ssh
其实就是加密的telnet。
cli ssh配置步骤
tep1:配置主机名
hostname sshrouter
step2:配置域名
ip domian name yeslab.com
step3:产生rsa密钥对(建议1024位长度)
crypto key generate rsa modulus 1024
step4:创建本地用户名和密码(级别可选)
username admin privilege 15 password yeslabccies
step5:配置本地认证和登录协议限制
line vty 0 15
login local (也可以使用aaa new-model代替）
transport input ssh(限制只能够使用ssh登录vty)路由器作为客户端登录方法
ssh -l smoke(用户名) 1.1.1.1
ntp介绍
网络时间协议
同步时间
ntp端口号是udp的123
注意：pki(证书系统)和syslog都非常需要准确的时间，我们可以使用ntp为网络设备提供时间服务。
ntp cli配置
ntp服务器端配置：clock timezone gmt +8
clock set 20:25:00 12 sep 2009
ntp authentication-key 1 md5 cisco(可选，用于认证）
ntp authenticate(可选，用于认证)
ntp trusted-key 1 (可选，用于认证）
ntp master
ntp客户端配置
clock timezone gmt +8
ntp authentication-key 1 md5 cisco (可选，用于认证）ntp authenticate(可选，用于认证）ntp trusted-key 1 (可选，用于认证）
ntp server 202.100.1.1 key 1
ntp首先要和自己同步，如果要过滤ntp access-group server，除了要放同步的设备还有放自己。
如何保障二层安全
二层安全的重要性
1.二层一旦被攻破，其他层就没有安全性可言
2.安全的强度在于我们防护最弱的一个环节
3.二层是七层模型里边最脆弱的一个环节
主要的二层攻击手段
1.cam table overfalow/spoofing mac address attack
未知单播帧泛红
当交换机收到一个单播包，目的mac并没有出现在cam表里边，那么交换机会把这个包向相同广播域里边的所有接口进行泛红，这是交换机的默认行为，我们也可以通过注释里边的命令进行block。
mac欺骗攻击欺骗的是交换机，arp攻击欺骗的是pc.
防:port security
1.有效阻止mac flood和mac spoof攻击
a.mac flood当特定接口设定的mac table满时产生violation
b.当一个mac地址在同一个vlan里边的两个不同接口学到的时候产生violation
2.prot security的默认行为
a.所有接口port security功能是disable的
b.默认每一个接口最大mac地址容量为一个
c.默认violation是shutdown
3.三种violation方式
a.shutdown 使接口处于errordisable状态，并且告警
b.restrict 丢掉违规数据包，并且告警
c.protect 悄无声息的丢弃数据包，不产生告警
4.三种地址学习方式
a.自动学习(默认）
b.手动指派 swichport port-security mac-address 0001.0345.ac8b
c.sticky switchport port-security mac-address sticky 0001.0345.ac8b 把自动学的mac显示到runn-config可以存盘。
2.stp attack
stp防御技术
1.root guard(可以进行选举，但是那你要老实点！）
interface f0/1
spanning-tree guard root
2.bpdu-guard（最高级别，碰我就咬你！）
int f0/1
spanning-tree bpduguard enable
3.bpdu filtering（你发了也白发，我不理你）
inter f0/1
spanning-tree bpdufilter enable
3.dhcp attack
dhcp discover-dhcp offer-dhcp request-dhcp ack
防御dhcp攻击
ip dhcp snooping
全局启用dhcp snooping
ip dhcp snooping vlan 11-200
vlan 11-200启用dhcp snooping功能
interface f0/1
ip dhcp snooping limit rate 100
对dhcp包速率限制每秒100个
ip dhcp snooping trust
定义本接口为信任的dhcp服务器所连接的接口
show ip dhcp snooping binding（dhcp绑定表,)
4.arp spoofing attack
解决方法前提是要有snooping binding。
dai配置实例
最好使用dhcp snooping提供mac到ip的映射表
全局vlan 100欧诺个dai:
ip arp inspection vlan 100在vlan100启用arp监控技术。做检查，查看binding表。
上联接口建议配置:因为你没有别的交换的binding.
int f0/6
ip arp inspection trnst
其他交换机安全特性
1.span
2.vacl
3.二层隔离技术
4.storm-control
标签：snooping,ntp,第三天,接口,mac,CCNA,ip,dhcp,Security From： https://www.cnblogs.com/smoke520/p/18357892