Security Features. Configuration JAN 2014 ADIYUTH TANTIYUTH TECHNICAL CONSULTANT ALLIED TELESIS (THAILAND) CO., LTD.

Transcription

1 Security Features Configuration G U I D E JAN 2014 by ADIYUTH TANTIYUTH TECHNICAL CONSULTANT ALLIED TELESIS (THAILAND) CO., LTD.

2 Table of Contents Port Security 3 Virtual Local Area Network (VLAN) 5 Loop Protection 10 DoS Protection 13 Access Control List (ACL) 17 Control plane bandwidth control 20 Storm control 21 Ending 22 2

3 Port Security การทำงานของ Port Security ค อการป องก นการเร ยนร MAC Address ของพอร ตใดพอร ตหน งบนสว ตช ผลล พท ค อสามารถจำก ดจำนวนผ ใช งานต อพอร ตได ม กใช ในกรณ ท สว ตช น นเป นอ ปกรณ ปลายทางของระบบเคร อข ายและไม ต องการให ม การต อพ วงด วย สว ตช หร อ HUB ใดๆอ ก ต วอย างการต งค าบนสว ตช อ ลไลด เทเลซ ส ร นตระก ล x-series (Firmware 5.4.2) เป ดการใช งาน Port Security บนพอร ตของสว ตช awplus# configure terminal awplus(config)# interface port1.0.1 awplus(config-if)# switchport port-security ต ง limit ในการเร ยนร MAC Address ของพอร ต awplus# config terminal awplus(config)# interface port1.0.1 awplus(config-if)# switchport port-security max 1 3

4 ต ง Action ของพอร ตน นเม อม MAC Address เก น limit ท ต งไว awplus(config-if)# switchport port-security violation shutdown จากต วอย างน พอร ตหมายเลข 1 ของสว ตช ถ กจำก ดให เร ยนร MAC Address ได เพ ยงหมายเลขเด ยว และหากม MAC Address ว งเข ามามากกว า 1 ท พอร ตน น สว ตช จะทำการ Shutdown พอร ตน นท นท ซ ง Action อ นๆนอกจาก shutdown แล วย งม restrict = เป ดพอร ตแต ไม ร บ packet และส ง SNMP แจ ง protect = เป ดพอร ตแต ไม ร บ packet (ไม ส ง SNMP) สามารถยกเล กการ limit ได ด งน awplus(config-if)# no switchport port-security max สามารถ show ด การต งค า port security ได ด งน awplus> show port-security interface port1.0.1 Port Security configuration Security Enabled : YES Port Status : ENABLED Violation Mode : DISABLE Aging : ON Maximum MAC Addresses : 1 Current Learned Addresses : 1 Lock Status : LOCKED Security Violation Count : 0 Last Violation Source Address: c ff 4

5 Virtual Local Area Network (VLAN) BroadCast จากภาพทางด านบน แม ว าองกรณ น จะม สามแผนกแต สว ตช ทำงานเพ ยงหน ง Broadcast Domain ซ งท กคนสามารถเห นข อม ลของคนอ นได ท งหมด ซ งส งผล ให การส งข อม ลไม ปลอดภ ยอย างมาก BroadCast VLAN 2: Staff Ports: 1-16 VLAN 3: Students Ports: Data VLAN 4: Faculty Ports: ด งน นเราจ งสร าง VLAN เพ อทำการแยกเป นหลาย Broadcast Domain และแยกผ ใช งานแต ละกล มออกจากก น เท าน ระบบก ม ความปลอดภ ยข น เช นใน ต วอย างน น กเร ยนจะถ กแบ งให ใช งานบน VLAN 3 และจะไม ม ทางเห นข อม ลของ ฝ ายอ นได เลยเป นต น 5

6 ต วอย างการต งค าบนสว ตช อ ลไลด เทเลซ ส ร นตระก ล x-series (Firmware 5.4.2) การสร าง VLAN awplus# configure terminal awplus(config)# vlan database awplus(config-vlan)# vlan 2 name test :สร าง VLAN 2 และใส ช อว า test ซ งการใส ช อไม ม ผลใดๆต อการ ใช งาน จะเห นเม อท าการ show เท าน น ซ งเป นประโยชน เม อระบบเคร อ ข ายม ป ญหาและต องการตรวจสอบ Configuration awplus(config-vlan)# vlan 3 :สามารถสร าง VLAN 3 และใช งานได โดยไม ต องใส ช อ awplus(config-vlan)# vlan 4-9 :สามารถสร างหลาย VLAN ในคราวเด ยวได ด วยการใช เคร องหมาย ลบข นกลางด งต วอย าง awplus(config-vlan)# no vlan 5 :สามารถลบ VLAN ท เคยสร างไว แล วได 6

