Il y a donc une "address-violation" switch(config-if)#port security action shutdown ceci definit le comportement en cas de access-violation. Ici, on shutdown. On peut egalement envoyer un trap snmp si on veut (action trap) Par contre, avec ce shema, le première station qui se connecte à un port le "monopolise", et les autres ne peuvent pas se connecter. Si tu as le temps, il serait plus sage d'entrer sur chaque port l'adresse mac en statique de la station qui peut se connecter. Attention, c'est assez compliqué la conf des adresses statiques sur les 3500... T.

par **tomtom** » 22 Sep 2003 17:54

Oups, j'avais pas vu la fin de ta question. Pour qu'une adresse soit reservée à un port, tu peux utiliser : Switch(config)# mac-address-table secure xxxx.xxxx.xxxx fa1/1 Ceci "bloque" l'adresse hw sur le port (ici, fa1/1). Elle sera rejetée si elle arrive sur un autre. t.

par **glmrenard** » 23 Sep 2003 09:40

Bonjour, Merci à tous pour vos réponses. J'ai plus de vingt switchs ==> Adresse MAC à la main c'est impossible surtout que le parc évolue ==> Trop de travail. pour l'instant, j'ai : switchport port-security switchport port-security violation restrict switchport port-security mac-address sticky Ce qui fait que si je met une autre machine ça ne fonctionne pas mais si je met la première, c'est OK. Mon problème maintenant est si je veux changer de machine 'définitivement'. La méthode que j'ai est d'enlever la sécu: no switchport port-security no switchport port-security violation restrict no switchport port-security mac-address sticky puis de faire un clear mac-address dynamic, de mettre le nouveau PC et de remettre la sécu. y-a-t-il plus court ? Merci d'avance. Guillaume

par **tomtom** » 23 Sep 2003 09:50

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-09-23 09:40, glmrenard a écrit: Bonjour, Merci à tous pour vos réponses. J'ai plus de vingt switchs ==> Adresse MAC à la main c'est impossible surtout que le parc évolue ==> Trop de travail. pour l'instant, j'ai : switchport port-security switchport port-security violation restrict switchport port-security mac-address sticky Ce qui fait que si je met une autre machine ça ne fonctionne pas mais si je met la première, c'est OK. Mon problème maintenant est si je veux changer de machine 'définitivement'. La méthode que j'ai est d'enlever la sécu: no switchport port-security no switchport port-security violation restrict no switchport port-security mac-address sticky puis de faire un clear mac-address dynamic, de mettre le nouveau PC et de remettre la sécu. y-a-t-il plus court ? Merci d'avance. Guillaume </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Je comprends pas trop les commandes que tu mets ? Tu n'utilise pas la CLI là ? Tu config comment tes switches ? Sinon, je suppose qu'il suffitr de retirer à la main la mac-address en question de la table d'addresses (en tout cas avec le max-mac-count ca suffit). Le parametre sticky je connais pas, c'est donc pe différent.... T.

par **glmrenard** » 23 Sep 2003 09:59

En fait, sticky permet d'apprendre dynamiquement une adresse MAC et de la coller ensuite dans la conf (c'est automatique), si la conf est sauvée, l'adresse MAC aussi --> Ca permet de simplifier la vie : Si si, j'utilisais la CLI pour toutes mes commandes.(ca vient de copier/coller de putty)

par **tomtom** » 23 Sep 2003 12:19

Bizarre, il me semblait qu'il n'y avait pas de tiret entre port et security (port security et non port-security), d'ou mes interrogations... t.

La sécu Cisco au niveau port

Qui est en ligne ?