Port Security یکی از قابلیتهای مهم در سوئیچهای سیسکو است که برای افزایش امنیت شبکههای محلی (LAN) استفاده میشود. با استفاده از Port Security، مدیر شبکه میتواند تعیین کند چه دستگاههایی اجازه اتصال به هر پورت را دارند. این ویژگی با MAC address binding، از حملات MAC Flood جلوگیری میکند و امنیت پورت سوئیچ را بالا میبرد. در این مقاله، با نحوه عملکرد Port Security، حالتهای مختلف آن و تنظیمات سوئیچ سیسکو آشنا میشوید.
چرا Port Security اهمیت دارد؟
Port Security جلوی ورود دستگاههای غیرمجاز به شبکه را میگیرد. در حمله MAC Flood، مهاجم آدرسهای MAC زیادی به سوئیچ میفرستد تا جدول MAC پر شود و ترافیک بهصورت Broadcast پخش گردد. این اتفاق میتواند امنیت لایه دوم را به خطر بیندازد. با فعالسازی Port Security، مدیر شبکه تعداد آدرسهای مجاز را کنترل میکند و از این نوع حملات جلوگیری میکند.
مفاهیم کلیدی در Port Security
- MAC Address Binding: قفلکردن پورت روی یک یا چند آدرس خاص.
- Maximum MAC Addresses: تعیین حداکثر آدرسهای مجاز برای هر پورت.
- Violation Modes: نحوه واکنش سوئیچ در زمان تخلف.
- Sticky MAC: ثبت خودکار آدرسهای مجاز در پیکربندی.
حالتهای برخورد با نقض امنیت (Violation Modes)
- Protect: بستههای اضافی را نادیده میگیرد بدون هشدار.
- Restrict: بستهها را رد میکند و هشدار ارسال میکند.
- Shutdown: پورت را غیرفعال کرده و برای فعالسازی مجدد باید اقدام دستی انجام شود.
نحوه پیکربندی پایه Port Security در Cisco switches
interface FastEthernet0/1
switchport mode access
switchport port-security
switchport port-security maximum 1
switchport port-security mac-address sticky
switchport port-security violation shutdown
در این حالت، پورت تنها یک دستگاه را میپذیرد و در صورت اتصال دستگاه دیگر، پورت قطع میشود.
بهترین روشها برای استفاده از Port Security
- در پورتهای کاربران، مقدار maximum را روی 1 یا 2 تنظیم کن.
- برای سرورها، آدرسهای MAC را دستی وارد کن.
- تنظیمات sticky را پس از هر تغییر ذخیره کن.
- از حالت restrict در محیطهای آزمایشی استفاده کن تا پورتها بهطور ناگهانی خاموش نشوند.
چالشها و محدودیتها
Port Security ابزار قدرتمندی است، اما محدودیتهایی دارد. در محیطهای BYOD یا شبکههای سیار، مدیریت MACهای پویا سخت است. همچنین Port Security فقط لایه دوم را محافظت میکند و در برابر تهدیدات سطح بالاتر باید از 802.1X، DHCP Snooping و Dynamic ARP Inspection استفاده شود.
ترکیب امنیت پورت سوئیچ با فناوریهای دیگر
ترکیب Port Security با 802.1X باعث میشود علاوه بر MAC، هویت کاربر هم بررسی شود. با DHCP Snooping و DAI نیز میتوان از جعل آدرس و حملات ARP جلوگیری کرد. ترکیب این روشها امنیت لایه دو و سه را تضمین میکند.
سناریوهای واقعی کاربرد
- ادارات: جلوگیری از اتصال روترهای شخصی کاربران.
- دیتاسنترها: کنترل دقیق اتصال سرورها با آدرس MAC ثابت.
- کلاسهای آموزشی: استفاده از حالت restrict برای حفظ سرویس در زمان نقض.
رفع مشکل پورتهای err-disabled
اگر پورت به حالت err-disabled رفت:
show port-security
show interface status
shutdown
no shutdown
برای بازیابی خودکار:
errdisable recovery cause psecure-violation
errdisable recovery interval 300
جزئیات پیشرفته پیکربندی
در شبکههای بزرگ، ترکیب sticky و binding دستی بهترین روش است. پس از پیکربندی sticky، همیشه با دستور write memory تنظیمات را ذخیره کن تا پس از ریبوت باقی بماند.
مثال برای دو MAC مجاز و حالت restrict:
interface GigabitEthernet1/0/10
switchport mode access
switchport port-security
switchport port-security maximum 2
switchport port-security mac-address sticky
switchport port-security violation restrict
مانیتورینگ و گزارشگیری
برای مشاهده وضعیت Port Security:
show port-security
show port-security address
این دستورات، تعداد آدرسهای مجاز، وضعیت فعلی پورت و آدرسهای sticky را نمایش میدهند.
اثر امنیت پورت سوئیچ بر عملکرد شبکه
در سوئیچهای مدرن تأثیر محسوسی ندارد، اما در شبکههای بسیار بزرگ، مدیریت هزاران پورت نیازمند مانیتورینگ و مستندسازی دقیق است. طراحی درست، پایداری و امنیت را تضمین میکند.
سناریوی واقعی عیبیابی
فرض کن یکی از پورتهای سوئیچ اداری غیرفعال شده است. مدیر شبکه با اجرای دستورات بالا علت را تشخیص میدهد، سپس MAC معتبر را اضافه کرده و recovery خودکار را فعال میکند تا از توقف سرویس جلوگیری شود.
سؤالات متداول
آیا Port Security روی پورت trunk هم قابل استفاده است؟
در حالت trunk کمتر کاربرد دارد و توصیه نمیشود مگر در موارد خاص.
آیا sticky MAC امنیت کامل فراهم میکند؟
خیر؛ برای امنیت کامل باید از 802.1X و مانیتورینگ شبکه نیز بهره گرفت.
چکلیست نهایی برای پیادهسازی موفق
شناسایی پورتهای حیاتی
تعیین تعداد MAC مجاز
انتخاب Violation Mode مناسب
فعالسازی لاگگیری و SNMP
ذخیره پیکربندی پس از هر تغییر
وان سرور و کاربرد Port Security در میزبانی
وان سرور بهعنوان ارائهدهنده خدمات هاستینگ و VPS، محیطی ایمن برای تست و اجرای تنظیمات شبکه فراهم میکند. اگر میخواهی Port Security را در یک محیط واقعی آزمایش کنی، میتوانی از سرورهای مجازی وان سرور استفاده کنی تا قبل از اعمال در شبکه اصلی، همه تنظیمات را بررسی و بهینهسازی کنی.
جمعبندی
امنیت پورت سوئیچ یکی از مهمترین ابزارهای امنیتی در سوئیچهای سیسکو است که با جلوگیری از دسترسی غیرمجاز و حملات MAC Flood، امنیت لایه دوم شبکه را تضمین میکند. با رعایت نکات پیکربندی، استفاده از حالتهای مناسب و ترکیب با فناوریهایی مثل 802.1X و DHCP Snooping میتوان امنیت شبکه را بهطور چشمگیری افزایش داد.