7 ก อนจะถ งข นตอนในการระบ ให พอร ตใดเป นสมาช กของ VLAN ใด ผมขอ อธ บายเร อง Tagged และ Untagged ก อนด งต อไปน VLAN 2: Staff Ports: 1-16 VLAN 3: Students Ports: VLAN 4: Faculty Ports: VLAN 2: Staff Ports: 1-16 Data Data VLAN 3: Students Ports: Data VLAN 4: Faculty Ports: Mode: Access ก ค อการส งข อม ลเป น Frame แบบธรรมดา ซ งหากเรา แบ ง 3 VLAN ด งต วอย าง เราต องการสามพอร ตในการเช อมต อสว ตช จำนวน 2 สว ตช เข าด วยก น VLAN 2: Staff Ports: 1-16 VLAN 3: Students Ports: VLAN 4: Faculty Ports: Port 49 Tagged for Staff, Students & Faculty (802.1Q-compliant) VLAN 2: Staff Ports: 1-16 Data Data VLAN 3: Students Ports: Data VLAN 4: Faculty Ports: Mode: Trunk ค อการแปะป ายให ก บ Frame ว าเป นสมาช กของ VLAN ใด ซ งทำให สามารถส งข อม ลของหลาย VLAN ไปบนสายเส นเด ยวได 7

8 การระบ VLAN แบบ Access Mode awplus# configure terminal awplus(config)# interface port1.0.2 awplus(config-if)# switchport mode access awplus(config-if)# switchport access vlan 2 :เพ ยงเท าน ท กอ ปกรณ ปลายทางท เช อมต อก บพอร ตหมายเลข 2 ก จะ เป นสมาช กของ VLAN 2 ไปในท นท การระบ VLAN แบบ Trunk Mode awplus# configure terminal awplus(config)# interface port awplus(config-if)# switchport mode trunk awplus(config-if)# switchport trunk allowed vlan add 2,3 :พอร ตท 24 จะกลายเป นพอร ตท สามารถส งข อม ลของท ง VLAN 2 และ 3 ได พร อมก น ซ งอ กฝ งจะต องต งค าเหม อนก นและเป น trunk mode เช นก นจ งจะท างานร วมก นได awplus(config-if)# switchport trunk allowed vlan add 4-9 :เป นการระบ แบบต อเน องต งแต VLAN 4 ถ ง 9 awplus(config-if)# switchport trunk allowed vlan remove 5 :เป นการลบ VLAN 5 ออกจากพอร ตน 8

9 awplus(config-if)# switchport trunk allowed vlan add all :เป นการอน ญาตให ท ก VLAN ท อย ใน VLAN Database สามารถส ง ผ านพอร ตน ได awplus(config-if)# switchport trunk native vlan 1 :เป นการระบ ให VLAN 1 ส งผ านพอร ตด งกล าวแบบไม แปะ ป าย(untagged) สามารถ show ด การต งค า VLAN ได ด งน awplus# show vlan brief VLAN ID Name Type State Member ports (u)-untagged, (t)-tagged ======= ================ ======= ======= ==================================== 1 default STATIC ACTIVE port1.0.2(u) port1.0.3(u) port1.0.4(u) port1.0.5(u) port1.0.6(u) port1.0.7(u) port1.0.8(u) port1.0.9(u) port1.0.10(u) port1.0.11(u) port1.0.12(u) port1.0.13(u) port1.0.14(u) port1.0.15(u) port1.0.16(u) port1.0.17(u) port1.0.18(u) port1.0.19(u) port1.0.20(u) port1.0.21(u) port1.0.22(u) port1.0.23(u) port1.0.24(u) 2 my2 STATIC ACTIVE port1.0.1(t) 3 my3 STATIC ACTIVE port1.0.1(t) 4 my4 STATIC ACTIVE port1.0.1(u) 9

