17、网络安全：二层攻击与上下文访问控制解析

网络安全：二层攻击与上下文访问控制解析

在当今复杂的网络环境中，网络安全至关重要。了解常见的二层攻击类型及其缓解策略，以及上下文访问控制（CBAC）技术，对于保障网络的稳定和安全运行具有重要意义。

常见二层攻击类型及缓解策略

二层网络攻击多种多样，下面详细介绍几种常见的攻击类型及其对应的缓解方法。
| 攻击类型 | 攻击原理 | 缓解策略 |
| — | — | — |
| CAM表溢出 | 攻击者从一个端口发送数千个虚假MAC地址，使交换机误以为是合法主机通信 | 配置端口安全，可采用静态安全MAC地址、动态安全MAC地址和粘性安全MAC地址三种方式 |
| VLAN跳跃 | 包括交换机欺骗和双重标记两种类型 | 始终为所有中继端口使用专用VLAN ID；禁用所有未使用的端口并将其置于未使用的VLAN中；通过禁用DTP将所有用户端口设置为非中继模式；对于骨干交换机到交换机的连接，明确配置中继；不使用用户本地VLAN作为中继端口本地VLAN；不使用VLAN 1作为交换机管理VLAN |
| STP操纵 | 攻击者在拓扑中伪造根桥，广播STP配置/拓扑更改BPDU以强制进行STP重新计算 | 使用Cisco IOS软件中的根防护和BPDU防护功能 |
| MAC地址欺骗 | 使用已知授权访问网络的主机的MAC地址，使目标交换机将发往实际主机的帧转发到攻击者设备；也可通过ARP进行欺骗 | 使用端口安全命令指定连接到特定端口的MAC地址；使用DHCP监听和DAI |
| 私有VLAN攻击 | 私有VLAN隔离VLAN内的端口，使其仅与同一VLAN中的其他端口通信 | 在路由器端口上配置ACL；在Cisco Catalyst三层交换机平台上使用