10 Loop Protection โดยท วไปน นสว ตช ม กจะเป ด Spanning Tree Protocol ไว เป นค า มาตรฐาน เพ อป องก นการเก ด Loop ในระบบเคร อข าย แต เน องจากข นตอนการ เร ยนร การเช อมต อของ Spanning Tree Protocol ใช เวลานานและในขณะท เร ยน ร น น สว ตช ท กต วจะหย ดการส งข อม ล จ งม กพบเหต การณ ระบบเคร อข ายล มช วคร อ น เป นเหต มาจาก Spanning Tree Protocol ได บ อยคร ง ด งน น อ ลไลด เทเลซ ส จ งได พ ฒนาความสามารถในการทำ Loop Protection ข นเพ อช วยตรวจสอบการเก ด Loop และทำการป องก นอย างง าย ซ ง แบ งออกเป นสองส วนได แก 1. Loop Detection : ค อการตรวจสอบ loop โดยการส ง loop-detect frame ออกไป และรอฟ งการวนกล บมาของ frame น น 2. Thrash Limiting : ค อการตรวจสอบ Source MAC Address ท มา จากหมายเลขเด ยว แต ส งเข ามาพอร ต A และสล บไปพอร ต B และสล บ กล บมา A วนไปมาอย างน ซ งอาจม สาเหต มาจากการ loop ของอ ปกรณ อ นซ งเช อมต อมาย งสว ตช น การเป ดการใช งาน Loop Detection awplus(config)# loop-protection loop-detect ldfinterval 5 :เป นการเป ดการ detect โดยต งเวลาส ง loop-detect frames ท กๆ 5 ว นาท 10

11 การระบ Action เม อพบ loop awplus(config-if)# loop-protection action learndisable :เป นการหย ดการเร ยนร MAC Address ท พอร ตน นท นท ท พบ loop awplus(config-if)# loop-protection action link-down :เป นการ shutdown พอร ตเม อพบ loop awplus(config-if)# loop-protection action log-only :เป นการเก บค าของ loop ลงใน log แต ไม ท าการป องก นใดๆ awplus(config-if)# loop-protection action portdisable :เป นการ Block ท กอย างท พอร ตน น แต ย งคงสถานะ link-up awplus(config-if)# loop-protection action vlandisable :เป นการ Block traffic เฉพาะ VLAN ท เก ด loop การต งค า Time-out ของ Loop Detection awplus(config-if)# loop-protection timeout 10 :เป นการปลด Block ท กอย างไม ว าจะต งค า Action ไว อย างไร ก ตาม และเร มท าการตรวจสอบ loop ก นใหม ซ งหากพบ loop อ กก จะ กระท าการตาม Action ท ได ต งไว แล วอ กคร งท นท และจากน นก น บเวลา ถอยหล งปลด Block อ กคร ง วนอย อย างน ไม ร จบ 11

12 การต งค า Thrash Limiting awplus(config)# interface port awplus(config-if)# thrash-limiting action link-down :เป นการระบ ว าจะท าการ Shutdown หากพบว าม MAC Address เด ยวก นเป นผ ส งข อม ลเข ามาหาสว ต ท งสองพอร ตแบบสล บไปสล บมา awplus(config-if)# thrash-limiting action learndisable :เป นการระบ ว าจะหย ดท าการเร ยนร MAC Adress หากพบว าม MAC Address เด ยวก นเป นผ ส งข อม ลเข ามาหาสว ต ท งสองพอร ตแบบสล บไปมา awplus(config-if)# thrash-limiting action portdisable :เป นการระบ ว าจะท าการ Block ท ก Traffic แต ย งคงสถานะ Link-up ไว หากพบว าม MAC Address เด ยวก นเป นผ ส งข อม ลเข ามา หาสว ต ท งสองพอร ตแบบสล บไปสล บมา awplus(config-if)# thrash-limiting action vlandisable :เป นการระบ ว าจะท าการ Block ท ก Traffic เฉพาะ VLAN น นๆ หากพบว าม MAC Address เด ยวก นเป นผ ส งข อม ลเข ามาหาสว ต ท งสอง พอร ตแบบสล บไปสล บมา การต งค า Time-out ของ Thrash-Limiting awplus(config-if)# thrash-limiting timeout 10 :Thrash-limiting ก สามารถต ง Time-out ได เช นเด ยวก นก บ Loop-detection การยกเล กท กคำส งข างต น ให พ มพ no นำหน าคำส งน นๆ เช น awplus(config-if)#no thrash-limiting action vlan-disable 12

13 DoS Protection DoS ย อมาจาก Denial of Service ค อการโจมต ส อ ปกรณ ในระบบเคร อ ข ายจากผ ไม หว งด ท งภายในและภายนอก ซ งสว ตช ของ อ ลไลด เทเลซ ส ร นตระก ล x-series น นสามารถป องก นการโจมต DoS ได 6 ร ปแบบ ซ งม รายละเอ ยดด งต อ ไปน 1. IP Options ผ โจมต ส ง packets ท ม ค า option ของ IP Header ท ผ ดปกต ไปส เป า หมาย ซ งสว ตช ไม ได ทำการจำแนกชน ดของ IP Options เพ ยงแต ทำการน บ ซ งหาก พบว าม Packet จากหน งคนท ม การใส ค า option ไว ก จะน บและจะเข าข าย Attack เม อส ง packet ท ม option ผ ดๆแบบน นมามากกว า 20 packets ต อ ว นาท การต งค า IP Options awplus# configure terminal awplus(config)# interface port1.0.1 awplus(config-if)# dos ipoptions action shutdown :หากพบการโจมต แบบ IP Options ท พอร ต 1 สว ตช จะท าการ shutdown ท นท 13

14 2. Land ผ โจมต จงใจปลอม packet ท ม Source IP และ Destination IP เป นเลข เด ยวก นส งไปหาเป าหมาย ซ งทำให เป าหมายส นเปล องทร พยากรในการประมวลผล packet ปลอมด งกล าว สว ตช จ งจะทำการ drop packet ปลอมน นท งเส ยก อนจะไป ถ งเป าหมาย การต งค า Land awplus# configure terminal awplus(config)# interface port1.0.1 awplus(config-if)# dos land action shutdown :หากพบการโจมต แบบ Land ท พอร ต 1 สว ตช จะท าการ shutdown ท นท 3. Ping-of-Death ผ โจมต จะปร บขนาดของ Ping packet ให ใหญ มากท ส ดเท าท จะเป นไปได แล วทำการ ping ส เป าหมายด วยความถ ส งแบบไม หย ด ซ งสว ตช จำเป นต องใช ทร พยากรส งในการตรวจจ บการโจมต น จ งแนะนำให ทำการ fragment packet ในระบบให เหมาะสม เพ อลดป ญหาด งกล าว การต งค า Ping-of-Death awplus# configure terminal awplus(config)# interface port1.0.1 awplus(config-if)# dos ping-of-death action shutdown :หากพบการโจมต แบบ Ping-of-Death ท พอร ต 1 สว ตช จะท าการ shutdown ท นท 14

15 4. Smurf ผ โจมต จะ ping ไปย ง broadcast address ในเคร อข ายท เป นต วกลาง โดยปลอม source ip address เป น ip address ของเป าหมายท ต องการโจมต ซ งจะทำให เคร อข ายท เป นต วกลางส ง Reply กล บไปย ง ip address ของเป าหมาย ท นท จ งทำให ม การใช งาน Bandwidth อย างเต มท ซ งสว ตช จะทำการตรวจสอบ จาก destination address ของ ping packet และป องก นเม อพบ การต งค า Smurf awplus# configure terminal awplus(config)# interface port1.0.1 awplus(config-if)# dos smurf broadcast action shutdown :หากพบการโจมต แบบ Smurf ไปย ง broadcast address ด ง กล าวท พอร ต 1 สว ตช จะท าการ shutdown ท นท 5. SynFlood ผ โจมต จะส ง TCP SYN ไปย งเป าหมายเป นจำนวนมหาศาล โดยท ไม สนใจ SYN ACK ท ตอบกล บมาแต อย างใด ผลค อเป าหมายจะเส ยทร พยากรมากไปก บการ พยายามเป ด TCP Session และหากถ กโจมต ด วยจำนวนมากในช วงเวลาส นๆ อาจ ทำให เป าหมายม ป ญหาจนหย ดการทำงานได การต งค า SynFlood awplus# configure terminal awplus(config)# interface port1.0.1 awplus(config-if)# dos synflood action shutdown :หากพบการโจมต แบบ SynFlood ท พอร ต 1 สว ตช จะท าการ shutdown ท นท 15

16 6. Teardrop ผ โจมต จะส ง packet ท ม การห น (Fragment) ไม เท าก นเป นจำนวนมากไป ย งเป าหมาย ทำให เป าหมายเส ยทร พยากรอย างมากในการคำนวณเพ อพยายามจะ ประกอบ packet เหล าน นกล บมาเป นข อม ล ซ งส ดท ายแล วก ประกอบไม ได เพราะผ ส งจงใจให เป นแบบน น สว ตช จ งจะทำการป องก นหากพบว าม ผ ใดผ หน งส ง packet ท ม fragment ไม ปกต เป นจำนวนมากเข ามา การต งค า Teardrop awplus# configure terminal awplus(config)# interface port1.0.1 awplus(config-if)# dos teardrop action shutdown :หากพบการโจมต แบบ Teardrop ท พอร ต 1 สว ตช จะท าการ shutdown ท นท 16

17 Access Control List (ACL) White tag traffic Green tag traffic Yellow tag traffic Red tag traffic Blue tag traffic สว ตช สามารถกรอง Frame หร อ Packet ท ถ กส งเข ามาย งต วเองได ซ ง ล กษณะการกรองโดยท วไปม อย สองแบบด วยก นด งน Ingressing Port Rule 1 Match Block some traffic Allow the rest Actions Deny Ingressing Port Rule 1 Match Allow some traffic Block everything else Actions Permit Rule 2 Match Deny Rule 2 Match Permit Traffic Rule X Match Deny Traffic All other traffic Match Deny Egressing Port Egressing Port ด านซ ายค อแบบท Block บางอย างนอกจากน นปล อยผ านหมด ด านขวาค อแบบท ปล อยผ านเฉพาะบางอย างท ต องการนอกน น Block ท งหมด 17

18 การใช งาน ACL น นสามารถประย กต ใช ได หลากหลายกรณ เช น - Block เฉพาะ MAC Address น ไม ให ส งข อม ลไปหา MAC น น - Block เฉพาะ IP Address น ไม ให ส งข อม ลไปหา IP Address น น - Block เฉพาะ IP Address กล มน ไม ให ส งข อม ลไปหา IP Address น น - Block ว าถ าเป น TCP port เลขน จะไม ให ผ าน เช น Telnet(23) และอ นๆอ กมากมายหลายหลาก โดยแม แต QoS ก ย งใช ความสามารถของ ACL เพ อช วยกรอง frame ก อนนำไปทำการกำหนด priority ในข นต อไป ด งน นผมขอยกต วอย างง ายๆเพ อให เก ดความเข าใจก อนจะนำไปประย กต ใช ให เก ดประโยชน มากข น Port 9 B A Port กำหนดให คอมพ วเตอร A สามารถ ping ไปย งคอมพ วเตอร B ได เท าน น นอกเหน อจากน ไม อน ญาต การสร าง ACL awplus# configure terminal awplus(config)# access_list hardware ping_only :เป นการสร าง list โดยใช ช อให เข าใจได ง ายว า ping_only 18

19 awplus(config-ip-hw-acl)#10 permit icmp / /32 :ระบ ว า IP ของเคร อง A สามารถส ง ICMP ไปหา IP เคร อง B ได awplus(config-ip-hw-acl)#20 permit icmp / /32 :ระบ ว า IP ของเคร อง B สามารถส ง ICMP ไปหา IP เคร อง A ได awplus(config-ip-hw-acl)#30 deny ip any any :ระบ ว าการกระท าอ นใดนอกเหน อสองข อแรกให block ท กกรณ การนำ List ท สร างไปบ งค บใช ท พอร ต awplus(config)#interface port1.0.24,port1.0.9 awplus(config-if)#access-group ping_only เพ ยงเท าน สว ตช ก จะทำการกรองและ Block ให ตามท เราต องการโดยไม ต องทำการร สตาร ทอ ปกรณ แต อย างใด การเอา List ท บ งค บใช ท พอร ตออก awplus(config)#interface port1.0.24,port1.0.9 awplus(config-if)#no access-group ping_only 19

20 Control plane bandwidth control สว ตช จะแบ งการทำงานระหว างการส งข อม ลค อ Data Plane และการควบค ม ค อ Control plane ซ งControl Plane น นม CPU ของสว ตช เป นผ ควบค มและ ประมวลผล ซ งหาก CPU ถ กโจมต หร อถ กใช งานอย างหน กเก นกว าปกต แล วน น สว ตช อาจเก ดความผ ดพลาดในการทำงานและหย ดการทำงานได ในท ส ด การป องก นอ นตรายท จะกระทบก บการทำงานของ CPU น นเราสามารถใช ว ธ ท กล าวมาแล วข างต นในการช วยป องก นได ไม ว าจะเป น Port Security, การแบ ง VLAN, การใช Loop protection และป ดการใช งาน Spanning Tree Protocol, การใช DoS protection, และการใช ACL กรองข อม ลให เหมาะสม ก บการใช งาน รวมไปถ งการจ ดการเร อง Dynamic Routing ให พอด ก บการใช งานจร งก จะสามารถช วยลดความเส ยงในการเก ดป ญหาจากControl Plane ได นอกเหน อไปจากน น สว ตช ย งม การกำหนดค า Traffic ท จะว งเข าส CPU เพ อใช ในการประมวลผลเก ยวก บ Control Plane ไว ท 60Mbps ซ งพ ส จน แล วว า เพ ยงพอต อการใช งานในสภาวะปกต ท วไป แต หากม การใช งานท ต องการปร บแต ง ค าด งกล าวก สามารถทำได ด วยคำส งน awplus(config)# platform control-plane-prioritization rate <rate- limit> :สามารถต งค าได ต งแต 0 ไปจนถ ง 100 หน วยเป น Mbps หากใช ค า 0 หมายความว า ป ดงาน CPU Protection หากต องการบ บการใช งานเพ อให กระทบ CPU น อยท ส ดสามารถปร บค าให น อยลงกว าค ามาตรฐานได เช นปร บเหล อ 10Mbps แต ประส ทธ ภาพในการคำนวณ ทางด าน Switching, Routing และอ นๆก จะลดลงด วยน นเอง คำส งด งกล าวสามารถใช ได ก บอ ปกรณ เฉพาะร น x900, SBx908, SBx8106, SBx

21 Storm control อ กความสามารถท ช วยป องก นอ นตรายท จะเก ดข นก บอ ปกรณ และระบบเคร อ ข ายได ก ค อการทำ Storm control ซ ง Storm control น นค อการ Block broadcast traffic ท ส งเข ามาย งพอร ตใดพอร ตหน งเป นจำนวนมหาศาลในช วง เวลาส นๆ การเป ดใช storm control ท พอร ต awplus(config)# interface port1.0.1 awplus(config-if)# storm-control broadcast level 50 :เลข 50 ม หน วยเป นเปอร เซนต ซ งหมายความว าถ าม broadcast แบบเด ยวก นส งเข ามาย งพอร ตท 1 จ านวนเก นกว า 50% ของ bandwidth ท พอร ตน นจะร บได สว ตช จะท าการ Block พอร ตน น โดยนอกเหน อจาก broadcast แล ว สว ตช ย งสามารถป องก น Storm จาก - multicast ค อ packet ท ส งแบบ one-to-many เฉพาะกล ม - dlf ค อ destination lookup failure 21

22 Ending เอกสารน เป นเพ ยงเน อหาและต วอย างว ธ การต งค าอย างง ายเพ อให ผ ท เร ม ต นใช อ ปกรณ ของบร ษ ท อ ลไลด เทเลซ ส ได ศ กษาและทำการทดลองตามเพ อให เก ดความเข าใจในข นต น สำหร บรายละเอ ยดเพ มเต มสามารถหาได จาก website ของ Allied Telesis โดยการเข าไปย ง page ของร นท ท านเล อกใช และทำการดาวน โหลด ค ม อ Software Reference มาศ กษาเพ มเต ม หว งเป นอย างย งว าเน อหาในเอกสารน จะม ประโยชน ก บท านไม มากก น อย อด ย ทธ ต นต ย ทธ Technical Consultant Allied Telesis (Thailand) Co., Ltd. 22